アイデンティティ管理

1） IGAの目的と責任

IGA-誰がどのようなアクセス、なぜ、どのくらい、どのようにそれを証明するかを管理します。
目的：最小権利（最小特権）、「孤立した」アクセスの不在、SoD制御、規制の証明可能性（該当する場合はGDPR/ISO/AML/PCI）、権利の迅速な付与/取り消し。

• スタッフ：スタッフ、請負業者、一時的な。
• B2B/vendors/affiliates：外部ユーザー/統合。
• サービス/ボットアカウント：API/インテグレーション、マシン。
• 高いリスク：管理者、支払い、AML/KYC、 DPO、 DevOps/SRE。
• （Op。） CIAM：プレーヤー-別のシステムで；IGAでは統合ロールと境界が固定されています。

2）アーキテクチャと真実の源泉

権威あるソース：HRIS/HRシステム（人員用）+ベンダー登録（外部用）。
IdP/SSO： OIDC/SAML、グループ↔役割（SCIM）。
IGAコア：エンタイトルメントカタログ、SoDルール、ワークフローリクエスト、再認証キャンペーン、レポート。
プロビジョニング：ターゲットシステムへのコネクタ（管理パネル、DWH/BI、 KYC/AML、 PSP、 Git/CI、 Jira/Confluence、クラウド、K8s）。
アイデンティティ・ウェアハウス/メタデータ：属性（部門、役割、地域、信頼レベル、従業員タイプ）の集計。
PAM/JIT：特権セッションおよび短期的な昇給のため。

3） JML-アイデンティティのライフサイクル

Joiner（オンボーディング）

HRISからアカウントを作成する→birthrightロール（SSO、メール、基本ツール）を割り当てる).

position/command/location/tenantによるドメインロール。プライマリSoDチェック。
MFA/WebAuthn、パスワードマネージャ、トレーニング。

ムーバー

位置/プロジェクト/場所を変更する際の権利の自動改訂;古い役割の除去（蓄積なし）。
SoD再評価、ABAC属性（リージョン/テナント）の更新、JITテンプレート。

リーバー（オフボーディング）

SSO ≤ 15分間のブロック、トークン/APIキーの取り消し、セッションの終了、DWH/管理者へのアクセスの取り消し、アーティファクトの所有権の移転、ポリシーによる削除/アーカイブ。

4）権利ディレクトリとロールモデル

エンタイトルメントカタログ：正規化された権利（CRUD/操作/エクスポート/管理）、所有者、リスクレベル、システム、SoD競合、デフォルトのPIIマスキング。

• コア：'employee_basic'、 'viewer_internal'。
• payments_ops、 'aml_officer'、 'kyc_operator'、 'fraud_analyst'、 'vip_manager'、 'bi_analyst'。
• システム：'devops_admin'、 'dba_admin'、 'read_only_prod'。
• 特権（JIT/PAM）： 'prod_db_jit_editor'、 'break_glass_admin'。
• コードとしての役割：リポジトリ内のYAML/JSON+CIバリデータ+CABチェンジログ。

yaml role: payments_ops@EEA description: "EEA payment transactions"
entitlements:
- FIN:APPROVE_WITHDRAWAL
- FIN:VIEW_TX_MASKED constraints:
region: EEA data_class: <= Confidential sod_conflicts:
- FRAUD:RULE_ADMIN masking: default owner: head_of_payments

5）アクセスおよび承認要求（ワークフロー）

IDM/ITSMポータル：'purpose'、 Term （TTL）、 systems/rolesによる要求。

• 低リスク：ドメイン所有者による自動承認。
• ハイリスク/PII/マネー：オーナー+セキュリティ/コンプライアンス（PII unmaskの+DPO）。
• 高度のためのJIT （15-120分）、自動リコール、フルセッション録音（PAM）。
• SoDは同期的にチェックし、競合する組み合わせをブロックします。

6） IGAのSoDおよびABAC

SoDルール： 互換性のないロール/右ペア（例：'payments_ops' ↔ 'fraud_rule_admin'）

ABAC属性：環境（prod/stage）、地域/テナント、デバイス（MDM）、時間/シフト、デバイスリスク、KYCレベル、'purpose'。
アンマスクポリシー：'pii_unmask' JITのみ+confirm+auditフィールド。

7）再認証とキャンペーン

四半期ごとのレビュー：所有者は従業員/ベンダーのアクセスを確認します。
イベントキャンペーン：組織再編、システム所有者の変更、製品の撤退。
「掛かる」権利の自動リコール（未使用>30/60日）。

8）ベンダーおよび外部ID （B2B）

B2Bテナント、名前付きアカウント、最小のAPIスコープ、allow-list IP、タイムウィンドウを分離します。
DPA/SLA：役割、ジャーナル、保持、地理、インシデント、サブプロセッサ。
オフボーディング：キーリコール、削除の確認、閉鎖行為。

