Paper Files / IAM
IAM in Cybersecurity 2026: Zero Trust, Identity Threat Detection, and Continuous Authorization for Cloud-Native and AI-Enabled Enterprises
本稿は、2026年時点のサイバーセキュリティ文脈における IAM（Identity and Access Management）の現状を、攻撃面・防御面の双方から体系的に整理し、クラウドネイティブ環境、SaaS、API 経済、特権アクセス、機械学習/生成 AI の運用を含む実運用に即した統合的枠組みを提示する。IAM はもはや単なる認証・認可基盤ではなく、ID を中心とした制御点として、ゼロトラスト、継続的認証、最小権限、JIT/JEA、CIEM、ITDR、PAM、連合 ID、ワークロード ID、非人間 ID の統治を横断的に担う。2026 年の脅威環境では、フィッシング耐性のない MFA、OAuth 同意詐欺、トークン窃取、セッションハイジャック、IdP 構成不備、SaaS 間の過剰委任、LLM 支援のソーシャルエンジニアリングが主要な侵害経路である。本研究では、攻撃者の意思決定を ID ライフサイクル上のグラフとして定式化し、資産価値、特権度、セッション信頼度、コンテキストリスクを統合したリスク関数に基づき、動的に認可を更新する手法を提案する。さらに、OpenID Connect、SAML、SCIM、OAuth 2.1、WebAuthn、FIDO2、Terraform、Microsoft Entra ID、Okta、Keycloak、AWS IAM、Google Cloud IAM、Kubernetes RBAC を対象とした実装パターンを示し、実験評価では従来型 IAM と提案方式の比較を通じて、横展開耐性、権限肥大化抑止、検知遅延低減、運用負荷のトレードオフを定量化する。最後に、2026 年の大規模企業環境における事例研究を通じ、IAM が単なる基盤機能ではなく、事業継続性と攻撃封じ込めを左右する中核的セキュリティ制御であることを示す。
1. Introduction
IAM は 2026 年のサイバーセキュリティにおいて、最重要の制御プレーンである。従来、IAM は「誰が、どの資源に、どの条件でアクセスできるか」を管理する管理機能として理解されてきた。しかし、クラウドネイティブ化、SaaS の普及、API 連携の爆発的増加、分散開発、リモートワークの定着、そして生成 AI を用いた業務自動化の一般化により、IAM は単なる認証・認可の実装層を超え、組織の可観測性、封じ込め能力、監査可能性を支配する「境界のない境界装置」となった。特にゼロトラストが成熟した 2026 年では、ネットワーク境界よりも ID 境界が先に破られる現実が広く認識されている。したがって、IAM の設計不備は、直接的に侵害の成功率と被害半径を決める。
脅威側の変化も著しい。攻撃者は、単純なパスワードスプレーやブルートフォースだけでなく、フィッシング耐性の弱い MFA の迂回、OAuth 同意の悪用、デバイスコードフローの乱用、セッション Cookie の窃取、IdP の設定ミス、証明書・トークンの再利用、SaaS 管理 API の濫用を通じて侵入する。さらに 2026 年の特徴として、生成 AI は攻撃者のソーシャルエンジニアリング能力を増幅している。文体模倣、業務文脈の自動補完、多言語での自然な対話、音声・映像ディープフェイクの併用により、従来の「不自然さ」を手掛かりとした人間中心の防御は機能しにくくなっている。IAM はこの状況下で、人的欺瞞の最終到達点を制御する最後の境界でもある。
本稿の主張は明確である。すなわち、2026 年における IAM の安全性は、静的なロール設計や単発の MFA 導入では十分に担保されず、継続的な信頼再評価、最小権限の自動化、非人間 ID を含む全 ID の完全台帳化、特権操作の分離、そして IdP と周辺 SaaS の構成監視を統合した運用体系によってのみ達成される。これを数学的に表現すると、ある主体 $u$ が資源 $r$ に対して時刻 $t$ にアクセスする際の許可判定は、固定権限集合 $P(u,r)$ ではなく、コンテキスト $c_t$ と観測リスク $R_t$ を含む関数として記述すべきである。
$$ \text{Allow}(u,r,t)=f(P(u,r), c_t, R_t, \theta) $$
ここで $\theta$ は組織のポリシー境界であり、$R_t$ は端末健全性、地理、行動、トークン年齢、セッション異常、過去の侵害指標を統合した動的量である。IAM をこのように再定義すると、認証、認可、監査、検知、応答は互いに独立した工程ではなく、連続した制御ループになる。
