CompTIA SY0-701: ID・アクセス管理 — 学習ガイド

By Laurynas Brazys · 20 July 2026 · #comptia #sy0-701 #certification #exam-prep #study-guide

こちらの一部です： CompTIA Security+ SY0-701 — 学習ガイド. 検証済みの解答で練習： CompTIA試験ハブ, または時間制限付き模擬試験に挑戦： ExamRoll.io.

IDとアクセス管理（IAM）は、適切な主体（ユーザー、サービス、デバイス）が、適切なリソースに対して、適切なタイミングで、かつ必要な期間だけ、適切なアクセス権を取得できるようにするための規律です。これは、概念的に区別される2つの柱に基づいています。しかし、この2つは頻繁に、そして危険なことに混同されがちです。その柱とは、主体が誰であるかを証明する認証と、認証された主体が何をできるかを決定する認可です。ユーザーが指紋でワークステーションにログインするのは認証です。そのユーザーが給与データベースを開けるかどうかは、認可の問題です。この2つを曖昧にする制御設計は、セキュリティ侵害を招きます。

認証要素と多要素認証

認証要素は、伝統的に5つのカテゴリに分類されます。知識情報（パスワード、PINなど）、所持情報（スマートカード、ハードウェアトークン、TOTPアプリを実行する電話など）、生体情報（指紋、網膜、顔の形状など）、場所情報（地理位置情報やネットワークベースのコンテキスト）、そして行動情報（タイピングのリズムなどの行動バイオメトリクス）です。多要素認証（MFA）は、少なくとも2つの異なるカテゴリからの証拠を要求します。パスワードと秘密の質問の組み合わせはMFAではありません。どちらも「知識情報」だからです。パスワードとGoogle AuthenticatorからのTOTPコードの組み合わせはMFAです。

ハードウェアトークンにはいくつかの形式があります。YubiKeyなどのFIDO2/WebAuthnセキュリティキーは、非対称暗号化を使用します。秘密鍵はデバイスから出ることがなく、サーバーは公開鍵のみを保持するため、フィッシングやリプレイ攻撃を防ぎます。HOTPトークンはカウンターからワンタイムパスワードを生成します。TOTPトークンは、HMAC-SHA1構成を使用して現在時刻から生成します。

TOTP = HMAC-SHA1(shared_secret, floor(current_unix_time / 30))

政府環境で一般的に使用されるPIVやCACカードなどのスマートカードは、耐タンパー性チップ上にX.509証明書と秘密鍵を保存します。カードの提示とPINの入力を組み合わせることで、2つの要素を満たし、Kerberos PKINITを介してActive Directoryのようなシステムへの証明書ベースの認証を可能にします。

MFAは、認証情報窃取に対する最も効果的な単一の制御です。ユーザーが身に覚えのないIPアドレスからのログインを報告した場合、パスワードのリセットは対症療法にすぎません。MFAを強制することは、盗まれたパスワードだけでは不十分になるため、根本原因に対処することになります。

シングルサインオンとフェデレーション

シングルサインオン（SSO）により、ユーザーは一度認証するだけで、認証情報を再入力することなく複数のアプリケーションにアクセスできます。フェデレーションは、この概念を組織や信頼の境界を越えて拡張します。あるドメインのユーザーのIDプロバイダー（IdP）が、別のドメインのサービスプロバイダー（SP）に対してユーザーを保証するのです。ここで最も一般的な誤解は、SAMLとOAuthを交換可能なものとして扱うことですが、これらは異なる問題を解決します。

SAML 2.0は、エンタープライズSSOと認証アサーションのために設計されたXMLベースのプロトコルです。ユーザーがSaaSアプリケーションをリクエストすると、SPはブラウザをIdPにリダイレクトし、IdPがユーザーを認証して、ID属性を含む署名付きSAMLアサーションを返します。これは、従業員が企業のActive Directory認証情報を使用して、SalesforceやWorkdayなどのクラウドアプリケーションにアクセスするための標準的なメカニズムです。

OAuth 2.0は認証プロトコルではなく、認可フレームワークです。アクセストークンを介して、ユーザーに代わってリソースへの委任されたアクセス権をサードパーティアプリケーションに付与します。アプリケーションに自分のTwitterフィードへの投稿を許可するのは、OAuthのフローです。**OpenID Connect (OIDC)**は、OAuth 2.0の上に構築されたIDレイヤーであり、認証アサーションを提供するid_token（JWT）を追加します。これにより、「Googleでサインイン」が可能になります。

重大な注意点として、SSOとフェデレーションは認証情報の乱立を減らしますが、MFAの必要性をなくすものではありません。むしろ、リスクを集中させます。侵害された1つのSSO認証情報が、すべてのフェデレーションアプリケーションの鍵を開けてしまうのです。MFAはIdPで強制する必要があり、特権アカウントはSSO後であってもステップアップ認証を要求すべきです。

アクセス制御モデル

IDが確立されると、アクセス制御モデルが認可の決定を管理します。**任意アクセス制御（DAC）**では、リソースの所有者が通常、アクセス制御リスト（ACL）を介して権限を設定します。**強制アクセス制御（MAC）**は、ラベルとクリアランスに基づいてポリシーを中央で強制するもので、軍事システムで一般的であり、SELinuxのようなフレームワークによって実施されます。**ロールベースアクセス制御（RBAC）**は、ロールに権限を割り当て、ユーザーをロールに割り当てます。「請求アナリスト」ロールには定義された権限セットが付与され、ユーザーはロールのメンバーシップによって権限を継承します。**属性ベースアクセス制御（ABAC）**は、主体、リソース、アクション、および環境の属性に対してポリシーを評価し、「企業の管理デバイスから、営業時間中に限り、人事ファイルへの読み取りアクセスを許可する」といったルールを可能にします。

