c4.5 一時的な昇格アクセスを付与する

ジャストインタイムでアクセスを要求する

人が将来必要としうるすべてへの恒久的アクセスは、大きな常設の攻撃対象領域です。代わりに、アクセスをジャストインタイムでプロビジョニングします。従業員が特定のタスクのために一時的な昇格アクセスを、できれば承認ワークフローを通じて要求し、付与は期限付き・監査対象で、別の人が承認します（職務分掌）。期間が終われば、アクセスは削除されます。

実装の選択肢

Privileged Access Management（PAM）ソリューションは、必要に応じて一時的アクセスを発行します。CyberArk、Okta などのベンダーは IAM Identity Center と統合し、一時的な認証情報を付与します。別の PAM ツールを使う場合は統合方法を確認します。短命の認証情報を発行し、長期のアクセスキーをユーザーに露出・共有しないソリューションを優先してください。AWS ネイティブの一時昇格については Temporary elevated access を参照してください。

なぜ重要か

これはマネージドサービスプロバイダーで特に重要です。管理者が顧客アカウントへの特権アクセスを日常的に必要としないなら、一時的な昇格アクセスは、その管理者の認証情報が侵害された場合の影響範囲を抑えます。