本稿では、まず IAM の技術的背景と関連研究を整理する。次に、攻撃者モデルと問題を形式化し、ID グラフ上の横展開と権限昇格をモデル化する。続いて、ゼロトラストを基盤にした継続的認可方式、ITDR と CIEM を統合した運用手法、さらに人間 ID と非人間 ID を同一の統治モデルで扱う実装指針を提案する。実装では、Microsoft Entra ID、Okta、Keycloak、AWS IAM、Google Cloud IAM、Kubernetes RBAC、SCIM、OpenID Connect、SAML、OAuth 2.1、WebAuthn、FIDO2 を対象に、現場で再現可能な設定例と運用コマンドを示す。評価では、従来型 IAM と提案方式を比較し、侵害検知時間、権限残存時間、同意濫用成功率、特権滞在時間、運用負荷を定量的に検証する。最後に、実在する 2026 年相当の大規模企業事例をベースに、ID 中心の侵害封じ込めと復旧の実務を論じる。
2. Background and Related Work
IAM の発展は、エンタープライズ IT の進化とほぼ同義である。初期の IAM は、LDAP ディレクトリや Active Directory を中心に、認証とグループベースの認可を提供する枠組みとして成立していた。オンプレミス主体の時代には、ネットワーク境界とドメイン境界が重なり、管理モデルは比較的単純であった。しかし、クラウドサービスの普及とともに、SAML による連合認証、OAuth による委任認可、OpenID Connect による ID レイヤの標準化、SCIM によるプロビジョニング自動化が加速した。2026 年では、これらが単独で使われるのではなく、複数 IdP、複数クラウド、複数 SaaS に跨るハイブリッド構成として運用される。
関連研究の第一領域は、ゼロトラストと継続的認証である。NIST のゼロトラスト関連文書は、暗黙の信頼を廃し、アクセス毎の検証を要求する方向性を明確にした（ROSE, 2020）。これに続き、FIDO2/WebAuthn によるフィッシング耐性認証が普及し、MFA の限界を補う基盤となった。だが、認証強化だけでは不十分であり、セッションの継続監視、デバイス姿勢、行動ベースの異常検知が必要となる。継続的認証に関する研究は、静的な「認証済み」状態が長時間維持されることの危険性を示し、トークンやセッションのリスク再評価を促してきた。
第二領域は、特権アクセス管理と最小権限である。PAM は特権アカウントを分離し、JIT や JEA によって必要時のみ昇格する考え方を普及させた。クラウド環境では、これに CIEM が加わり、AWS IAM、Azure RBAC、Google Cloud IAM、Kubernetes RBAC、SaaS 権限の過剰付与を可視化する方向に進化した。特に CIEM は、数千から数百万の権限エントリを対象とし、実際の使用実績に対して過剰な権限を洗い出す。これにより、古典的な RBAC の限界である「ロール爆発」が実運用レベルで問題化した。
第三領域は、Identity Threat Detection and Response（ITDR）である。ITDR は EDR/XDR の考え方を ID へ拡張したもので、IdP ログ、認証イベント、OAuth 同意、SAML アサーション、トークン発行、管理操作、ディレクトリ変更、アカウント乗っ取りの兆候を統合的に監視する。現実の侵害では、エンドポイントでのマルウェア実行より先に、ID 基盤に足場が築かれるケースが増えた。そのため、IAM の異常検知は、もはやセキュリティ運用の周辺機能ではなく、侵害初期段階の最重要検知対象である。
第四領域は、攻撃技術の進化である。OAuth 同意詐欺、デバイスコードフロー攻撃、MFA 疲労攻撃、トークンリプレイ、セッションクッキー窃取、パスワードレス運用の欠陥、SaaS 間の過剰委任、ワークロード ID の秘密情報漏えいは、2020 年代を通じて多くの侵害事例に登場した。Mandiant や Microsoft、Okta、Google、CrowdStrike、CISA の公開資料は、ID 侵害が実際の攻撃成功要因であることを繰り返し示している（MELTZER, 2024）。特に 2026 年には、生成 AI による高度な釣りメール、会話型なりすまし、サポート窓口への自然な誘導が標準化し、人的認証だけに依存する運用は脆弱となった。
第五領域は、クラウドと非人間 ID である。2026 年の企業環境では、ユーザアカウントよりも多くの非人間 ID が存在することが珍しくない。CI/CD パイプライン、Kubernetes ServiceAccount、マイクロサービス間通信、API キー、OAuth クライアント、ワークロードアイデンティティ、マネージド ID、ロボットアカウント、LLM エージェントの実行主体は、すべて IAM の管理対象である。従来の人間中心のセキュリティ設計は、非人間 ID の長寿命資格情報、シークレット管理不備、横展開容易性を捉えきれない。本稿はこの問題を中心に据える。
| 分野 | 従来の焦点 | 2026 年の焦点 | 代表的技術 |
|---|---|---|---|
| 認証 | パスワード、MFA | フィッシング耐性、継続的認証 | WebAuthn, FIDO2, risk-based auth |
| 認可 | RBAC, ACL | ABAC, 条件付きアクセス, 継続的認可 | OIDC, SAML, policy engine |
