日立 ID 特権アクセス・マネージャー の機能
日立 ID 特権アクセス・マネージャー は、次の機能により、特権パスワードを安全に管理し、特権アカウントに対するアクセス制御を行います。：
- パスワードのランダマイズ：
日立 ID 特権アクセス・マネージャー は、一日に2百万回といった多数の新規、ランダム値へのパスワード変更が出来るように設計されています。これにより、ハッカーや昔の管理者がシステムやアプリケーションに不当にアクセスするリスクを最小限にすることができます。
- 暗号化、複製用金庫：
日立 ID 特権アクセス・マネージャー ランダマイズパスワードを暗号化し、複製して金庫に納めています。これにより、不当なアクセスから保護するとともに、ハードウェア障害や物理的な災害からデータアクセスが出来なくなることがないようにします。
- 多数の組み込みコネクター：
日立 ID 特権アクセス・マネージャー は、100以上のシステムやアプリケーションをサポートする組み込みインテグレーターと共に出荷されます。これにより、ほとんどのサーバー、ディレクトリ、ネットワーク機器、データベース、アプリケーションなどで、カスタマイゼーションなしに重要なアカウントのアクセスを安全に運営することができます。
- ローカルサービスによるワークステーションサポート：
日立 ID 特権アクセス・マネージャー には、WindowsやLinuxが動作するラップトップ上にインストールするソフトウェアが添付されています。これにより、時に電源が切られたり、ネットワークから外されたり、IPアドレスが変更されたり、または、システムから物理的に取り除かれるコンピュータに対してもアクセスの安全を保つことができます。
- アクセスコントロール･ポリシーエンジン：
セキュリティ担当者は、日立 ID 特権アクセス・マネージャー上に誰がどのアカウントを使えるかを制御するポリシーをセットします。例えば、Windows管理者には、ローカルAdministratorアカウントへのアクセス権を与えられ、Unix管理者は、rootログイン権限が与えられる、等です。ポリシーエンジンはとても柔軟に出来ており、複数のシステムグループ上で、特定なアカウントに複数の管理者グループを割り当てることができます。
- ワンタイムアクセス要求のためのワークフロー：
日立 ID 特権アクセス・マネージャー には、強力なワークフローエンジンが備わっており、ユーザーが一度きりの特権アカウントへのアクセスを申請することができます。申請はポリシー(誰が要求でき誰が承認するか)に従って運営されます。
ワークフローエンジンは、e-mailを使って承認者に承認依頼をし、セキュアなウェブ形式を使って承認を行います。迅速な応答が得られるように、複数承認者への依頼、自動リマインダー送付、非応答承認者から代替者へのエスカレーションなどを行います。
- 柔軟なアクセス開示オプション：
パスワードを管理者に表示する代わりに、日立 ID 特権アクセス・マネージャーは、次の方法ができます。：
- パスワードを表示せずに、RDP, SSH、や同様なセッションの起動する。
- 一時的に承認されたユーザーのActive DirectoryアカウントをターゲットのWindowsサーバー上のローカルセキュリティグループに割り当てる。
- 一時的に承認されたユーザーのSSH公開キーをターゲットUnixあるいはLinuxサーバー上の承認されたユーザーキーリングに割り当てる。
- Windowsサービスアカウントパスワードを安全にするインフラストラクチャ：
管理者アカウントへのアクセスを管理するのに加え、 日立 ID 特権アクセス・マネージャーは、Windowsコンピュータ上で、サービスを起動したり、ジョブや他のバックグラウンドプロセスをスケジュールするのに用いるパスワードをランダマイズすることができます。これは、Windows サービスコントロールマネージャー、スケジューラー、IISや他のコンポーネントに新しいパスワードを伝えることができ、後にこれらのタスクが成功裡に開始できるようにします。
- 静的な、埋め込みパスワードを置き換えるAPI：
日立 ID 特権アクセス・マネージャーは、アプリケーションが他のアプリケーションにつながるために必要なパスワードを安全に取りだすことが出来るAPIを持っています。この機構により、アプリケーションソースコードやテキストファイルに平文のパスワードが置かれることがなくなります。
- 自動ディスカバリー：
日立 ID 特権アクセス・マネージャー は、構成作業を簡略化する二段階の自動ディスカバリシステムを備えています。 トップレベルのディスカバリプロセスは、日立 ID 特権アクセス・マネージャーがパスワードを管理する必要のあるネットワーク上のコンピュータを識別します。これは、 AD や LDAP, DNS 応答などから得たコンピュータオブジェクトのリストをベースにして行います。第二段階のディスカバリで、すべてのコンピュータを確認し、 日立 ID 特権アクセス・マネージャーで制御すべきパスワードを持つアカウントを、Administratorsグループに属しているか、実行サービスで使われているかなどにより、識別します。
- リポート：
日立 ID 特権アクセス・マネージャー には、多種の組み込みリポートがあり、下記の疑問に答えることができます。：
- どのコンピュータがネットワークに接続されているか？
- 過去30日以内に応答していないコンピュータはどれか？
- このコンピュータにサインインした管理者は誰か？
- この管理者が管理作業をしたシステムはどれか？
- 一回限りのアクセス申請を何回にも渡って申請しているのは誰か？
© Hitachi ID Systems, Inc. . All rights reserved.