ITトレンドがおすすめする製品・サービス
- ■最初に自動化したい範囲別
- ■構築の進め方別
- ベンダーやパートナーの導入支援を受ける：Okta Workforce Identity、Gluegent Gate（グルージェント ゲート）、統合認証インテグレーション
- 管理者による設定を中心に構築：Keyspider、Gluegent Gate（グルージェント ゲート）、Soliton ID Manager
- 稼働後の運用も支援を受ける：SmartHR、IDaaS運用支援サービス
ID管理ツールの構築で最初に決める目的と範囲
ID管理ツールの構築を始める前に、何の課題を解決するのか、どの社員とシステムを対象にするのかを決めます。目的と範囲があいまいなまま進めると、連携先が増え続けて稼働時期が遅れる場合があります。
解決したい課題を絞り込む
最初に、ID管理で困っている業務を具体的に書き出します。入社日までにアカウントの準備が終わらない、退職者のアカウントが残る、権限の申請がメールで回っていて記録が残らない、といった課題が考えられます。
すべてを一度に解決しようとすると設計が大きくなるため、影響の大きい課題から優先順位を付けます。例えば退職者アカウントの停止漏れは情報漏えいにつながる恐れがあるため、入退社と異動の処理を第一段階に据える企業もあります。課題が決まれば、必要な機能と連携先も絞り込めます。目的は「退職日当日にアカウントを停止する」のように、稼働後に達成できたかを確かめられる形で書いておくと、効果の測定にも使えます。
対象者と対象システムを決める
次に、ID管理ツールで管理する人とシステムの範囲を決めます。正社員だけでなく、契約社員や派遣社員、業務委託先、グループ会社の社員を含めるかで、取り込むデータの種類や件数が変わります。
対象システムは、利用者数が多いものや権限の重要度が高いものから選ぶと効果を確かめやすくなります。社内のシステムを一覧にし、利用者数、アカウントの登録方法、管理部署を記録しておきましょう。この一覧は、後の連携設計やベンダーへの相談でもそのまま使えます。
構築前に整えるID管理のルール
ID管理ツールは、決められたルールに従ってアカウントを作成・変更・停止する仕組みです。そのため、ルールが社内で固まっていなければ、ツールに設定する内容も決まりません。構築前に整えておきたいルールを3つ紹介します。
IDの命名規則と採番のルール
ログインIDやメールアドレスの付け方を、命名規則として文書にまとめます。氏名のローマ字表記を使う場合は、同姓同名の社員がいたときの付け方や、改姓時にIDを変えるかどうかまで決めておく必要があります。
あわせて、ID台帳で本人を見分けるための番号を決めます。社員番号が使えない業務委託先などには、別の採番ルールを用意しましょう。既存システムでIDの付け方がばらばらな場合は、どの規則にそろえるか、移行時に変えるのかも検討が必要です。IDを変えると利用者のログイン方法も変わるため、周知の時期もあわせて計画しておきます。
雇用区分ごとの付与と停止のルール
雇用区分や部署、役職ごとに、どのシステムにどの権限でアカウントを作るかを表にまとめます。例えば、正社員は入社日にメールと勤怠管理、派遣社員は契約期間中だけメールのみ、といった形です。
停止のルールも同じく重要です。退職日の何時にアカウントを止めるか、休職中は停止するか、退職後にデータをいつまで残すかを決めます。人事や総務、各システムの管理部署と内容をすり合わせ、決定した表をツールの設定の元資料として使いましょう。
権限の申請と承認の流れ
ルールで自動付与できない権限は、利用者が申請し、上長やシステム管理者が承認する流れで付与します。誰が申請でき、誰が承認するか、承認後にどの部署が設定するかを決めておきましょう。
承認者が不在のときの代理承認や、緊急時に一時的に権限を付ける場合の扱いも、事前に決めておくと運用が止まりにくくなります。申請と承認の記録をツールで残せるようにすれば、監査の際に権限を付けた理由を説明できます。
ID管理ツールの構築体制と役割分担
ID管理ツールの構築は、情報システム部門だけでは進められません。社員情報の起点となる人事部門や、連携先システムの管理部署、製品のベンダーと役割を分担し、誰が何を決めるかを明確にしておくことが大切です。
人事部門と情報システム部門の役割
