OpenWeb、1Passwordのジャストインタイムのアクセスで過剰な権限を持つアカウントを削減

パブリッシャーやブランドが読者と直接の関係を築けるよう支援するOpenWebは、開発者とサポート担当者に常設の権限を持たせず、必要なときだけアクセスを与えるジャストインタイムのアクセスを自動化しました。アクセスを必要とする人はほぼすぐに権限を得られるようになり、過剰な権限を持つアカウントは大きく減っています。同社は2012年に創業し、これまでに3億9,000万ドルを超える資金を調達し、3社を買収しています。オンラインでの対話をよりよいものにすることを使命に、オープンなインターネットにソーシャルな層を築き、全てのコンテンツ制作者が自らの読者とつながり、その関係を自らのものにできるようにすることを目指しています。

導入前：急成長に見合うアクセス管理が必要だった

急速な成長に伴い、同社には新たなセキュリティーの要件と、常設の権限が組織をリスクにさらさない、より拡張性のあるアクセス管理が求められるようになりました。CTO兼CISOのYaron Blachman氏によると、同社は、攻撃者が十分に投資すればいずれネットワークに入り込む方法を見つけるという前提に立っています。そのうえで目指したのは、侵入されても何もできない状態にすることです。そのためには、侵入者が上にも下にも横にも動けず、与えられたアクセスの範囲にとどまるよう、アクセスを制御する必要がありました。

以前は、本番環境で何かを直したりデータベースを調べる必要がある開発者は、DevOpsチームに連絡して権限をもらわなければなりませんでした。チームが忙しければ時間がかかることもあり、緊急時に作業が遅れないよう、必要以上の権限を与えられる場合もありました。

選定：開発者とDevOpsの双方に好まれる使いやすさ

同氏は、ロールを最小限に、ほとんどロールのないクラウド環境を作り、開発者とサポート担当者にはジャストインタイムのアクセスを与えるという目標を掲げていました。求めたのは、開発者とDevOpsの双方が気に入る、非常に使いやすい仕組みです。しかし条件に合うものは見つからず、1年ほど前にはDevOpsチームが自社での開発を検討し始めていました。そうしたなかで出会ったのが、現在の1Password Privileged Access（旧Apono）です。同社が実現したかったことをそのまま提供しており、専任のチームによる質の高いサービスを受けられることも決め手になりました。

Slackで申請し、ほぼすぐにアクセスを得る

現在は、アクセスを必要とする人は誰でも、ほぼすぐに権限を得られます。利用者はこれまで通りSlackで権限を申請するだけで、まもなくアクセスが与えられます。同氏は、仕組みが本当に簡単で安心してまかせられると話しています。

過剰な権限を持つアカウントを削減

過剰な権限を持つアカウントは大きく減りました。同氏は、必要がなくなればアクセスが取り消されると分かっているため、安全だと感じられるようになったと述べています。

導入から現在までの支援

同氏は、旧Aponoのチームが最初から現在まで非常にプロフェッショナルで、DevOpsチームと一歩ずつ取り組み、同社のツール、ユーティリティー、プロセスに合った支援を届けてくれたと評価しています。

この導入事例からの学び

同社が出発点にしたのは、侵入を防ぎきれないという前提に立ち、侵入されても何もできない状態を作るという考え方です。その手段として、常設のロールをほとんどなくし、必要なときだけアクセスを与える形に切り替えました。開発者が本番環境に触れる組織が確認すべきは2点です。1つは、普段使っているチャットツールから申請できるかどうかという点です。申請に時間がかかると、同社の以前の状態のように、緊急時に備えて必要以上の権限を与える運用に戻りかねません。もう1つは、不要になったアクセスが自動で取り消されるかどうかです。同氏も、この点を安全だと感じられる根拠に挙げています。

出典：1Password