Okta・Entra ID がある会社で、それでも残る共有の管理者アカウント

Okta や Microsoft Entra ID がある会社でも、共有の管理者アカウントがすべてなくなるわけではありません。ID 管理サービスで扱える部分を先に確かめ、残る分をどこが受け持つかを決める役割分担の話です。

ID 管理サービスが受け持つこと

ID 管理サービスは、社員一人ひとりの ID を持ち、社員はそこに一度ログインすれば、つながっているアプリに入れます。Microsoft Entra ID の公式ドキュメントは、利用者は普段デスクトップやメールに使うのと同じ組織のアカウントで一度サインインする、と説明しています。見えるのは自分に許可されたアプリだけです。管理者は誰がどのアプリを使えるかを決め、グループで付けたり外したりできます。入退社に合わせたアカウントの作成・削除も、対応するアプリではここで行います。

共有の管理者アカウントも扱える

SAML(ID 管理サービスとつなぐための規格)に対応していない管理画面でも、ID 管理サービスが預かった ID とパスワードを代わりに入力する機能があります。Okta では Secure Web Authentication(SWA)、Entra ID では password-based SSO という名前です。

パスワードの見え方は、どちらも担当者には見せない作りです。Okta では、共有設定のパスワードを表示できるのは管理者だけで、利用者は表示できません。Entra ID の利用者も実際のパスワードは見ず、Entra ID が代わりにログインします。My Apps の拡張機能は、初回起動時にインストールを促されます。

記録と担当を外す操作にも、細かい違いがあります。Okta はシステムログでアクセスの時刻も引けます。Entra ID の記録では、管理者が誰がいつアクセスしたかを確認できます。Okta でアプリの利用の許可を外すと、その人の My Apps から消えます。Entra ID では、グループの所有者が管理者を介さず追加・削除できます。

Entra ID の前提には、契約プランのほかに 2 つあります。HTML のサインインページ(ID とパスワードを入れる通常のログイン画面)を持つアプリであることと、1 人あたり 48 件までであることです。Entra ID は、共有アカウントを使う人に MFA(多要素認証)を求めることや、対応するアプリではパスワードを定期的に自動更新することもできると書いています。この範囲なら、ID 管理サービスだけで共有の管理者アカウントを扱えます。

それでも残る場面

残るのは、上の表の前提から外れる場面です。

1. ID 管理サービスにアカウントのない人が使う。兼務や短期の担当者、社外の技術者などです。Entra ID では使う人ごとに契約プランが要り、Okta では Okta のアカウントが要ります。人数分のアカウントと契約を用意するかどうかで決まります。
2. ログインした後の操作まで記録・管理したい。上の表の記録は「誰がいつどのアプリに入ったか」までです。入った後に何を見て何を持ち出したかについて、Okta と Entra ID の公式ドキュメントに記述はありません。監査で操作の記録まで求められる場合は、サービス側の記録か別の仕組みで補います。
3. 管理画面側の二段階認証のコードをどう扱うか。代わりに入力する機能が、管理画面側の認証アプリのコードをどう扱うかは、両社の公式ドキュメントでは明示されていません。Entra ID が書いているのは、Entra ID 側で MFA を求められることです。

なお、代わりに入力する仕組みは、Okta も Entra ID もブラウザーの拡張機能が要ります。

役割分担の決め方

• 社員一人ひとりの ID と、SAML でつながるアプリは、ID 管理サービスが受け持ちます。本人確認と入退社の連動をここで行うためです。
• 使う人が全員 ID 管理サービスにいて、記録が「誰がいつ入ったか」で足りる共有の管理者アカウントは、代わりに入力する機能が受け持ちます。追加の仕組みなしで、パスワードを見せずに使わせられるためです。
• ID 管理サービスにいない人が使う共有の管理者アカウントと、ログイン後の記録が要るものは、別の仕組みが受け持ちます。台帳と貸出の記録、特権 ID 管理の製品、アクセス管理ツールのどれかです。ID 管理サービスの前提から外れるためです。

全員に個人アカウントを発行でき、ID 管理サービスの規格で認証と入退社と権限を管理しきれるなら、ID 管理サービスだけで十分です。残る分の扱いは、管理者用アカウント(特権 ID)の管理の表から選びます。方法ごとの違いはSaaS の管理者用アカウントを管理する方法の比較にあります。