ID管理ツールは人事の情報をもとに動くため、人事部門の協力が欠かせません。入社や異動、退職の情報をいつ、どの項目まで登録するかを人事部門と決めておきます。発令前の情報をどの時点で連携するかも、取り扱いのルールとあわせて確認が必要です。
情報システム部門は、連携の設計や設定、テストを主に担当します。アカウントの項目や権限の種類は、各システムの管理部署に確認しておきましょう。関係部署の担当者を集めた定例会を設け、決定事項を議事録に残すと、判断の経緯を後から追えます。
ベンダーの導入支援で任せる範囲
ID管理ツールの構築では、ベンダーや販売代理店の導入支援を利用する方法があります。支援の範囲は、設定方法の案内、初期設定の代行、要件定義からの伴走など、製品や契約によって異なります。
自社で設定できる部分と任せる部分を分けて見積もりを取ると、費用と社内の作業量を比べられます。ただし、すべてを任せると、稼働後に設定を変更できる人が社内にいない状態になる場合があります。設定内容の説明や手順書の提供が支援範囲に含まれるかも確認しましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でID管理ツールの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
ID管理ツールを構築する手順
目的とルール、体制が決まったら、実際の構築作業に入ります。要件定義と連携設計から始め、検証環境でのテストを経て、一部の部署から段階的に稼働させる流れを取ると、問題を早い段階で見つけやすくなります。
要件定義と連携設計
要件定義では、整えたルールをもとに、ツールで実現する処理を一覧にします。人事情報をどの頻度で取り込むか、どのシステムにどの方式でアカウントを反映するかを決めていきます。
連携方式には、APIやSCIMを使う方式、データベースへの接続、CSVファイルの受け渡しなどがあり、連携先が対応する方式によって選択肢が変わります。同期に失敗したときに誰へ通知するか、再実行をどう行うかも、この段階で決めておくと稼働後の対応が円滑です。
検証環境でのテストと既存アカウントの突合
設定が終わったら、本番とは別の検証環境で、入社や異動、退職、休職などの処理を一通り試します。アカウントが作られたかだけでなく、権限や所属が正しく反映されたか、停止後にログインできないかまで確認しましょう。
並行して、既存システムに登録済みのアカウントとID台帳を突合します。台帳と一致しないアカウントや、所有者のわからないアカウントを洗い出し、各管理部署に確認して整理しておくことで、稼働後の誤った停止や重複作成を防ぎやすくなります。
一部の部署から始める段階稼働
テストが終わったら、いきなり全社に広げず、一部の部署やシステムから本番稼働を始めます。対象を絞ることで、想定外の処理や運用上の課題が見つかった場合も影響を小さく抑えられます。
段階稼働の期間中は、手作業による従来の処理と結果を見比べ、差分があれば原因を調べて設定を直します。問題がないことを確かめたうえで対象の部署やシステムを広げていけば、全社展開の時期を判断する材料もそろいます。利用者向けの案内や問い合わせ窓口も、対象を広げる前に準備しておきましょう。
本番稼働後に構築の成果を定着させる
ID管理ツールは、本番稼働で構築が終わるわけではありません。組織変更や新しいシステムの追加にあわせてルールと設定を更新し続けることで、アカウントの状態を正しく保てます。稼働後に取り組みたい点を紹介します。
例外処理の受付窓口を決める
稼働後も、ルールに当てはまらない依頼は発生します。退職日の前倒しや、一時的な権限の追加、システム管理画面からの直接登録などが例として挙げられます。こうした例外を個別に処理すると、ID台帳と実際のアカウントがずれる原因になりかねません。
例外の依頼は受付窓口を一本化し、申請と対応の記録を残しましょう。同じ種類の例外が繰り返し発生する場合は、ルールそのものを見直す合図です。対応手順は複数の担当者で共有し、特定の人に依存しない運用にしておきます。
定期的に権限を見直す
異動を重ねた社員には、前の部署で使っていた権限が残っている場合があります。半年や1年など社内で決めた周期で、各部署の責任者に部下の権限を確認してもらい、不要なものを削除しましょう。
