entra-permissions-management

Microsoft Entra Permissions Management

Microsoft Entra Permissions Management は、単一の画面から Microsoft Azure、AWS、Google Cloud 全体の ID、アクション、リソースに対するアクセス許可を可視化し、制御できる Cloud Infrastructure Entitlement Management（CIEM）ソリューションです。

使用する場面

マルチクラウド環境全体で過剰なアクセス許可、未使用のアクセス許可、過剰な権限を持つクラウドのアクセス許可を検出して削減し、最小権限を目指す場合に使用します。複数のクラウドにまたがる環境でこのスキルを使用してください。Azure のみで RBAC を選択する場合は azure-role-selector を使用してください。

目標に応じた適切な CIEM アクションの選択

目標	使用するもの	備考
各 ID の過剰な権限の度合いを定量化する	Permission Creep Index（PCI）	0～100。65 超は高リスク
ID ごとの未使用のアクセス許可を見つける	アクティビティベースの適正化レポート	付与済みと使用済みのアクセス許可を 90 日間にわたって比較
観測されたアクティビティから最小権限ポリシーを生成する	自動生成ポリシー（適正化）	クラウドごと、ID ごと
高い権限を一時的に付与する	オンデマンドのアクセス許可リクエスト	承認ベース、期間限定
異常なアクセス許可の使用を検出する	異常検出アラート	初めて検出されたアクション、大量のアクション
過剰な権限を持つワークロード ID を検出する	非人間 ID レポート	サービスプリンシパル、IAM ロール、GCP SA

経験則： まず PCI が 65 を超える ID と、非人間 ID レポートを確認します。 サービスプリンシパルとマシン ID は通常、付与済みと使用済みのアクセス許可の差が最も大きく、適正化しても問題になることはほとんどありません。

進め方

1. 各クラウドをオンボードする — Azure サブスクリプション（単一または複数）、AWS アカウント （アカウントごと、または AWS Organizations）、GCP プロジェクトを接続します。Permissions Management は 読み取り専用ロールを通じて、エンタイトルメントとアクティビティのデータを収集します。 確認：各クラウドアカウントのデータコレクターの状態が緑色で、アクティビティイベントが 24 時間以内に流れていること。

2. 90 日間のベースラインを設定する — 7 日間のアクティビティに基づいて適正化しないでください。四半期ごとの業務 サイクル（月末締め、監査）を完全にカバーする必要があります。 確認：修正作業の前に、「データ収集期間」が 90 日以上を示していること。

3. PCI の高い順に並べ、上位 20 件から始める — 未使用のアクセス許可の最長リストではなく、PCI が最も高い ID 20 件から始めます。PCI は 単なる件数ではなく、リスク（付与されたアクセス許可の範囲と権限の重み）を基準に優先順位を付けます。 確認：最初のスプリント後に、上位 20 件の PCI リストが累計で 50 ポイント以上減少していること。

4. 非人間 ID から先に取り組む — サービスプリンシパル、AWS IAM ロール、GCP サービス アカウントです。未使用のアクセス許可を削除しても不満を訴えることはなく、多くの場合、最も過剰な権限を持っています。 確認：非人間 ID の PCI 分布が月ごとに左（低い値）へ移動していること。

5. 自動生成ポリシーで適正化する — JSON を手作業で記述する代わりに、アクティビティベースのポリシー生成ツールを 使用します。差分を確認し、テスト用ワークロードに適用してから、本番環境に適用します。

6. オンデマンドのアクセス許可を有効にする — 高い権限を必要とするものの、まれにしか必要とされないアクセス許可について、 常時アクセスをオンデマンドのリクエストフローに切り替えます。常時アクセスのリスクを大幅に軽減できます。

7. 監視とアラートを設定する — 初めて検出されたアクションや大量のアクションに対して、異常検出を有効にします。 アラートを Sentinel にストリーミングし、SOC で相関分析を行います。

ガードレール

• 権限を積極的に適正化する前に、代表的な期間（最低90日間）をカバーするアクティビティのベースラインを検証してください。 これより短い期間では、四半期ごとまたは月末のみのワークフローを見落とし、障害につながります。
• まず非本番環境のワークロードでテストしてください。 適正化したポリシーによって CI/CD パイプラインが02:00に停止するほうが、過剰な権限を残すよりも深刻です。
• マシン／ワークロードの ID を明示的に扱ってください。未使用の権限のギャップが最も大きいことが多く、権限を適正化してもほとんど問題になりません。 最初に対処してください。
• ワークロードの所有者と連携して修正してください。 サービスアカウントの所有者に知らせずに権限を適正化すると、障害が発生し、プログラムへの信頼が損なわれます。
• 緊急用／非常用アクセスロールの権限は適正化しないでください。 例外を文書化してください。
• PCI はリスクスコアであり、権限数ではありません。 ID を権限数だけで比較しないでください。未使用の高権限が5つあるほうが、未使用の低権限が50個あるよりも問題です。

よくあるアンチパターン

• 「2週間分のデータを基に権限を適正化する」 - 月末の処理を見落とし、障害につながります。
• 「最も簡単なレポートから始める」 - 小さな成果は多く得られても、リスクは低減しません。PCI の順に並べてください。
• 「人間のほうが数が多いので、まず人間を対象に権限を適正化する」 - 人間は反発しますが、非人間は反発しません。通常、未使用の権限が最も多いのは非人間です。
• 「自動生成されたポリシーを本番環境に直接適用する」 - まずワークロードでテストしてください。
• 「数か月かけて、一度に1つのクラウドだけをオンボードする」 - それこそが目的であるマルチクラウドの可視性が失われます。同じスプリントですべてのクラウドをオンボードしてください。
• 「PCI ダッシュボードだけを使い、修正はしない」 - 対応を伴わない可視化です。KPI として PCI の変化を毎月追跡してください。

プロンプトの例

• Onboard our Azure, AWS, and GCP environments to Entra Permissions Management.
• Show the top 20 identities by Permission Creep Index and propose a remediation order.
• Generate a least-privilege policy for our CI/CD service principal based on 90 days of activity.
• Find non-human identities with PCI > 65 and right-size the top 5.
• Set up on-demand permission requests for elevated AWS roles.
• Stream Permissions Management anomaly alerts into Sentinel.

Microsoft Learn

• 概要：https://learn.microsoft.com/entra/permissions-management/overview
• Azure のオンボード：https://learn.microsoft.com/entra/permissions-management/onboard-azure
• AWS のオンボード：https://learn.microsoft.com/entra/permissions-management/onboard-aws
• GCP のオンボード：https://learn.microsoft.com/entra/permissions-management/onboard-gcp
• Permission Creep Index：https://learn.microsoft.com/entra/permissions-management/ui-dashboard
• 権限の適正化：https://learn.microsoft.com/entra/permissions-management/product-permissions-analytics-reports
• 異常検出：https://learn.microsoft.com/entra/permissions-management/product-statistical-anomalies