#はじめに
本記事では Microsoft 社の Identity as a Service （以降 IDaaS ）である Azure Active Directory (以降 Azure AD )活用によるメリットにつき解説します。
現在多くの企業で SaaS を始めとしたクラウドソリューションの活用が推進されています。一方で ID / パスワードに代表される認証情報を利用する攻撃は増加し続けており、多要素認証などのより堅牢な認証機能の組み込みが必要となっています。
IDaaS である Azure AD を活用することで、SaaS 、オンプレミスのアプリケーションに対する堅牢な認証基盤を容易に構築/運用することが可能です。
当記事では以下３つの観点で IDaaS としての Azure AD 活用のメリットを解説します。
・高い可用性と運用負荷の低減
・豊富なアプリケーション連携テンプレート
・End to End でのセキュリティ対策
#認証情報を利用した攻撃の増加
では攻撃の実態についてみてみましょう。以下の数字が報告されています。
一方で金融サービスや特定の企業を狙った標的型攻撃においては、多要素認証すら破られてしまった事例も出ています。
このような状況を受けて多要素認証/パスワードレスといった技術を使った認証強化やリスクベースアクセス制御の組み込みを検討する企業が増えてきています。
#IDaaS としての Azure AD - 高い可用性と運用負荷の低減 -
認証基盤は全てのサービスの入り口となるため高い可用性が求められる機能コンポーネントです。オンプレミスの認証基盤を使っている場合、攻撃対象となりやすいと判っていてもなかなか脆弱性対応やバージョンアップはできないのが実状ではないでしょうか？
Azure AD では、脆弱性対応やパッチ適用だけでなくバージョンアップもサービスの一部として提供されておりメンテナンス停止はありません。可用性のサービスレベルは 99.99% となっており、オンプレミスの認証基盤と比較すると構築/運用にかかる負荷を大幅に低減することができます。
また Azure AD Premium Plan2 に含まれる Identity Protection を組み合わせることで、リスクの検出だけでなく自動修復まで管理コンソールからの設定のみで実装することが可能です。
参考リンク：Azure Active Directory の価格 | Microsoft Security
https://www.microsoft.com/ja-jp/security/business/identity-access-management/azure-ad-pricing
#IDaaS としての Azure AD - 豊富なアプリケーション連携テンプレート -
Office 365 のユーザリポジトリとして Azure AD を利用していても、Microsoft 以外の SaaS やオンプレミス Web アプリケーションとのシングルサインオンはまだ実装していないという企業も多いのではないでしょうか？ Azure AD はアプリケーションギャラリーとして国内外の多くの SaaS と連携するテンプレートを提供しており、これを活用することでベンダーによる検証済みの構成をもとに容易にSaaSをシングルサインオンの対象とすることができます。例えば Salesforce や SAP のような海外のサービスだけでなく、Sansan や LINE Works など国内のサービスもアプリケーションギャラリーの対象です。
参考リンク：Azure Active Directory (Azure AD) アプリ ギャラリー | Microsoft Security
https://www.microsoft.com/ja-jp/security/business/identity-access-management/integrated-apps-azure-ad
#IDaaS としての Azure AD - End to End でのセキュリティ対策 -
認証を Azure AD に集約することで、マイクロソフトだけでなく他社の SaaS 、オンプレミスWebアプリを一元的に保護/監視することが可能となります。またセキュリティ対策においては全体を俯瞰し整合性の取れた対策を施すことが非常に重要です。エンドポイント管理、アプリケーション保護、データ保護を組み合わせ、さらに Sentinel / Splunk / QRadar などの SIEM による統合的な脅威分析/対応につなげていくことも可能です。
#まとめ
Azure AD は Office365 のユーザリポジトリだけでなく、最先端テクノロジーを実装した統合認証基盤として活用できる機能を有しています。FIDO2、SAML / OpenID Connect など業界標準技術を使い他社ソリューションとの連携も可能ですので、ベンダーロックインの懸念なく安心してお使いいただけます。
次回の記事では「Azure ADを利用した適応型アクセス制御の現在」を掲載する予定です。
投稿内容は私個人の意見であり、所属企業・部門とは関係ありません。また、いかなる保証を与えるものでもありません。