緊急用アカウント(ブレークグラス)とは

緊急用アカウント(ブレークグラス)とは、普段の管理者アカウントが使えなくなったときのために置いておく、強い権限を持つ予備のアカウントです。

緊急用アカウントとは何か

Microsoft Entra ID の公式ドキュメントは、この予備のアカウントを emergency access account と呼んでいます。「break glass」(非常時にガラスを割って使う、の意味)の場面で使うアカウントとも書いています。グローバル管理者(会社の環境全体を管理できる最上位の権限)を持たせ、普段の管理者アカウントが使えない、どうしても必要なときだけに使います。

何のために置くのか

目的は、管理者が誰も入れない状態を作らないことです。公式ドキュメントは、次のような場面を挙げています。

• 社内の認証の仕組みの障害。社員の ID を社内の仕組みで認証していると、その仕組みが止まったときに誰もログインできません。
• 二段階認証の端末が使えない状態。携帯電話の回線障害などで、管理者全員が確認コードを受け取れなくなります。
• 最後のグローバル管理者の退職。最後の 1 人のアカウントが社内側で削除・無効化され、取り戻せなくなります。
• 災害。携帯電話や通信網が使えなくなります。

そのため、2 つ以上のアカウントを、社内の仕組みから独立したクラウドだけのアカウントとして作るよう勧めています。

普段は使わないとはどういうことか

普段使わないための決まりが、公式ドキュメントに並んでいます。特定の個人に結びつけず、管理チームの複数人が知る安全な場所(耐火金庫など)にログイン情報を保管します。管理者ごとに個人の緊急用アカウントを作る形も選べます。ログイン方法は、普段の管理者アカウントとは別の方法にします。普段の管理者が認証アプリを使っているなら、緊急用にはパスキー(FIDO2。パスワードの代わりに手元の鍵型の機器で本人を確かめる方式)を使う、という例が挙げられています。場所や端末の条件でログインを制限する設定(条件付きアクセス)からは外します。その設定が原因で、緊急時に入れなくなるためです。

使ったら何をするか

使った記録を残し、そのつど見直します。公式ドキュメントは、緊急用アカウントのログインがあるたびに他の管理者へ通知し、サインインと操作の記録を保存するよう求めています。そのうえで、計画した訓練だったのか、本当の緊急だったのか、不正な利用だったのかを見直します。行った操作も記録で確かめ、許された範囲だったかを判断します。

定期的に何を見直すか

使わないまま置いておくと、いざというときに使えないことがあります。公式ドキュメントは、少なくとも 90 日ごとに、ログインして管理作業ができるかを試すよう求めています。合わせて、使ってよい人の一覧と手順書を更新し、担当者の異動や退職があったときにも同じ確認を行います。金庫の番号は定期的に変え、使える人が退職したときにも変えます。緊急用を含む管理者用アカウント全体の管理は管理者用アカウント(特権 ID)の管理にまとめています。