アクセス要求マニュアル¶

1. 概要¶

組織において、特定のユーザーに過剰な権限や不適切な権限が付与されることを防ぐため、「申請・承認（アクセス・ガバナンス）」というプロセスを確立することは、内部統制および情報セキュリティの観点から極めて重要です。

本手順の目的は、IGAのアクセス要求機能を活用し、利用者が自ら必要なリソースを申請し、適切な承認者が内容を確認・承認した上で、権限を自動的にプロビジョニングする一連のサイクルを構築することにあります。

本書に記載された設定および操作を開始するにあたり、以下の条件を満たしている必要があります。

表 1-1

前提条件	備考
インターネットに接続されていること。	IDApex IGA はインターネットを通じて操作を行います。
IDApex IGAの管理コンソール画面が開ける管理者権限があること	－
基本情報の登録	申請対象ユーザーと承認ルート用の組織構造がIGAに登録されていること。

ロールと権限の事前定義
権限申請および承認アクションを実行するために必要な「ロール（Role）」を定義します。そのために、申請者用ダッシュボードの表示権限や、特定の組織における承認決定権限を持つロールを、対象ユーザーへ事前に割り当てる必要があります。
権限申請の実行
権限を必要とするユーザーが自身のアカウントでIGAにログインし、セルフサービス画面より対象のロール（職務権限等）を選択して申請を実行します。この際、申請理由などの付帯情報の入力が求められます。
ワークフローによる承認処理
指定された承認権限を持つユーザー（上長等）へ通知が行われます。
承認者はIGA上の承認タスク一覧を確認し、内容の妥当性を判断した上で「承認」または「却下」の処理を行います。
自動プロビジョニングと記録
承認が完了すると、IGAは対象ユーザーのアカウントに権限を即時付与します。一連のプロセスは「監査ログ」としてシステム内に永久保存され、後の監査や棚卸時に参照可能となります。

ここではIGAでアクセス要求に必要な権限等の設定について説明しています。

ここでは、組織経由でロールを所属ユーザー全員に付与する方法について説明します。

下記のユーザーが所属する組織に、下記の表のロールを付与します。

表 2-1

ロール名	説明
End user	UIにログインするためのロール。
Approver	申請を承認するためのロール。

下記2つの手順のいずれかでユーザーを組織に所属させることで、組織経由で権限を付与します。
下記の資料を参照し、ユーザーのCSVファイルに1. でロールを付与した組織名を記載したうえで、IGAサーバーにプロビジョニングします。

参照: 【IGA】プロビジョニングマニュアル
下記のように組織にユーザーを直接付与します。

End user、Approverに☑を入れ、右下の「追加」ボタンを押下します。

赤枠の「保存」ボタンを押下します。

下記のように組織経由で権限がユーザーに付与されていることを確認します。

ここでは、ユーザーが「アクセス要求（Access Request）」画面から自らロールを申請できるようにするため、管理画面から対象ロールのプロパティの設定を調整する方法について説明します。

ここでは、対象ロールのガバナンス設定に承認者を登録し、付与申請時に承認者として自動でアサインされる仕組みを構築する方法について説明します。

IGA管理画面にて、ロールのガバナンス設定画面を下記のように開きます。「ロール」>「すべてのロール」> 対象ロール名 > 「ガバナンス」
下記の画面にて、下記の赤枠のボタンを押下します。

リレーションで「承認者」を選択肢、「追加」ボタンを押下します。

下記のように表示されれば、「承認者」としてユーザーを登録できています。

ここでは、ユーザーが自ら必要な権限を申請し、承認者が適切に判断するための設定手順をまとめています。この手順により、申請プロセスの透明化と管理負荷の軽減を実現します。

ここでは、権限を申請する方法について説明します。

ここでは、「ケース画面」にて、承認作業を行う方法について説明します。

本書が対象とするシステムには、オープンソースコミュニティによって開発されたソフトウェアが含まれています。

本書では、以下の OSSを使用したソフトウェアの利用手順を説明しています。

表 4-1

項目	内容
ソフトウェア名	IGA
バージョン	4.8.9
ライセンス名	Apache License, Version 2.0
URL	https://www.apache.org/licenses/LICENSE-2.0
配布元	https://github.com/Evolveum/IGA