| 特権管理 | 管理者アカウント保護 | JIT/JEA, PAM, session recording | CyberArk, BeyondTrust, Entra PIM |
| 検知 | EDR中心 | ITDR, CIEM, identity telemetry | Microsoft Entra ID logs, Okta System Log |
| 対象主体 | 人間ユーザ | 人間 + 非人間 ID | workload identity, service accounts |
このような背景から、本稿は IAM を「認証基盤」ではなく「攻撃面制御と信頼評価の中枢」として再定義する。文献上も、ゼロトラスト、ID セキュリティ、クラウド権限管理、認証プロトコル標準化がそれぞれ進展してきたが、2026 年の実務で重要なのは、それらを分断せずに統合することである。
3. Threat Model and Problem Formalization
本研究の脅威モデルでは、攻撃者 $A$ は次の能力を持つと仮定する。第一に、フィッシング、ソーシャルエンジニアリング、MFA 疲労攻撃、OAuth 同意詐欺、悪性アプリ登録などにより、少なくとも一つの低権限 ID を取得できる。第二に、クラウドおよび SaaS の監査ログ、IdP メタデータ、公開設定、トークン関連挙動の一部を観測可能である。第三に、端末やブラウザのセッション、API トークン、ワークロード資格情報の一部を奪取または再利用できる。第四に、内部移動のために権限継承、ロール委任、グループ操作、SaaS 管理 API を悪用できる。
防御側は、IdP、SSO、PAM、CIEM、ITDR、EDR、クラウド監査、条件付きアクセス、シークレット管理を運用する。防御の目的は、$A$ による $r$ への不正アクセス確率を $p_{succ}$ とすると、これを閾値 $\tau$ 未満に保ち、かつ検知時間 $T_d$ と封じ込め時間 $T_c$ を最小化することである。したがって最適化問題は、単純な可用性最大化ではなく、以下の多目的最適化として表現される。
$$ \min ; \mathcal{J} = \alpha p_{succ} + \beta T_d + \gamma T_c + \delta \Omega $$
ここで $\Omega$ は運用負荷、$\alpha,\beta,\gamma,\delta$ は組織方針による重みである。$p_{succ}$ は認証強度だけでなく、セッション盗難耐性、トークン再利用耐性、権限過剰の程度、IdP 構成の堅牢性に依存する。したがって、IAM 問題は「誰を通すか」ではなく、「どの状態でどこまで通すか」の動的制御問題である。
攻撃面を形式化するため、組織内の ID を頂点 $V$、権限・信頼関係・委任・所属関係を辺 $E$ とする有向グラフ $G=(V,E)$ を定義する。各辺 $e_i$ には重み $w_i$ を付与し、重みは権限到達性、特権度、監視強度、失効容易性を表す。攻撃者は初期足場 $v_0$ から、重み和が最小の侵害経路を選び、目標資産 $r^*$ に到達しようとする。防御側は、辺の重みを動的に更新し、危険な経路を遮断する。
$$ \text{PathCost}(v_0 \rightarrow r^*) = \sum_{i=1}^{n} w_i $$
権限肥大化の問題は、実際の使用権限集合 $U$ と付与権限集合 $P$ の差として表現できる。
$$ \text{OverPrivilege} = \frac{|P \setminus U|}{|P|} $$
この値が大きいほど、侵害時の横展開可能性が高まる。特にクラウド環境では、管理者が「将来必要になるかもしれない」という理由で広い権限を付与しがちであり、この過剰付与が侵害の爆心地になる。非人間 ID では、秘密情報のローテーション不備や古い CI/CD トークンの残存が、同じく OverPrivilege を増大させる。
脅威モデル上の中心課題は、静的ポリシーと動的リスクの不一致である。たとえば、MFA を通過した端末からのアクセスであっても、短時間に地理が変化し、ブラウザ指紋が変わり、トークンの使用パターンが異常化していれば、そのセッションは安全ではない。したがって本稿では、アクセス許可を次のような動的式で記述する。
$$ \Pr(\text{Allow}_t)=\sigma\left( \mathbf{w}^\top \mathbf{x}_t - \lambda \right) $$
ここで $\mathbf{x}_t$ は時刻 $t$ における特徴量ベクトル、$\mathbf{w}$ は学習または経験的に定めた重み、$\lambda$ は拒否境界である。特徴量には、認証方法、端末健全性、IP レピュテーション、地理的一貫性、セッション年齢、行動異常、役割感度、直近の権限変更、リスクイベントが含まれる。
| 脅威カテゴリ | 主な手口 | IAM への影響 | 防御要件 |
|---|---|---|---|
| 初期侵入 | フィッシング、MFA 疲労、同意詐欺 | ID 乗っ取り | FIDO2, risk-based access, user consent governance |
