SaaS のアカウントを管理するツールの種類と違い

SaaS(インターネット経由で使う業務ソフト)のアカウントを管理するツールを、この記事では 6 つに分けて比べます。名前が似ていても、解く問題が違います。取り上げるのは、ID 管理サービス、パスワードマネージャー、特権 ID 管理(PAM)、Enterprise Browser(会社が管理する専用のブラウザー)、SaaS 管理ツール、アクセス管理ツールです。SaaS のログインを会社が管理する方法の全体像では、ID 管理サービスの働きを SSO と代理入力に分けて 7 行にしています。他社製品の事実は、代表的な製品の公式ドキュメントと公式ページで確認できた範囲だけを書きました。

6 つの種類と確認した製品

①の働きはIdP(ID 管理サービス)とはに、②はパスワードマネージャーとはにまとめています。③は特権 ID 管理(PAM)とはにあります。

比較表

⑥の列は Junify の製品ページの範囲で書いています。製品ページに契約プランと費用の記載はないため、この表では扱いません。確認できなかった項目は「未確認」としています。

①〜⑤の根拠

①について、Microsoft の公式ドキュメントは、Entra ID が本人を確かめて結果をアプリに伝えると説明しています。アプリは自分でユーザー名とパスワードを管理しなくてよくなります。つながらないアプリには password-based SSO があります。Entra ID が ID とパスワードを保管し、アプリに送ります。共有アカウントを使う利用者は、実際のパスワードを見ません。Entra ID はサインインの記録を残すので、管理者は誰がいつアプリにアクセスしたかを確かめられます。Okta の SWA は、SAML などに対応しない外部の Web アプリに SSO の働きを与える技術です。ブラウザープラグインが、サインイン画面に ID とパスワードを自動で入れます。Application Usage レポートで、期間内に誰がアプリにサインインしたかが分かります。

②について、1Password の公式ヘルプは、共有した保管庫の項目をメンバーが見たり編集したりできるとしています。Teams の閲覧の権限は隠されたパスワードの表示を含みます。使用状況レポートは、メンバーごとに、使った項目と最後にアクセスした日時、行った操作(入力、表示、コピーなど)を示します。レポートの多くは Business の機能です。Teams と Teams Starter Pack では、1Password に料金を直接支払っている場合に、無料の試用で使えるとしています。ブラウザーの拡張機能が、サインインの画面に保存した ID とパスワードを入力します。

③について、IPA の「中小企業の情報セキュリティ対策ガイドライン」第 4.0 版は、特権 ID 管理という技術を挙げています。特権の利用申請や権限付与、操作ログなどを管理するものです。NRI セキュアの公式ページは、SecureCube Access Check の管理対象に、サーバー、ネットワーク機器、クラウドサービスを挙げています。利用者に特権 ID のパスワードを開示せずに自動でログインさせるとしています。申請と承認の形は、事後承認や多段階承認から選べます。特権 ID を使った操作はログとして記録・保管されます。対象の機器や端末にソフトを入れないゲートウェイ型(通信の途中に置く方式)です。Palo Alto Networks の公式ページは、Idira PAM が、サーバーなどの基盤と SaaS の両方を対象にすると書いています。操作の間に入って記録します。

④について、Google の公式ヘルプは、Chrome Enterprise Core で Chrome ブラウザーを一つの管理画面から管理できるとしています。対応するのは Windows、Mac、Linux、iOS、Android で、追加の費用はかかりません。設定(ポリシー)は、利用者が Google アカウントにログインしていなくても適用されます。レポートには、ブラウザーのバージョン、拡張機能、適用した設定が出ます。Chrome Enterprise Premium は、上位の有料版です。機密データの持ち出しを防ぐ制御と、状況に応じた SaaS へのアクセス制御を挙げています。Island の公式ページは、印刷、ダウンロード、画面の撮影、コピーと貼り付けを設定で制御するとしています。業務の操作も詳しく記録します。専用のブラウザーと、既存のブラウザーに入れる拡張機能の両方があります。同じページは、利用者が自分でパスワードを作り、保存し、呼び出せるとも書いています。保存したパスワードは暗号化されます。共有アカウントのパスワードを誰が知るかを管理する記述は、確認したページにはありません。

⑤について、ジョーシスの公式サイトが挙げているのは、管理外のアプリの検知、ID の一覧、入退社に合わせたアクセスの自動化です。契約プランと費用の見直し、端末の管理もあります。日々のログインの本人確認や記録は挙げられていません。

組み合わせ方

6 種類は、どれか一つを選ぶものではなく、アカウントの種類ごとに組み合わせます。一人一つの ID にでき、SAML でつながるサービスは①で済みます。何を使っているかが分からなければ、⑤で一覧を作るところからです。ブラウザーからのデータの持ち出しを止めたいなら④、サーバーの管理者 ID まで申請と承認の仕組みに載せたいなら③です。②と⑥は、①でつながらないサービスと共有アカウントを、パスワードを見せてよいか、本人ごとの記録が要るかで選び分けます。

この比較で Junify が要らない場合

すべての人に個人の ID を発行できて、そのサービスが ID 管理サービスとつながるなら、①だけで足ります。つながらないサービスと共有アカウントも、使う人が全員 ID 管理サービスにいるなら、①の代理入力で扱えます。記録が「誰がいつアプリに入ったか」で足りる場合です。パスワードを見てよい少人数で使うアカウントは②で配布と保管が整います。アクセス管理ツールを検討するのは、次のどちらかが残るときです。ID 管理サービスにアカウントを作らない人が使うこと、パスワードを知る人を増やしたくないことです。ログイン後の操作を記録したいだけなら、③や④でもできます。違うのは、対象になるサービスの範囲と、導入する形です。