クラウドと自動化の進展で広がるID管理の盲点――「アイデンティティ・ファブリック」が重視される背景

要点

• クラウドやSaaS、API、自動化ワークロードの急増に伴い、IDポリシーの意図と実行時の実際の動作の間に生じる乖離への対策が求められている。

• セキュリティ専門メディア「The Hacker News」は、分散したIDシステムを統合して実行時の振る舞いを可視化する「アイデンティティ・ファブリック」のアーキテクチャを解説した。

• 企業内ではサービスアカウントやAPIキーなどの「非人間アイデンティティ」が人間のアカウント数を上回っており、管理不備による過剰権限や休眠状態がセキュリティリスクとなっている。

• 認証基盤のログ監視だけでは検知が困難な正規資格情報による不正操作に対し、アプリケーション層を含めた振る舞いの可観測性が重要視されている。

• サイバーセキュリティ専門メディアのThe Hacker Newsは2026年8月28日、ハイブリッドおよびマルチクラウド環境におけるID管理手法「アイデンティティ・ファブリック（Identity Fabric）」のアーキテクチャと重要性に関する解説記事を公開した。

• 企業内でSaaSやAPI、自動化処理が急速に拡大するなか、従来の静的なアクセス権限設定だけでは把握できない「実行時の実態」を可視化する必要性が高まっているという。

• 記事では、人間以外のシステムが使用する「非人間アイデンティティ」のガバナンス課題や、設計時と実行時のギャップがもたらす脅威について詳細に説明されている。

静的な権限管理と実行時の動作を結びつける仕組み

アイデンティティ・ファブリックは、単一のセキュリティ製品を指すものではなく、各種IDプロバイダ（IdP：ユーザーの認証情報を一元管理するシステム）やガバナンス基盤、アプリケーション、インフラを1つの可観測な層として統合するアーキテクチャアプローチである。
同記事によると、従来のID管理は「設計時（Design time）」と「実行時（Runtime）」という2つの側面で運用されてきた。

設計時においては、JML（Joiner-Mover-Leaver：入社・異動・退職に伴うID管理プロセス）のワークフローやプロビジョニング、ポリシー定義を通じて「どのようなアクセスを許可する意図があるか」が規定される。一方の実行時においては、認証やシングルサインオン（SSO）、認可の適用、アクセスチェックなどを通じて「アプリケーション内で実際にどのように権限が行使されているか」が実行される。

しかし、多くの環境ではIAM（IDおよびアクセス管理）プラットフォームがアクセス権を付与したとしても、それが各アプリケーション内部でどのように実装・行使されているかまでは検証されない。この設計と実行の間に生まれる未観測な領域は「アイデンティティ・ダークマター」とも呼ばれ、ポリシーと実装の乖離や攻撃の足がかりとなるリスクを生み出す要因になっていると指摘されている。

IDの無秩序な拡散とIdPログの死角

現代のエンタープライズ環境では、SaaSアプリケーションやクラウドプラットフォーム、API、自動化されたワークロードが急速に増殖し、ガバナンスチームによる手動の審査速度を上回るペースでアクセス権が作成されている。
こうした状況下では、人間の従業員が保持するアカウントは全体のほんの一部に過ぎず、API同士の通信やワークロードによるロールの引き受け、SaaS間の連携といった文書化されていない信頼関係が多数発生しているという。

このIDの無秩序な拡散に対してインベントリ（資産台帳）の把握が追いつかない場合、使われなくなった孤立した認証情報や過剰な権限が検知されないまま放置され、攻撃対象領域を静かに広げる結果となる。

さらに同記事は、多くの組織がIdPの認証ログのみを監視対象としている点にも言及している。IDを悪用した攻撃の一部はIdP自体ではなくアプリケーションの内部で展開されるため、IdPログだけでは活動を捉えきれないという深刻な盲点が生じる。
攻撃者が正規の認証情報を窃取して悪用する場合、生成されるログは通常のアクセスと区別がつかない。そのため、アプリケーション層のテレメトリ（稼働データの収集）を通じて実際の挙動を把握し、「許可されたポリシーの意図」と「実際の実行内容」を比較して異常を検出する振る舞いの可観測性が不可欠になるとされている。

人間を上回る非人間アイデンティティ（NHI）の管理課題

近年の企業環境において特に大きな課題となっているのが、人間以外のプログラムやシステムが利用する「非人間アイデンティティ（NHI：Non-Human Identities）」の急増である。
多くの企業でNHIの総数は人間の従業員アカウントを上回っているものの、ガバナンスの適用度合いは人間向けコントロールの一部にとどまっているという。NHIは人事イベントを起点として作成されるのではなく、インフラの自動化処理などによって自動生成されることが多いため、通常のライフサイクル管理をすり抜けてしまうケースが頻発している。

記事では、代表的な非人間アイデンティティとして以下の4つのカテゴリが挙げられている。

• サービスアカウント: バックグラウンド処理や定期実行ジョブを担う永続的なアカウント。常時有効な特権が付与されやすい。
• 自動化ボット: システムを横断して反復作業を自動実行するスクリプトやRPA（ロボティック・プロセス・オートメーション）の識別子。
• クラウドワークロード: 各種リソースへアクセスするために必要な権限ロールを引き受けるコンテナやサーバーレス関数、仮想マシン。
• APIキーおよびトークン: アプリケーションやAIエージェントが外部サービスとプログラム経由で連携・認証するための認証情報。

なかでも、インフラ全体の動作を制御する「コントロールプレーン」にアクセスする権限を持つIDは、自動化のために広範な権限が付与されていることが多く、攻撃者にとって格好の標的になりやすいと警告されている。

所有者不在と過剰権限が生むセキュリティリスク

非人間アイデンティティにおける最大の問題は「責任の所在（オーナーシップ）の欠如」にあると同記事は分析している。
サービスアカウント等に明確な人間の管理者が割り当てられていない場合、利用実態に合わせた権限の縮小や暗号鍵・シークレットの定期ローテーション、関連するワークロードが削除された際のアカウント廃止といった運用が行われない。
その結果、本来必要な権限を大幅に超える過剰なアクセス権が設定されたまま放置されたり、使用されなくなった休眠状態の認証情報が残り続けたりすることで、侵害された際の影響範囲を拡大させる要因となる。

対象となる環境と位置づけ

なお、今回示されたアイデンティティ・ファブリックの概念やガイダンスは、主にハイブリッド環境やマルチクラウド環境を運用する大規模エンタープライズを対象としたものである。単一のディレクトリサービスのみで運用されている小規模なシステム環境においては、必ずしも本アーキテクチャの全要素を適用する必要はないと言及されている。