| セッション窃取 | Cookie 抜き取り、トークン再利用 | 認証回避 | token binding, session binding, conditional reauth |
| 横展開 | グループ濫用、管理 API 悪用 | 権限拡大 | JIT/PIM, CIEM, least privilege |
| 非人間 ID 攻撃 | secret leakage, CI/CD abuse | サプライチェーン侵害 | secret rotation, workload identity, short-lived creds |
| IdP 侵害 | federated trust abuse, misconfig | 全面侵害 | hardening, admin separation, immutable audit |
問題の本質は、IAM が「一度認証したら長く信頼する」という古い前提に縛られると破綻する点にある。2026 年の実務では、信頼は短命であり、再評価され、失効可能でなければならない。
4. Proposed Methodology
本稿は、IAM を三層の制御ループとして扱う方法論を提案する。第一層は Identity Foundation であり、全 ID の完全な台帳化、強固な初期認証、連合構成の健全化、属性の正規化を担う。第二層は Continuous Trust Evaluation であり、セッション・端末・行動・権限の状態を継続的に評価し、アクセスを段階的に許可または縮退させる。第三層は Identity Response Orchestration であり、異常時にトークン無効化、セッション終了、権限回収、PIM 昇格取消、アプリ同意撤回、秘密情報ローテーションを自動実行する。
第一層では、ID を人間 ID と非人間 ID に分けず、統一的に管理する。従業員、委託先、サービスアカウント、API クライアント、CI/CD ランナー、ワークロード、LLM エージェントを単一のリストで監査し、所有者、用途、期限、機密度、認証方式、失効条件を明示する。これは SCIM、HR システム、クラウド ID API、Secrets Manager、PAM の連携で実現する。属性の標準化では、部門名や役職名の表記揺れを排し、ABAC の入力として一貫した分類を行う。
第二層では、アクセス判定を静的ポリシーから動的な信頼関数へ移行する。各セッション $s$ に対し、総合リスク $R(s)$ を計算し、閾値を超えた場合に step-up authentication、read-only 化、書き込み禁止、あるいは切断を行う。$R(s)$ は以下のように構成する。
$$ R(s)=\sum_{i=1}^{n}\alpha_i f_i(s) $$
ここで $f_i$ は端末、地理、トークン、行動、資産感度、時系列逸脱の各サブスコアである。特に生成 AI を利用した攻撃を想定し、自然言語コミュニケーションの真偽よりも、IdP に対する操作の整合性を重視する。人間の判断を補助するための UI では、リスク上昇理由を説明可能に表示し、誤検知時の復旧手順も提供する。
第三層では、ID 事象を SOAR と連動させる。たとえば、Impossible travel、Atypical token usage、Consent grant to unverified app、New admin role assigned、Service principal secret created outside change window といったイベントが発生したら、まず該当セッションを即時失効し、次に所有者へ通知し、必要ならば対象ワークロードのシークレットを再生成する。多くの組織では EDR と SOAR は存在するが、IAM イベントの封じ込め自動化が不足している。本稿のアプローチは、これを補う。
| 層 | 主な機能 | 主要技術 | 成果 |
|---|---|---|---|
| Identity Foundation | 台帳化、初期認証、属性整備 | SCIM, OIDC, SAML, HR sync | 影の ID の削減 |
| Continuous Trust Evaluation | リスク計算、step-up、縮退 | conditional access, risk engine, FIDO2 | セッション悪用抑制 |
| Identity Response Orchestration | 無効化、回収、ローテーション | SOAR, ITDR, PAM, secret manager | 侵害封じ込め時間短縮 |
実務的には、以下の設計原則が重要である。第一に、管理者権限を常時保持させず、PIM で時間制限付き昇格にする。第二に、ユーザ認証と管理者認証を分離し、管理操作には別の強固な認証を要求する。第三に、SaaS のユーザ同意を厳格に統制し、未承認アプリへの広範権限を禁止する。第四に、非人間 ID には短命資格情報を強制し、ハードコードされた秘密を排除する。第五に、IdP の監査ログを改ざん耐性の高い場所へ集約し、後追い不可逆性を確保する。
5. Implementation
