ワークロードID

ワークロードIDとは？

ワークロードIDとは、人間のユーザーがサインインすることなく、組織のリソースにアクセスするためにプログラムに従って認証されるアプリまたはサービスです。エンドユーザーアプリとは異なり、ワークロードIDはクライアントシークレット、証明書、秘密鍵などの資格情報を使って自律的に機能します。

ISPMは、以下のワークロードIDを認識します。

Okta OIDCアプリ

Oktaに登録され、OpenID Connectedを使用してプログラムで認証されるアプリ。これらのアプリは、クライアントシークレットまたは秘密鍵JWTを使用してIDを証明します。人間のサインインは必要ありません。

Okta APIサービス統合

OAuth 2.0クライアントの資格情報フローで認証を行い、Okta APIに直接アクセスするマシンツーマシン統合。

Salesforce接続アプリ

Salesforce org内で直接作成された、管理対象外のOAuthアプリ。

Salesforceが管理する接続アプリ

Salesforce AppExchange（サードパーティ統合）からインストールされたアプリ。これらのアプリは外部で制御されているため、リスクが高くなります。

エンタープライズアプリケーション

Microsoft Entra ID（旧Azure AD）に登録されているアプリ。これらのアプリは、ディレクトリでサービスプリンシパルとして示されます。各アプリには、組織リソースに対する委任権限またはアプリレベルの権限が付与されます。このようなアプリには、時間の経過とともに広範な権限が累積されることが多く、資格情報がローテーションされなかったり、スコープがレビューされていない場合には、高リスクになる可能性があります。

ワークロードID権限が重要な理由

ワークロードIDには多くの場合、初期セットアップ時に広範な権限が付与され、その後にレビューされることはほとんどありません。そのため、時間の経過とともに、隠れた攻撃対象領域が生じます。侵害されたか正しく構成されていないワークロードIDが、その権限を利用して、機密データへのアクセスやディレクトリオブジェクトの変更を行ったり、重大な場合には、完全なテナント乗っ取りを実行する可能性があります。

一般的なリスク要因には次が含まれます。

• ローテーションされたことがないか、有効期限のないクライアントシークレット
• 運用上のニーズを超える管理スコープが付与されたアプリ
• 所有チームが保守していない孤立アプリ

ワークロードIDインベントリについて

ISPMのワークロードIDインベントリは、Okta、Salesforce、Microsoft Entra ID全体のすべてのワークロードIDを、1つの検索可能なダッシュボードに集約します。インベントリでは、各IDで次の情報が表示されます。

• client_secret_basic、client_secret_post、client_secret_jwt、private_key_jwtなどの使用中の認証方法
• アプリに付与された権限とスコープ
• クライアントシークレットと証明書の有効期限を含む、シークレットローテーションステータス

メリット

セキュリティ担当者

• 最小権限の原則に違反する、過度の権限があるアプリを特定する
• 無期限の資格情報の公開を表す、古いシークレットまたは一度もローテーションされていないシークレットを検出する
• 付与された権限の機密性に基づいて、修復を優先する
• 単一の侵害された資格情報からのテナントレベルの侵害リスクを軽減する

IDおよびアクセス管理の管理者

• 手作業での監査やスプレッドシートなしで、正確で最新のインベントリを維持する
• Okta、Salesforce、Microsoft Entra ID全体のシークレットの有効期限を1か所から追跡する
• 弱い認証方法を使用しているアプリを見つけ、アップグレードを計画する
• アプリの権限レコードをドキュメント化し、コンプライアンスと監査の要件をサポートする