9）サービス/ボットアカウントと秘密

所有者/目的/用語、ログインなしでIGA登録。mTLS/OIDC client-creds/signed webhookによる認証。
秘密のマネージャーのキー；スケジュール/イベントによる回転。ログを呼び出します。

10）ログ、監査、報告

ОбязательныеСО-'）：'ACCOUNT_PROVISION/DEPROVISION'、'ROLE_ASSIGN/REVOKE/UPDATE'、'ACCESS_REQUEST/DENY Y'、'JIT IT_GRANT ANT'、'BAND_GR' BAND 'BAND' BAND 'BAND' BRA'、 'BRE' BRA' BRA' BRE' BAAAAAAAAAAaEND'、 'EXPORT_DATA'、 'PII_UNMASK'。

WORMコピー、ハッシュチェーン、パケット署名、'ts_utc'/'trace_id'/'actor_id'/'purpose'。
レポート：再認証カバレッジ、SoD違反、孤立したアクセス、SLA JML、 JIT統計。

11）指標（KPI/KRI）

提供時間（Joiner）：中央値≤ 2時間（キーシステム）。
Deprovision （Leaver）までの時間：≤ 15分（SSO/critical）、 ≤ 4 h（二次）。
SoD違反：=0（試行-自動ブロック）。
再認証完了：時間通りに100％。
孤立したアカウント：=0；休眠アクセスクリーンアップ≥ 98％/24％。
JIT率：標高の≥ 80％-JIT。
Masked Reads Ratio： PIIへの呼び出しの95％ ≥がマスクされています。

12） SOP（プロシージャ）

12.1役割の作成/権利ディレクトリの変更

1.ドメインの所有者の問い合わせ→タスクの形式化→エンタイトルメントのマッピング→SoD-check→パイロット→CAB→リリース（YAML）→発表。

12.2アクセスリクエスト

1.Request with 'purpose '/TTL→SoD/ABAC check→route of approvals→issuance（しばしばmasked-read）→logging→revision date。

12.3オフボーディング

1.HRIS/Portal→SSO Block/Sessions→Group/Role/Key Recall→Ownership Transfer→Reportからのイベント。

12.4再認証

1.開始→キャンペーンダニング→期限切れのエスカレート→未確認権の自動リコール→レポート。

13）ポリシー例（スニペット）

13.1 BirthrightSoD

yaml birthright:
roles:
- employee_basic
- viewer_internal sod:
conflicts:
- [payments_ops, fraud_rule_admin]
- [kyc_operator, support_agent]

13.2 JITルール

yaml jit:
roles:
- prod_db_jit_editor
- pii_unmasker ttl_minutes: 30 approvals:
- owner
- security session_recording: required

13.3再認証キャンペーン

yaml recertification:
frequency: quarterly scope: [payments_ops, aml_officer, devops_admin]
auto_revoke_unused_days: 60

14）安全性とコンプライアンス

GDPR/プライバシー：知っておくべきこと、マスキング、DSAR互換性、PII監査。
AML/KYC：トレーニングのみの役割；決定のジャーナル、ログのリテンション。
ISO/ISMS： IGAポリシー必須;年次監査テスト演習。
PCI（該当する場合）：支払いゾーンの分離；別のキーおよびホスティング。

15） IGA（高速プレイブック）インシデント

「目的」/SoD違反→ロール/アカウントブロッキング、インシデントオープン、アクションのレトロ監査、DPO/コンプライアンス通知、CAPA（ロール/ポリシー/トレーニング編集）なしで検出されたアクセス。
アカウントの侵害→セッション/トークンの取り消し、秘密の変更、ログの分析、必要に応じて通知。

16）チェックリスト

アクセスを許可する前に

• 指定された'purpose'とTTL
• SoD/管轄/データクラス検証済み
• マスキング/ABAC有効
• 承認を受け取った（所有者/セキュリティ）
• 記録されたログと改訂日

四半期ごと

• 100％ロール再認証
• 未使用権の自動取り消し
• B2B/vendorアカウントの検証
• サービスアカウントキーの回転

17）実装ロードマップ

週1-2：システムのインベントリ、HRIS/IdP接続、基本的な母権の役割、権利ディレクトリ、SoD行列。
週3-4： SCIMプロビジョニング、アプリケーションポータル、JIT/PAM、 YAMLロールリポジトリ、最初の再認証キャンペーン。
月2：コネクタ拡張（KYC/AML/PSP/DWH）、 ABAC属性（地域/MDM/時間）、レポートおよびKRI。
月3+：SoD分析の自動化、ロールマイニング/推奨事項、UEBAシグナル、定期的な演習およびベンダー監査。

TL；DR（ドクター）

効果的なIGA=HRIS→IdP→IGA-yadro→provizhening、コードとしての役割/権利、高速オフボーディングのJML、 SoD+ABAC、特権のためのJIT/PAM、再認証および厳格な監査。その結果、リスクとコストの削減、アクセスの高速化、コンプライアンスの強化、透明性の向上が実現します。