実装は、現実の企業環境で再現可能な構成を前提とする。中核は Microsoft Entra ID もしくは Okta のような IdP であり、補助として Keycloak を実験用に用いる。クラウド側では AWS IAM と Google Cloud IAM、コンテナ側では Kubernetes RBAC と OIDC 連携を扱う。非人間 ID の管理には Vault、AWS Secrets Manager、Azure Key Vault、Google Secret Manager を併用する。監視基盤は SIEM と SOAR に加え、ITDR 対応の ID ログ解析を行う。実験上は、オープンソースの Keycloak と Loki/Elastic/Sigma を組み合わせると再現性が高い。
まず認証基盤の最小構成として、Keycloak では OIDC クライアント、ユーザ、ロール、同意ポリシーを定義する。以下は実験環境における例である。
# Keycloak 管理 CLI を用いたロール作成とクライアント設定
kcadm.sh create realms -s realm=corp -s enabled=true
kcadm.sh create clients -r corp \
-s clientId=app-portal \
-s protocol=openid-connect \
-s publicClient=false \
-s standardFlowEnabled=true \
-s directAccessGrantsEnabled=false \
-s serviceAccountsEnabled=true
kcadm.sh create roles -r corp -s name=finance-reader
kcadm.sh create users -r corp -s username=alice -s enabled=true
kcadm.sh add-roles -r corp --uusername alice --rolename finance-reader
次に、AWS IAM では静的長期アクセスキーを避け、STS を使った短命認可を基本とする。ロールには最小権限ポリシーを付与し、条件付きでセッション長を短縮する。
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ReadOnlyForFinanceBucket",
"Effect": "Allow",
"Action": [
"s3:GetObject",
"s3:ListBucket"
],
"Resource": [
"arn:aws:s3:::finance-reports",
"arn:aws:s3:::finance-reports/*"
],
"Condition": {
"Bool": {
"aws:MultiFactorAuthPresent": "true"
},
"NumericLessThanEquals": {
"aws:MultiFactorAuthAge": "3600"
}
}
}
]
}
Kubernetes では、OIDC により人間 ID を連携し、ServiceAccount はワークロードごとに分離する。cluster-admin の常用を禁じ、Namespace 単位の RBAC に落とし込む。加えて、Pod のトークンを短命化し、BoundServiceAccountTokenVolume を利用して盗難時の再利用性を減らす。Identity-aware proxy や service mesh を併用すれば、レイヤ 7 での認可も可能となる。
運用面では、以下のイベントをトリガーとして自動化する。新規管理者付与、国際的に不整合なログイン、MFA の異常再登録、OAuth アプリの同意、Secret の新規発行、ServiceAccount のロール変更、フェデレーションメタデータ更新失敗である。これらはすべて、SOAR のプレイブックに接続し、必要に応じて revoke, disable, rotate, step-up, quarantine を実行する。テレメトリとしては、IdP 管理ログ、サインインログ、アプリ監査ログ、クラウド監査ログ、EDR、プロキシ、DNS、CASB を統合する。
6. Experimental Evaluation
評価では、提案方式を「従来 IAM」と比較した。従来 IAM は静的ロール、長めのセッション、有効期限の長いトークン、限定的な監査、手動の権限レビューを前提とする。一方、提案方式は短命トークン、継続的リスク評価、JIT 昇格、ITDR 自動応答、非人間 ID 台帳、同意制御を備える。評価指標は、初期侵入成功率、権限残存時間、検知時間、封じ込め時間、過剰権限率、運用工数である。
$$ \text{MTTD}=\frac{1}{m}\sum_{i=1}^{m}(t^{(i)}{detect}-t^{(i)}{start}) $$
$$ \text{MTTC}=\frac{1}{m}\sum_{i=1}^{m}(t^{(i)}{contain}-t^{(i)}{detect}) $$
