ID・アクセス管理

SaaSや社内システムはそれぞれが独自のアカウントを持つため、情報システム部門はシステムごとにアカウントを追加、削除しなければなりません。日本のID・アクセス管理（IAM）サービスは、ログイン、アクセス制御、アカウントのライフサイクルを一元化します。

多くはクラウド型のIDプロバイダーで、IDaaSと呼ばれます。従業員は一度サインインすれば、SAMLやOpenID Connectで連携したアプリを利用できます。プロバイダーはMFAを強制し、IPアドレス、時間帯、デバイスでアクセスを制限し、入退社に合わせて各アプリのアカウントを作成、無効化するプロビジョニングも行います。

これらと並んで、認証サーバーは、VPNや仮想デスクトップのログインにMFAを加えます。APIバックエンドは、顧客向けログインを作る開発者のために、OAuth 2.0とOpenID Connectの処理を担います。

オンプレミスのActive Directoryからユーザーとグループを同期します。多くの場合AD側にコネクターを置くため、従業員はこれまでどおりWindowsの認証情報でサインインできます。

クライアント証明書をインストールした端末だけがサインインできるため、パスワードが盗まれても未知の端末からは入れません。新しい端末ごとに、先に証明書が必要です。

OAuth 2.0とOpenID Connectをより厳格にしたプロファイルである、Financial-grade API（FAPI）に対応します。銀行や決済サービスがオープンバンキングのAPIで使います。

パスワードの代わりに、指紋、顔、PINで解除するパスキーやハードウェアセキュリティキーでサインインします。フィッシングに強い方式です。

SAMLに対応しないWebアプリに対して、ユーザーごとに保存したIDとパスワードをログインフォームへ自動入力します。パスワードに依存する点は変わらず、ログインページが変わると動かなくなります。

公的機関が利用するクラウドサービス向けの、政府のセキュリティ評価制度である情報システムセキュリティ管理・評価プログラム（ISMAP）に登録されています。官公庁の入札で求められることがあります。

各PCに入れるエージェントが、Windowsのログイン自体にMFAやパスワードレス認証を加えます。WebのシングルサインオンではカバーできないPC本体の保護にあたります。

ネットワークの場所を信頼せず、サインインのたびに、デバイス証明書、エンドポイントのセキュリティ状態、普段と違う時間や場所などのシグナルで判定します。