四半期ごとのSaaSアクセス権レビュー：IdPで確認作業を効率化する方法
分散したユーザーとアプリ権限を顧客企業ごとに整理し、過剰権限・休眠アカウント・退職者のアクセスを定期的に見直す実務チェックリストです。
SSOを導入しても、アクセス管理が完了するわけではありません。ログイン経路を一元化しても、入社、異動、プロジェクト終了が繰り返されると、現在の業務とアプリ権限の間にずれが生じます。近年のIAMで、アイデンティティガバナンス、最小権限、継続的なアクセスレビューが重視される理由です。
アクセス権レビューとは、「誰が、どのアプリに、なぜアクセスできるのか」を定期的に確認し、不要な権限を失効させる手続きです。セキュリティ審査の直前にまとめて整理するのではなく、四半期ごとに実施すれば、インシデントの影響範囲と資料準備の負担を同時に抑えられます。
SSOのユーザー数と実際の権限は一致しない
SSOのログイン履歴だけでは、最近アクセスしたユーザーは把握できても、長期間使われていないアカウント、不要になった管理者ロール、SSO対象外のアプリに残るアカウントまで説明できません。複数の顧客企業を扱うB2B SaaSでは、テナントごとにユーザー・グループ・アプリ構成が異なるため、全社共通の一覧だけで判断しないことが重要です。
退職者のアカウント失効は、SCIMによるオフボーディングの自動化で迅速化できます。ただし、自動化ルールが現在の組織構造に合っているかを確認する定期レビューは必要です。
四半期レビューは三つの一覧から始める
1. 人：在籍状況と役割を確認する
顧客企業別のユーザー一覧から、退職者、長期未使用者、外部委託先を区別します。管理者権限は業務上の必要性と終了日を再確認し、例外アカウントには責任者と理由を記録します。
2. 権限：グループとアプリの関連を比較する
ユーザーへ個別に権限を付与すると、変更理由の追跡が難しくなります。職務別グループを基準にアプリアクセスを付与し、所属グループと実際の業務が一致しているか確認しましょう。設計方法はグループベースのアプリアクセスポリシーで解説しています。
3. アプリ：SSO対象外のアカウントも含める
OIDC・SAMLアプリだけでなく、SSO非対応のためSWAで接続したアプリもレビュー対象に含めます。アプリ所有者、アクセスグループ、共有アカウントの有無、直近のポリシー変更を確認することで、管理の死角を減らせます。
レビュー結果は対応完了まで記録する
一覧を閲覧しただけでは不十分です。維持・変更・失効の判断、レビュー担当者、処理時刻、例外理由を記録し、実際のアカウント状態へ反映されたか確認します。セキュリティ審査の資料を準備する際は、ISMS-Pのアカウント管理と監査記録も参考にしてください。
AxiPassは顧客企業ごとのマルチテナント環境で、OIDC/SAML SSO、SCIMプロビジョニング、MFA、グループベースのアプリアクセス、SWA、監査ログを一元管理できるよう支援します。分散したアカウント一覧を集める作業ではなく、必要な権限だけが正しく残っているかの判断に集中しましょう。