SSO停止時にも管理者を守る緊急用アカウント運用ガイド
IdP障害や設定ミスが起きてもSaaSの管理権限を安全に復旧できるよう、緊急用アカウントの設計・利用・失効・監査の原則を解説します。
SSOはログイン経路を簡素化し、アクセスポリシーを一元化します。しかし、管理者のログイン手段がSSOだけの場合、障害時には復旧作業そのものができなくなる恐れがあります。近年のIAMでは認証情報の窃取対策だけでなく、アイデンティティ・レジリエンスが重視されています。IdP障害、SAML証明書の更新ミス、ドメイン設定の不備が起きても、統制された復旧経路を残す必要があります。
そのために用意するのが、ブレークグラス（break-glass）とも呼ばれる緊急用アカウントです。通常は封印し、正規の認証経路が利用できない場合に限って使う管理者アカウントです。ただし、「念のため共有管理者を一つ作る」という運用では、新たな脆弱性になりかねません。
緊急用アカウントは迂回路ではなく復旧装置
目的は便利なSSO回避ではなく、サービスの復旧です。日常業務、テスト、外部委託先との共有には使用しません。可能であれば責任者を特定できる個別アカウントを用意し、共有が避けられない場合は、承認者と実行者を分ける二重統制を導入します。
SSOセッションのリスクと有効期限の考え方は、SSOセッション管理ガイドも参考にしてください。
最小権限と強固な認証
緊急用アカウントには復旧に必要な最小限の権限だけを付与します。請求情報の閲覧やデータのエクスポートなど、復旧と無関係な権限は外し、MFAを必須にします。復旧手段を一人の私物端末だけに依存させず、パスワードとMFAリカバリーコードは別々の安全な場所に保管します。
アカウントより先に運用手順を準備する
インシデント時に重要なのは、アカウントの存在よりも「誰が、どの条件で、何を行い、どう終了するか」です。次の手順をランブックとして文書化しましょう。
- SSO障害と通常のログインエラーを切り分け、緊急アクセスの必要性を宣言します。
- 事前に指定した承認者が利用を承認し、実行担当者を記録します。
- 緊急用アカウントでは認証設定の復旧に必要な操作だけを行います。
- SSO復旧後にセッションを終了し、パスワードとリカバリーコードを交換します。
- 利用時刻、操作内容、承認者を監査ログで確認します。
四半期ごとに、実際のパスワードを露出させない方法でアクセス可否と連絡体制を点検します。退職や担当変更時には所有者も直ちに変更し、SCIMによる通常アカウントの失効とは別に緊急用アカウント一覧を確認してください。通常のライフサイクル管理はSCIMによる退職者アカウントの自動失効で解説しています。
マルチテナントSaaSでは顧客ごとの境界を守る
一つの緊急用アカウントから複数の顧客テナントへアクセスできる設計は、事故の影響範囲を広げます。顧客ごとに管理者ロールと復旧手順を分離し、どのテナントで何を変更したのか記録します。マルチテナントIdPの分離原則は緊急アクセスにも適用されます。
AxiPassは顧客ごとのテナントで、OIDC/SAML SSO、SCIMプロビジョニング、MFA、監査ログを一元管理し、SSO非対応アプリはSWAで接続できるよう支援します。通常ログインと緊急復旧の境界を明確にし、認証障害にも安全に備えましょう。