見直しの対象者リストをツールから出力できれば、確認の手間を減らせます。結果と対応を記録しておくと、監査への説明にも使えます。新しいシステムを導入したときは連携先への追加を検討し、構築時に作ったシステム一覧も更新しておきましょう。
構築の進め方で比べるID管理ツール一覧
ここでは、最初に自動化したい範囲と構築の進め方に注目して、紹介するID管理ツールの特徴をまとめました。自社の課題や構築体制と照らしあわせて確認してください。
| 製品名 | 特徴 |
|---|---|
| Okta Workforce Identity | 人事システムと連携してアカウントの作成・更新・停止を自動化。パートナーによる導入支援にも対応 |
| IIJ IDガバナンス管理サービス | 入退社・異動などの人事イベントに応じたアカウント発行と、ポリシーにもとづくIDの棚卸しに対応 |
| Keyspider | 発令日や引継ぎ期間を考慮した権限管理に対応。組織情報に紐づけて権限を自動付与 |
| Gluegent Gate（グルージェント ゲート） | 自社サーバーの構築が不要なクラウド型。SSOや連携サービスのID管理に対応 |
| SmartHR | 人事情報と連動し、作成・削除が必要なアカウントを自動抽出。情シス業務向けのBPOも提供 |
| WebSAM SECUREMASTER | IDの新規申請や権限変更を申請・承認ワークフローで管理 |
| LOCKED DAS | 入退社・異動に伴うSaaSアカウントの管理を自動化し、棚卸しを支援 |
| IDaaS運用支援サービス | IDaaSの設定変更やアカウント管理など、稼働後の運用業務を支援 |
| Soliton ID Manager | 部署や役職にもとづく権限付与と、申請・承認ワークフローによるID管理に対応 |
| 統合認証インテグレーション | ID管理や認証基盤の導入において、企画・設計から構築・保守までを支援 |
| EvidianIdentityGovernance&Administration | 権限の申請・承認ワークフローと、ロールにもとづく権限管理に対応 |
| アカンサス | IDの棚卸しや、部署名などの表記ゆれの修正・名寄せを支援 |
段階的な構築に取り入れやすいID管理ツール
入退社・異動の自動化や権限の申請と承認、アカウントの棚卸しなど、構築の第一段階に据えやすい機能を持つ製品と、構築・運用の支援サービスを紹介します。支援の範囲や設定内容の引き継ぎ方も確認しておきましょう。
Okta Workforce Identity
- フィッシングに強い認証フローでログインをより簡単・安全にする
- ADやLDAP等と統合。全てのIDを単一コントロールプレーンから管理
- ユーザーのアクセスを1か所で管理しアクティビティを適切に把握
Okta Japan株式会社が提供する「Okta Workforce Identity」は、ID管理や認証基盤を段階的に整備できるクラウド型のIDaaS/IAMです。Lifecycle Managementのプロビジョニング機能により、人事システムと連携して入退社や異動に伴うアカウントの作成・更新・停止を自動化できます。Universal Directoryでは複数のIDソースを統合し、ユーザーやグループを一元管理。シングルサインオンや多要素認証にも対応しています。パートナー企業による導入支援も受けられるため、構築体制に不安がある企業でも検討しやすい製品です。
IIJ IDガバナンス管理サービス
- 散在するIDやアカウント情報を一元管理
- 簡単設定のプロビジョニングで業務負荷を解消
- 不正なID・権限設定が一目で分かる
株式会社インターネットイニシアティブが提供する「IIJ IDガバナンス管理サービス」は、入退社・異動の処理とアカウントの棚卸しを一元化できるクラウド型のID管理サービスです。本務・兼務や出向・転籍などの人事イベントに対応し、ユーザーの所属や属性に応じて連携先のアカウント発行やライセンス付与を自動化します。ID棚卸し機能では、ポリシーにもとづいて不要なアカウントや過剰な権限を確認でき、権限の付与・剥奪にも対応。IDのライフサイクル管理と内部統制をあわせて整備したい企業に適しています。
Keyspider
- クラウドID管理と効率化を実施し、変化に対応できるシステム運用
- “引継ぎ期間”を想定した対応が可能
- 組織情報に紐づけ、各システムの権限付与が自動的に行える。
