割り当てと関係

割り当てと関係では、個別のプリンシパルから認可を切り離すことで、アクセスを大規模に管理できます。特定のユーザーを対象にする何千ものポリシーを作成する代わりに、ロールベースの関係を作成して、リソース上のプリンシパルに割り当てます。

早期アクセスリリース

概要

割り当てと関係は、関係ベースのアクセス制御（ReBAC）を実装し、アクセスを大規模に管理します。各リソースの各プリンシパル（ユーザー、グループ、ワークロードロール）に個別のポリシーを作成する代わりに、関係（「オーナー」、「監査人」、「運用者」など）を定義してから、割り当てを使用して、これらの関係を持つリソースにプリンシパルをマッピングします。ポリシーは、個々のプリンシパルではなくこれらの関係を対象とし、組織の規模に応じてポリシーの複雑さを軽減し、アクセス管理を簡素化します。

割り当てと関係は、次の2つの中心的概念に基づいて構築されます。

割り当て: プリンシパル（ユーザー、グループ、ワークロードロール）をリソースにマッピングするコンテナ。各プリンシパルには、関係がタグ付けされています。これにより、各プリンシパルを関係によってタグ付けした、プリンシパルとリソース間の明示的なマッピングが可能になります。たとえば、割り当てはユーザーBobを「監査人」関係を持つ特定のActive Directoryアカウントにマッピングします。
関係: 管理者が定義した名前付きロールで、プリンシパルがリソースとやり取りする方法を表します。関係は名前と説明で、関係自体はアクセスを付与しません。アクセスは、ポリシーが明示的に関係を対象とし、プリンシパルがターゲットリソースでその関係を保持する場合にのみ付与されます。

メリット

ポリシースプロールの縮小：1つの関係ベースが、プリンシパル固有の数千のポリシーを置き換えます。
オンボーディングの簡素化：新しいチームメンバーが割り当てに追加されます。ポリシーが自動的に適用されます。
よりクリーンな監査：単一の割り当て更新イベントにより、誰が、どのリソースで、どの関係を実行したかが正確に示されます。
より容易なメンテナンス：アクセス管理は、ポリシーの書き換えではなく、割り当ての更新になります。

仕組み

関係、割り当て、割り当てポリシーを作成・管理できるのは、Okta Privileged Accessセキュリティ管理者のみです。

名前と説明を使用して割り当てを作成し、含めるリソースを選択します。
プリンシパル（ユーザー、グループ、ワークロードロール）を割り当てに追加し、それぞれに関係をタグ付けします。
特定のプリンシパルではなく、リレーションシップを対象とするセキュリティポリシーを作成します。
このポリシーは、任意の割り当て時に対象の関係を保持するプリンシパルに自動的に権限を付与します。

割り当てとリソースの割り当て

Okta Privileged Accessに含まれる2つの機能は、類似した用語を使用し関連するものの、異なる機能です。

割り当て（ReBac）: このページで説明されている関係ベースの機能。割り当てを作成してプリンシパルをリソースにマッピングし、それらを関係でタグ付けしてから、セキュリティポリシーでそれらの関係を対象にし、拡張性のあるアクセス制御を実現します。
リソースの割り当て（リソース管理者機能）: リソース管理者が組織上・管理上の目的で、リソースグループおよびプロジェクトに個々のサービスアカウントまたはリソースを割り当てる既存の機能。これは、セキュリティ制御のメカニズムではなく、主にリソース管理者が使用する個別のアカウント管理機能です。

「割り当て」はセキュリティポリシーのメカニズムであり、「リソース割り当て」はアカウント管理の機能です。この2つを混同しないでください。

クォータと制限

関係、割り当て、リソース、関連アイテムに関するチーム全体の制限事項については、「割り当てのクォータと制限」を参照してください。