すべてのモデルの根底にあるのが最小権限の原則です。主体は、その機能を実行するために必要な最小限のアクセス権のみを与えられ、それ以上は与えられません。これを補完するのが職務分掌で、単一の個人が機密性の高いプロセス全体を管理することを防ぎます。支払いを要求する人物と、それを承認する人物は別であるべきです。

実用的なアクセス制御には、ファイルシステムACL、ルーターやファイアウォールのネットワークACL、そして許可された時間帯のみログインを許可する時間帯制限などがあります。財務共有フォルダへの読み取り専用アクセスを許可するWindows ACLエントリは、次のようになります。

icacls C:\Finance /grant "Domain\Finance-RO:(OI)(CI)R"

特権アクセス管理

特権アカウント（ドメイン管理者、root、データベースのシステム管理者、クラウドルートアカウント、サービスアカウントなど）は、あらゆる環境における最も重要な資産です。特権アクセス管理 (PAM) システム（CyberArk、BeyondTrust、HashiCorp Vaultなど）は、これらのアカウントに関する統制を強制します。認証情報は保管庫 (vault) に格納されて自動的にローテーションされ、セッションは記録され、チェックアウトには正当な理由と多くの場合承認が必要となり、パスワードは頻繁にワンタイムまたは一時的なものになります。

ジャストインタイム (JIT) アクセスは、特定のタスクを実行している間だけ権限を昇格させ、常設の管理者権限を排除します。データベースの移行を実行する必要がある開発者は、30分後に自動的に失効する時間制限付きの認証情報を受け取ります。これにより、盗まれる可能性のある永続的な特権アカウントは存在しなくなります。Azure ADのPrivileged Identity Management (PIM) は、このパターンをネイティブに実装しており、権限昇格の前に承認ワークフローとMFAの再認証を要求します。

サービスアカウントは特有の課題を提示します。多くの場合、過剰な権限が付与され、パスワードはめったにローテーションされず、その使用状況が監査されることも稀です。Active Directoryのマネージドサービスアカウント (MSA) およびグループ管理サービスアカウント (gMSA) は、パスワードのローテーションを自動化し、人間がサービスアカウントの認証情報を知る必要性を完全に排除します。

ディレクトリサービスとプロビジョニング

Active Directory (AD) は、依然としてオンプレミスの主要なIDストアです。ユーザー、コンピューター、グループは組織単位 (OU) に編成され、グループポリシーオブジェクト (GPO) によって構成とセキュリティ設定が階層的に適用されます。ADの信頼関係により、ドメインやフォレストを越えて認証が拡張されます。Azure Active Directory (Entra ID) はこれらの概念をクラウドに拡張し、条件付きアクセスポリシー、ID保護のリスクスコアリング、そして何千ものSaaSアプリケーションとのシームレスな統合を追加します。

LDAP (Lightweight Directory Access Protocol) は、ディレクトリサービスをクエリするための基盤となるプロトコルです。RADIUS は、ネットワークアクセス（VPN、Wi-Fi、802.1X有線認証など）の認証を一元化します。これらはすべて、一般的にADをバックエンドとするRADIUSサーバーに対して認証を行います。TACACS+ は、ネットワークデバイスの管理において同様の役割を果たしますが、認証、認可、アカウンティングを別々のフェーズに分離するという利点があります。

ユーザーのプロビジョニングとデプロビジョニングは、人事プロセスと密接に連携させる必要があります。IAMにおける最も根強い失敗は、孤立したアカウント、つまり退職後も数週間から数ヶ月にわたってActive Directoryアカウントがアクティブなままになっている元従業員のアカウントです。SCIM (System for Cross-domain Identity Management) や人事システムからADへのコネクタを介した自動プロビジョニングと、必須のデプロビジョニングチェックリストを組み合わせることで、このギャップを埋めることができます。

実践シナリオ：孤立アカウントを介した認証情報の侵害

ある製造会社のITチームが、ERPシステムに対して業務時間外の不審なアクセスを発見しました。このアクセスは、現在は廃止された統合プロジェクトのために作成されたサービスアカウントからのものでした。このアカウントはドメインユーザー権限を持ち、特定の従業員に関連付けられていなかったため、四半期ごとのアクセスレビューで見直されることはありませんでした。攻撃者は、ダークウェブのダンプから購入した認証情報を使用し、このアカウントでファイル共有を列挙し、価格データを窃取し、スケジュールされたタスクを介して持続的なアクセスを確立しました。この侵害は、ERPベンダーが異常なAPIコールパターンを警告したことで初めて発覚しました。根本原因は、デプロビジョニングプロセスの失敗、つまり統合は廃止されたものの、アカウントが無効化されていなかったことでした。孤立アカウントの自動検出と必須のレビューサイクルを備えたPAMシステムを導入していれば、このアカウントは悪用されるずっと前に表面化していたでしょう。

← ガバナンス、リスク管理、コンプライアンス · すべてのドメイン · 脅威、攻撃、脆弱性 →

これらの問題を練習する → · ExamRoll.ioで時間制限付き練習 →