属性ベースアクセス制御

属性ベースアクセス制御（ABAC）は、リクエスター（エンドエンティティ／ユーザー）と対象リソース／データ／オブジェクトに対して、きめ細かな認可判断を可能にする柔軟なアプローチです。各リクエスターおよびリソースには、それぞれ関連する属性のセットがあります。これらには、ディレクトリ内に保存された永続的な属性や、リクエスト時刻、多要素認証器の種類、デバイス情報などのコンテキスト属性が含まれます。

従来、認可判断はロールベースアクセス制御（RBAC）によって行われ、グループメンバーシップ、組織上の役割、管理者権限などの要素が評価されてきました。RBACは特定の状況では有効ですが、その適用範囲は今日の複雑な脅威環境に対応するには限定的であることが少なくありません。OMB Memorandum M-22-09で概説されている米国連邦政府のゼロトラスト戦略では、よりきめ細かくコンテキストを考慮した認可判断を行うために、各機関にABACの採用を指示しています。

Ping Identityは、ABACの実装および適用を目的として設計されたソリューションを提供します。これらはオープン標準に基づいて構築されており、単独でも組み合わせでも導入可能で、組織のIdentity Credential and Access Management（ICAM）機能のモダナイゼーションを実現します。モバイル、デスクトップ、Webアプリケーションにわたり、PingのコントロールはSAMLやOIDCなどの標準ベースのフェデレーションプロトコル、ヘッダーベースのURL制御、またはAPIレイヤー内で適用でき、組織全体にわたるセキュリティを拡張します。

PingのABACソリューション

最新のABAC導入には、さまざまなテクノロジーが関与します。これには、マスターユーザーレコード（MUR）、シングルサインオンフェデレーションエンジン（SSO）、およびインバウンドとアウトバウンドのABACポリシーエンジンが含まれます。

マスターユーザーレコード – PingDirectory

PingDirectoryは、アイデンティティおよびリッチなプロファイルデータを保存するための高速かつスケーラブルなディレクトリです。PingDirectoryは、アイデンティティおよびリッチなプロファイルデータを保存するための高速かつスケーラブルなディレクトリです。数百万のアイデンティティに対して最大限の可用性を必要とする組織は、PingDirectoryを使用して顧客、パートナー、従業員の機密データを安全に保存および管理しています。PingDirectoryは単一の信頼できるアイデンティティ情報源として機能し、ユーザーの属性を集約して保存するマスターユーザーレコード（MUR）の作成に活用でき、ABACの認可判断を支える信頼できる情報源として利用できます。

MURの保有は、組織全体にわたるユーザーのより包括的な可視化とライフサイクル管理を可能にするため、ABACの重要な基盤となります。MURは、ユーザーの権限を迅速に管理するためのアイデンティティガバナンスおよび管理（IGA）エンジンの論理的統合ポイントであり、オンボーディングおよびオフボーディングのための集中ポリシーにも対応します。

ユーザーは、インポート、API接続、手動入力、またはLDAP、RDBMS、JDBC、SCIMデータストアからの双方向リアルタイム同期を通じてPingDirectoryに取り込まれます。構造化データと非構造化データの両方が、暗号化、パスワードバリデーター、暗号化ログ署名などを活用して保護および保存されます。PingDirectoryは組織がアイデンティティサイロを排除するのを支援し、企業全体の認可判断に使用される信頼できる記録システムとなります。

シングルサインオン – PingFederate

PingFederateは、ユーザー認証とシングルサインオン（SSO）を効率化するエンタープライズ向けフェデレーションサーバーです。エンタープライズアプリケーション、サードパーティの認証ソース、ユーザーディレクトリ、既存のICAMシステムとシームレスに統合し、最新およびレガシーのアイデンティティ標準の両方をサポートします。

PingFederateを使用すると、認証時に複数のディレクトリ、データベース（MURを含む）、外部アイデンティティプロバイダー、ユーザー提供の認証情報など、多様なソースから属性を取得できます。さらに、その高度なポリシーオーケストレーションエンジンにより、エンドポイント保護プラットフォーム（EPP）、拡張検知および対応（XDR）、その他のセキュリティソリューションを適応型認証プロセスに統合でき、ユーザー認証情報が公開される前にデバイス認証を確実に実施します。