株式会社アクシオが提供する「Keyspider」は、日本企業の人事異動や兼務などの運用に対応したクラウド型のID管理サービスです。発令日を考慮した権限変更や、異動後の引継ぎ期間を設ける運用に対応しています。組織情報と権限を紐づけることで、所属部署などの条件に応じた権限付与を自動化。兼務者に対しても、複数の所属先に応じた権限を管理できます。人事異動に伴う細かな権限変更を効率化し、社内ルールにあわせたID管理を構築したい企業に適しています。
Gluegent Gate（グルージェント ゲート）
- 連携サービスとのシングルサインオン設定で利便性を向上
- 連携サービスのIDを一元管理することで管理者の負荷を軽減
- 多要素認証、アクセス制限をサービスごとに自由に組み合わせ可能
サイオステクノロジー株式会社が提供する「Gluegent Gate（グルージェント ゲート）」は、自社で認証サーバーを構築せずに利用できるクラウド型のID管理・認証サービスです。Google WorkspaceやMicrosoft 365などのクラウドサービスと連携し、シングルサインオンやアカウント管理を効率化します。多要素認証やアクセス制限にも対応し、連携サービスごとに認証ポリシーを設定可能です。クラウドサービスのID管理や認証統合から始めたい企業に向いており、導入時の設定や連携範囲についてはパートナーへの相談も可能です。
SmartHR
- ID管理とSSOで、アカウントの作成・削除とアクセスを一元管理
- プロダクトとBPOで、情シス業務全体の負荷を軽減
- 最新の人事データと連動、アカウントとアクセスの対応漏れを防止
株式会社SmartHRが提供する「SmartHR」は、人事情報と連動したアカウント管理から自動化を始められるクラウドサービスです。人事・労務担当者が入社・異動・退職などの従業員情報を更新すると、外部サービスのアカウント作成・削除が必要な対象者を自動でリストアップします。連携可能なサービスではアカウントの作成・削除にも対応し、人事部門と情報システム部門の確認作業を効率化。さらに、アカウント発行・削除やPCのキッティングなど、情シス業務を支援するBPOも提供しています。
WebSAM SECUREMASTER （日本電気株式会社）
- 国産なので、日本企業特有の業務スタイルに対応します
- 内部統制強化の支援に繋がる機能で管理者負担が軽減します
- 主要システムとの連携のためのテンプレートを標準で用意
LOCKED DAS （株式会社onetap）
- 入社・退職・異動に伴う、SaaSアカウントを自動設定
- 棚卸台帳で設定状況を記録
- 利用実態ログで解析
IDaaS運用支援サービス （ＪＢＣＣ株式会社）
- IDの運用管理(設定変更・追加等)を専門エンジニアが支援
- プロビジョニング環境における設定変更等の支援
- ID利用状況のレポートを作成し、セキュリティリスクを可視化
Soliton ID Manager （株式会社ソリトンシステムズ）
- よりスムーズなログイン・管理が可能！
- 自社ルールに適合した柔軟な設定を実現！
- 申請ワークフローを活用し効率的なデジタル証明書の配布が可能！
統合認証インテグレーション （サイオステクノロジー株式会社）
- 企画・設計から保守までの一貫したトータルサポート
- オンプレミスとクラウドを連携させるハイブリッド対応
- 特定ニーズを持つ顧客向けに、専門性の高いソリューションも提供
EvidianIdentityGovernance&Administration （EVIDIAN-BULL JAPAN 株式会社）
- 拡張RBACで組織や役割に応じたアクセス権限を自動付与。
- セルフ申請と承認フローで管理負荷を軽減、権限割当を効率化。
- ガバナンス強化とコンプライアンス証明を支援。
アカンサス （NTTテクノクロス株式会社）
- NTTグループのセキュリティ準拠
- 部署名の揺れ修正と名寄せが可能
- ID棚卸業務の労力を75%削減
まとめ
ID管理ツールの構築は、解決したい課題と対象範囲を決め、IDの命名規則や付与と停止のルールを整えてから設定に入ると、手戻りを抑えられます。人事部門や連携先の管理部署、ベンダーと役割を分担し、テストと既存アカウントの突合を経て段階的に稼働させましょう。最初に自動化したい範囲や導入支援の内容は製品によって異なります。自社にあうID管理ツールを比較したい方は、資料請求を活用してください。
