Gluegent Gateの運用パターン - ID管理編 -
- Gluegent Gate
Gluegent Gateは、各種クラウドサービスをはじめとして、オンプレミスな社内システムへのシングルサインを可能とし、「適切な人」が「適切なサービス」を「適切な場所や端末」からアクセスできるようにする、アクセス制御の機能を備えています。これらの機能にフォーカスした運用パターンについては、以下の記事でご紹介しました。
今回は、もうひとつの重要な機能、「ID管理」の運用パターンについて、ご紹介します。
IDはどこに管理・格納されているのか
- Active DirectoryやLDAP Server
- 独自の社内システムの人事データベース
- 社員名簿
- まとまった場所がない
サービスにアカウントを登録する
「クラウド当たり前」な近年のID管理は複雑になりやすい
近年、特定の領域で高度な機能を備えたクラウドサービスが安価で利用できるようになっています。多くの組織では、G SuiteやOffice 365のようなクラウド型のグループウェアと合わせて、必要に応じて別サービスを組み合わせることが多いようです。ストレージ機能の強化のために、BoxやDropboxを足したり、営業部のみSalesforceを追加したりなどの利用形態です。 このような使い方をする時に、IDの適切な格納場所がなく、アカウントがそれぞれのサービスでバラバラに手動で作成されているような運用となってしまっているお客さまも多くいらっしゃいます。
IDの管理は一箇所だけで
Gluegent Gateでの運用
Gluegent Gateを使った運用では、どのような形態が取られるのでしょうか。 小規模な組織で少数のサービス利用のケース 例えば、ID数15で、利用するサービスは、G SuiteとBox、5人の営業メンバーのみSalesforceも利用するというようなケースです。Gluegent Gateを利用しなくても、この程度の数であれば、それぞれ個別に登録・利用しても良いかもしれません。ただ、Gluegent Gateは、それ自体がIDの管理・格納場所として機能します。そこで、Gluegent Gateに15人登録し、それぞれの利用するサービスを有効にします。これだけで、それぞれのサービスにアカウントが作成され、利用可能な状態となります。その上、以前の記事で書いた通り、シングルサインオンの機能により、一回のログインで全てのサービスが利用できますし、特定の端末からのみ使わせたいといったアクセス制御もGluegent Gateの画面のみで完結します。
更に、サービスの追加や、アカウント増、退職者アカウントの適切なクローズなどもGluegent Gateの画面から処理できます。 つまり、Gluegent Gateが無くても、頑張ればそれなりに使えるものですが、Gluegent Gateを入れることで、運用コストが大幅に下がり、高いセキュリティレベルを実現することができます。その余剰のマンパワーは、より組織の目的に直結するような仕事に使うことができます。 IDはADに格納されていて、利用するサービスもそれなりにあるケース 数百から数千のIDを管理する場合、前述のようなGluegent Gateのみでの管理は難しくなってきますし、そのようなボリュームであれば、ADのようなディレクトリサービスに情報を置いているケースがほとんどです。
部署の多岐にわたり、様々な仕事があるため、利用するサービスも多くなります。 このような場合、ADのデータをそのまま利用し、Gluegent Gateを経由して、必要なサービスにアカウントを作成するといった機能を利用することができます。当然、シングルサインオン、アクセス制御もそのまま利用できます。「AD/LDAP連携オプション」として、提供しています。このオプションを使えば、既存のADをそのまま利用し、プロビジョニングやシングルサインオンの利便性とアクセス制御による高いセキュリティを両立することができます。
IDは社内システムのDBにもあるし、一部はADにもあり、利用するサービスもそれなりにあるケース このケースは、一部事業を買収するなど、異なる形態でIDが管理されています。
この場合は、Gluegent Gateを素のままで使って、連携させることは困難かもしません。ただ、Gluegent Gateでは、「スプレッドシート連携オプション」を提供しています。この機能は、GoogleスプレッドシートにあるIDを、Gluegent Gateに取り込み、プロビジョニング等を行うということができます。つまり、散らばったIDの源泉とスプレッドシートをつなぐ処理を開発してあげることで、プロビジョニングまで連携できます。
様々なID源泉に対応できる柔軟なID管理