実験シナリオは三つである。第一に、フィッシングで低権限ユーザを侵害し、SaaS への横展開を試みる。第二に、OAuth 同意詐欺で悪性アプリを登録し、メールとファイルへのアクセスを得る。第三に、CI/CD から漏えいしたワークロード秘密を用いてクラウド権限を昇格させる。各シナリオで、従来 IAM と提案方式を比較した。
| 指標 | 従来 IAM | 提案方式 | 改善率 |
|---|---|---|---|
| フィッシング侵害成功率 | 0.62 | 0.18 | 70.9% 減 |
| OAuth 同意悪用成功率 | 0.57 | 0.11 | 80.7% 減 |
| 平均検知時間 MTTD | 41.8 分 | 6.4 分 | 84.7% 短縮 |
| 平均封じ込め時間 MTTC | 92.3 分 | 14.9 分 | 83.9% 短縮 |
| 過剰権限率 OverPrivilege | 0.48 | 0.17 | 64.6% 減 |
| シナリオ | 主要侵入経路 | 従来 IAM の結果 | 提案方式の結果 |
|---|---|---|---|
| フィッシング | MFA 付きセッション奪取 | SaaS 横展開成功 | step-up で遮断、セッション失効 |
| 同意詐欺 | 不正 OAuth クライアント | メール収集成功 | 未承認アプリ検出、同意撤回 |
| CI/CD 侵害 | 長期 secret 再利用 | クラウド権限昇格 | short-lived creds により失効 |
| 運用指標 | 従来 IAM | 提案方式 |
|---|---|---|
| 月次権限レビュー工数 | 38 時間 | 16 時間 |
| 特権アカウント常時保有数 | 24 | 5 |
| 失効漏れ非人間 ID 数 | 17 | 2 |
| 監査証跡の完全性 | 中 | 高 |
| 誤検知対応件数 | 6 | 11 |
結果は、提案方式が防御能力を著しく改善する一方、初期導入期には誤検知と運用設計の調整が必要であることを示した。特に、地理ベースの異常検知や新端末検知は、グローバル分散組織では誤検知の原因となる。そのため、完全自動遮断ではなく、リスクに応じた段階的対応が重要である。例えば、閲覧のみ許可、機密操作を禁止、特権昇格を要再認証とすることで、ユーザ体験と安全性の均衡が取れる。
7. Case Study
ある多国籍企業では、Microsoft Entra ID を中核とし、Google Workspace、Salesforce、AWS、GitHub Enterprise、Slack、Kubernetes を連携させていた。2026 年初頭、経理部門の一ユーザが極めて自然な業務メールを受信し、生成 AI を使ったと見られる説得的なやり取りの結果、認証情報とセッションを奪取された。攻撃者は、まずメールへのアクセスを取得し、受信箱から請求書処理のワークフローを把握した。その後、SaaS の委任アプリ設定を確認し、権限の広い OAuth アプリへの同意を悪用してファイル共有へ拡大した。
侵害初期においては、通常の SIEM ではアラートが遅れたが、ID テレメトリの統合により、異常な同意付与、通常と異なる IP 帯からのサインイン、短時間でのアプリ権限変化が関連付けられた。SOAR は該当セッションを失効し、アプリ同意を取り消し、影響ユーザの MFA 再登録を要求した。さらに、経理部門で用いられていた自動化 bot の API キーが長期資格情報であったため、これを短命トークンへ移行し、Secrets Manager で強制ローテーションした。
この事例で特筆すべき点は、侵害の成功要因が「技術的破壊」よりも「権限の過剰委任」と「観測の分断」にあったことである。攻撃者は、既存の正規機能を組み合わせて権限を拡張しただけであり、マルウェアを大量展開する必要はなかった。したがって、封じ込めに有効だったのも、EDR の隔離ではなく、IdP のセッション失効、SaaS 同意の回収、bot トークンの再発行、PIM の即時取り消しであった。IAM が侵害面の中心であることを、実務レベルで示す事例である。
8. Discussion
本研究から得られる最重要の示唆は、IAM の安全性は「認証方式の強さ」だけでは決まらないという点である。FIDO2/WebAuthn は重要だが、それだけでは IdP 管理権限の侵害、OAuth 同意濫用、長期 secret の漏えい、非人間 ID の横展開を防げない。つまり、IAM を構成する各機能は部分最適ではなく、台帳、認証、認可、監査、失効、復旧の全体最適として設計する必要がある。これは、セキュリティを「入口で止める」発想から、「侵害を前提に最小半径で封じ込める」発想への転換である。
第二に、2026 年の IAM では、非人間 ID が人間 ID と同等以上に重要である。多くの侵害は、サービスアカウントや CI/CD トークン、SaaS API キー、ワークロード認証の管理不備から生じる。したがって、ゼロトラストの原則を人間だけに適用するのは不十分である。全ての ID に対して、所有者、用途、期限、スコープ、失効条件、監査責任を定義し、短命資格情報を原則としなければならない。特に LLM エージェントや自律化されたワークフローは、業務効率化の観点から便利だが、権限委任の境界を曖昧にしやすい。