これらの属性はABACの判断および適用に活用でき、組織全体のセキュリティを強化します。

サポートされるフェデレーション標準には、OAuth、OpenID、OpenID Connect、SAML、WS-Federation、WS-Trust、System for Cross-Domain Identity Management（SCIM）が含まれます。さらに、PingFederateはPIVやCACなどのx.509認証器を直接サポートし、外部アイデンティティプロバイダーを一元化された認証ポリシーエンジンに接続するフェデレーションハブとして機能します。

インバウンドABAC – PingAccess

PingAccessは、包括的な認可ポリシーエンジンを備えた集中型アクセスセキュリティソリューションです。URLレベルに至るまでアプリケーションやAPIへの安全なアクセスを提供し、認可されたユーザーのみが必要なリソースにアクセスできるようにします。PingAccessは、ルールやその他の認証基準を使用してWebアプリ、API、その他のリソースを保護でき、エージェントベースおよびWebアクセスゲートウェイベースの導入を通じて活用できます。

PingAccessは、ユーザーと保護対象アプリケーションの間に配置されることで認可を適用します。この適用はインバウンドABACと呼ばれ、ユーザーとアプリケーション間のリクエストをインターセプトし、要求されたアプリケーション内のリソースに対して要求ユーザーがアクセスすべきかどうかを判断する動的な認可決定を挿入します。

PingAccessは、柔軟な認可ポリシーエンジンを通じて、粗粒度および中粒度のABACを実現および適用します。これらのポリシーで評価される属性は、PingFederateなどのフェデレーションエンジンから送信されるアサーション、トークン、バックチャネルAPI、および／またはMURを含む利用可能なディレクトリから直接取得できます。これにより、PingAccessはフェデレーションエンジンから提供されるデータを、構成可能なソースを通じて利用可能な追加属性で拡張できます。

アウトバウンドABAC – PingAuthorize

PingAuthorizeは、ユーザーおよびアクセスされるリソースに関するリアルタイムのコンテキストを活用してセキュリティを確保し、コンプライアンスを実現するきめ細かなアクセス制御を提供します。これはきめ細かな認可ソリューションとして機能し、リアルタイムデータを活用してデータ、サービス、API、その他のリソースへのアクセスに対する認可判断を行います。PingAuthorizeは、行動、アクティビティ、またはその他の任意の属性に基づいてアクセス要求を許可、ブロック、フィルタリング、または難読化する動的な認可ポリシーを管理者が設定できるようにします。

PingAuthorizeは、保護対象アプリケーションと要求されるデータ／リソースの間に配置されることで認可を適用します。この適用はアウトバウンドABACと呼ばれ、アプリケーションと要求されるデータ／リソース間のリクエスト（通常はAPIリクエストとして処理される）をインターセプトします。PingAuthorizeはこのAPIレベルで動的な認可決定を組み込み、要求ユーザーがアクセスを許可されている内容に基づいてリクエストをインターセプトおよび変更します。

PingAuthorizeを通じて構成および適用される動的な認可ポリシーは、あらゆるアイデンティティ属性、同意、権限、リソース、またはコンテキストを評価し、リアルタイムでABAC判断を行うことができます。PingAuthorizeは、デジタルトランザクションおよびアプリケーションのデータアクセスに対する集中管理を提供します。

柔軟な導入

これらのソリューションは、Ping IdentityのDoD IL5/FedRAMP High SaaSプラットフォーム、プライベートクラウド、従来型のオンプレミス環境、さらにはエアギャップ、DDIL、またはネットワーク分離環境においても、すべて完全な機能同等性を備えて導入可能です。各ソリューションは、ユーザーフレンドリーなグラフィカルインターフェース、またはRESTful APIsを使用した自動構成によって管理できます。

サポートされる導入方式

• FedRAMP High、DoD IL5 SaaS
• プライベートクラウド
• オンプレミス
• ハイブリッド（オンプレミスおよびクラウド／ホステッド）
• Disconnected, Disrupted, Intermittent, and Limited（DDIL）
• エアギャップまたはネットワーク分離環境

ABACを中心に構築された最新のICAM

Ping Identityの独自のポートフォリオにより、外部および内部のアイデンティティをフェデレーションハブとマスターユーザーレコード（MUR）を通じて一元化し、インバウンドおよびアウトバウンドの属性ベースアクセス制御による動的な認可を実現できます。

Ping Identityは、連邦機関の分散型ワークフォースが、場所を問わず安全かつ相互運用可能なミッションクリティカル業務を遂行できるよう支援します。これを実現するために、組織が複雑なハイブリッド環境をモダナイズし、Zero Trustアーキテクチャへの移行を促進するために必要なICAMソリューションおよびサービスを提供しています。