ユーザーのゼロトラストに関しては、ユーザーID/パスワードの厳密な認証とアクセス許可を与えること、シングルサインオン・多要素認証・時間/地理的位置などで異常検知を行うことが必要になっています。これらはIAM製品の導入により実現することができます。
IAMはユーザーのIDと氏名や所属などの情報を紐づけて保管する「IDデータベース」とユーザーが利用できるアプリを規定する「アクセスポリシー」に基づいて、ユーザーの認証やアプリなどへの認可を管理する製品です。このIAMをクラウドで提供するのが、ID as a Service（IDaaS）と呼ばれているサービスとなります。社外からSaaSにアクセスする機会が増えた今、クラウド型IAM（IDaaS）が主流になっております。
OneLoginは、Office 365やGoogle Apps、Salesforce.com、Box、Dropbox、Slack、Cybozu.comなどのクラウドサービスを利用している企業向けに、オンプレミスとクラウド間のID連携・シングルサインオンとアクセスコントロールを提供するIDaaS製品です。すでに世界200カ国以上、2,500社以上のお客様に利用されております。
OneLoginの主な機能
ID管理
OneLoginを活用し、ユーザーID管理をクラウドへと移行することで、クラウドサービスのユーザーIDを統合管理できるようになります。また社内で使用しているActive Directoryと連携させれば、オンプレミスシステムとクラウドシステムを統合したハイブリッド型のID管理も実現できます。これによってシステム管理者の負担は大幅に軽減します。ユーザーIDの管理を1カ所で集中的に行えるようになるからです。
プロビジョニング
OneLoginのプロビジョニング機能を利用すれば、Active Directoryのアカウント追加・変更・削除のイベントとクラウドサービスのアカウント管理とをリアルタイムに自動連携します。また、Office 365やG Suite、Salesforce.com、Boxに代表される主要なクラウドサービスでは、アカウントの追加・変更・削除にとどまらず、クラウドサービス内のアプリケーションのライセンスアサインやActive Directoryの属性情報をクラウドサービスに渡したり、属性情報を利用した人事異動の際のアクセス権の変更までをも自動化できるようになりました。
ユーザー認証
ID・パスワードさえあれば、いつでも・どこからでもクラウドサービスやWebアプリを利用できる一方、悪意がある第三者によるID・パスワードの不正利用が懸念されます。そこで、OneLoginでは多要素認証（MFA）とアクセスコントロール機能を用意しております。
OneLoginのリスクベース認証を利用すれば、機械学習の仕組みを利用してリスクレベルに応じてユーザーの認証の仕組みを変更することができます。これにより、不審なログインを検出・対処することが可能です。例えば、ユーザーのログインの際に多要素認証の利用を強制するポリシーを適用している場合に、ユーザーが普段と同じIPアドレス・ブラウザー・OSを利用していると判断すると、すなわちリスクレベルが低いと判断しユーザーのログインの際に多要素認証を求めません。もちろんユーザーが普段と異なるIPアドレスからアクセスしてきた場合は多要素認証を強制します。
ユーザー認可
OneLogin のユーザープロビジョニングでは、「所属グループに合わせてアプリケーションを割り当てる」など、事前に定義したルールをもとに、Active Directoryなどの連携元の属性情報に基づいて、管理作業を自動化することが可能です。
また、Office 365などのクラウドサービスにおいては、単純なアカウントの追加・削除に留まらず、クラウドサービス内の「どのアプリケーション」を「誰に割り当てるのか」までをも自動化できます。対象のユーザーが退職などでクラウドサービスを利用しなくなった場合、そのライセンスを新規ユーザーに自動的に割り当てるといった運用も可能です。
シングルサインオン
もう、ID・パスワードをたくさん覚える必要はありません。OneLoginのシングルサインオン（以下、SSO）を利用すると、ユーザーが一度ポータル画面等でログインしてしまえば、その後のサービス利用はログインせずに行えます。
OneLoginは、数多くのクラウドサービスが採用するSAML（Security Assertion Markup Language）による認証連携をサポートしており、SAMLの「Identity Porovider（IdP）」として機能します。これに加え、ベーシック認証やフォームベース認証への入力代行機能も装備しています。これによって6,000以上のクラウドサービスやWebアプリケーションへの対応を実現。また社内開発したWebアプリケーション向けのツールキットも用意されており、社内の既存アプリケーションをSSOに組み込むことも可能です。