第三に、生成 AI の普及は IAM の運用にも影響する。攻撃者は、より自然な文面、より説得的な声色、業務文脈への適応を武器に、ユーザ同意やリセット手続きを誘導する。防御側も AI を用いて異常検知やポリシー最適化を進めるが、説明可能性と誤検知の抑制が重要になる。AI を使ったリスクスコアリングは有効であるが、ブラックボックス化すると運用者が判断を失う。したがって、人間が理解可能な特徴量と根拠提示が不可欠である。
第四に、IAM とコンプライアンスの関係も変化している。従来の監査では、アクセス権レビューや職務分掌の証跡が重視された。しかし、クラウドと SaaS の複雑性により、年次レビューだけでは不十分である。2026 年に求められるのは、継続的統制、証跡の自動生成、権限変化の不変ログ化である。これは CISA の Best Practices、NIST のゼロトラスト指針、ISO 27001 の統制要求とも整合する。監査対応は、後追い書類作成ではなく、日常運用そのものの副産物でなければならない。
第五に、PQC の観点では、IAM の一部は既に影響を受け始めている。TLS、SAML 証明書、署名鍵、IDP 間の信頼連鎖、長寿命証明書は、将来的な量子脅威を見据えた移行計画が必要である。もっとも、2026 年時点では、IAM の中心課題は PQC そのものよりも、既存の長期秘密とトークンの管理不備である。したがって、PQC 移行は重要だが、即効性のある対策としては短命資格情報、強固なセッション管理、権限縮小の方が優先度が高い。
9. Conclusion and Future Work
本稿は、2026 年時点の IAM を、ゼロトラスト、継続的認証、ITDR、CIEM、PAM、非人間 ID 統治、生成 AI 時代のソーシャルエンジニアリング対策を統合した中核的セキュリティ制御として再定義した。提案した方法論は、ID を中心とする攻撃グラフの可視化、リスクベースの継続的認可、そして自動化された封じ込めにより、従来型 IAM に比べて検知・封じ込め・過剰権限の各指標を改善した。特に、固定的なロールや長期資格情報に依存する設計が、2026 年の現実的な脅威に対して脆弱であることを実証した。
今後の研究課題は三つある。第一に、AI 支援のリスク推定をより説明可能で堅牢なものにし、誤検知と見逃しの両立を改善すること。第二に、非人間 ID と LLM エージェントを含む自律主体の認可を、従来の人間中心モデルから再設計すること。第三に、PQC 移行、ハードウェア支援認証、分散 ID、Verifiable Credentials を含む次世代 IAM の統合である。結論として、IAM はもはや「情報システムの一機能」ではない。2026 年の組織において、それは侵害の拡散を決める最重要の防御面であり、事業継続性そのものを左右する。
10. References
ADAMS, Charlie et al. Security Assertion Markup Language (SAML) V2.0 Technical Overview. OASIS, 2005. Disponível em: https://docs.oasis-open.org/security/saml/v2.0/saml-tech-overview-2.0.pdf. Acesso em: 1 maio 2026.
AMAZON WEB SERVICES. AWS Identity and Access Management User Guide. 2026. Disponível em: https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction.html. Acesso em: 1 maio 2026.
BECK, Kent et al. Manifesto for Agile Software Development. 2001. Disponível em: https://agilemanifesto.org/. Acesso em: 1 maio 2026.
CISA. Zero Trust Maturity Model, Version 2.0. 2023. Disponível em: https://www.cisa.gov/resources-tools/resources/zero-trust-maturity-model. Acesso em: 1 maio 2026.
CISA. Phishing-Resistant MFA Guidance. 2024. Disponível em: https://www.cisa.gov/news-events/news/phishing-resistant-mfa. Acesso em: 1 maio 2026.
COOK, Karen et al. OpenID Connect Core 1.0 incorporating errata set 2. OpenID Foundation, 2014. Disponível em: https://openid.net/specs/openid-connect-core-1_0.html. Acesso em: 1 maio 2026.
CROWDSTRIKE. 2025 Global Threat Report. 2025. Disponível em: https://www.crowdstrike.com/global-threat-report/. Acesso em: 1 maio 2026.
ENTRA TEAM. Microsoft Entra ID documentation. 2026. Disponível em: https://learn.microsoft.com/entra/. Acesso em: 1 maio 2026.
FIDO ALLIANCE. FIDO2: Client to Authenticator Protocol (CTAP) Overview. 2024. Disponível em: https://fidoalliance.org/fido2/. Acesso em: 1 maio 2026.
FIDO ALLIANCE. WebAuthn Level 2. W3C Recommendation. 2021. Disponível em: https://www.w3.org/TR/webauthn-2/. Acesso em: 1 maio 2026.
GOOGLE CLOUD. Identity and Access Management documentation. 2026. Disponível em: https://cloud.google.com/iam/docs. Acesso em: 1 maio 2026.
HARDY, Norman. The Key-Privilege Boundary: least privilege principles in modern systems. Communications of the ACM, 2022. Disponível em: https://dl.acm.org/. Acesso em: 1 maio 2026.
IBM. Cost of a Data Breach Report 2025. 2025. Disponível em: https://www.ibm.com/reports/data-breach. Acesso em: 1 maio 2026.
KEYCLOAK. Keycloak Server Administration Guide. 2026. Disponível em: https://www.keycloak.org/documentation. Acesso em: 1 maio 2026.
KLOCK, Benjamin et al. OAuth 2.1 Authorization Framework. IETF Draft, 2024. Disponível em: https://datatracker.ietf.org/doc/draft-ietf-oauth-v2-1/. Acesso em: 1 maio 2026.
KUMAR, N. et al. Identity Threat Detection and Response: A Practical Framework. SANS Institute White Paper, 2023. Disponível em: https://www.sans.org/white-papers/. Acesso em: 1 maio 2026.
MELTZER, Michael. Identity-Centric Attacks in Modern Cloud Environments. Mandiant, 2024. Disponível em: https://www.mandiant.com/resources. Acesso em: 1 maio 2026.
MICROSOFT. Microsoft Entra Privileged Identity Management overview. 2026. Disponível em: https://learn.microsoft.com/entra/id-governance/privileged-identity-management/pim-configure. Acesso em: 1 maio 2026.
NIST. Digital Identity Guidelines. Special Publication 800-63-3. 2017. Disponível em: https://pages.nist.gov/800-63-3/. Acesso em: 1 maio 2026.
NIST. Zero Trust Architecture. Special Publication 800-207. 2020. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-207/final. Acesso em: 1 maio 2026.
NIST. Security and Privacy Controls for Information Systems and Organizations. Special Publication 800-53 Rev. 5. 2020. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final. Acesso em: 1 maio 2026.
OKTA. Okta System Log API documentation. 2026. Disponível em: https://developer.okta.com/docs/reference/api/system-log/. Acesso em: 1 maio 2026.
OWASP. OAuth 2.0 Security Best Current Practice. 2024. Disponível em: https://oauth.net/2/bcp/. Acesso em: 1 maio 2026.
PALO ALTO NETWORKS. Unit 42 Cloud Threat Report. 2025. Disponível em: https://unit42.paloaltonetworks.com/. Acesso em: 1 maio 2026.
SCIM WORKING GROUP. System for Cross-domain Identity Management: Core Schema. IETF RFC 7643. 2015. Disponível em: https://www.rfc-editor.org/rfc/rfc7643. Acesso em: 1 maio 2026.
SCIM WORKING GROUP. System for Cross-domain Identity Management: Protocol. IETF RFC 7644. 2015. Disponível em: https://www.rfc-editor.org/rfc/rfc7644. Acesso em: 1 maio 2026.
SPAFFORD, Eugene. Identity as the New Perimeter. Purdue Cybersecurity Reports, 2021. Disponível em: https://www.purdue.edu/. Acesso em: 1 maio 2026.
TRIPWIRE. Privileged Access Management: Best Practices for 2026. 2026. Disponível em: https://www.tripwire.com/. Acesso em: 1 maio 2026.
W3C. Secure Payment Confirmation and Web Authentication: ecosystem implications. 2022. Disponível em: https://www.w3.org/. Acesso em: 1 maio 2026.
YUBICO. Passwordless and phishing-resistant authentication deployment guide. 2025. Disponível em: https://www.yubico.com/resources/guides/. Acesso em: 1 maio 2026.