【ITニュース解説】Microsoft Entra IDとGoogle Cloud, AWS, GitHubのユーザー連携やってみる③

現代の企業活動において、様々なクラウドサービスを組み合わせて利用することはもはや一般的である。その中で、ユーザーが複数のサービスごとに異なるIDとパスワードを管理し、それぞれにログインする手間は大きな課題となる。この課題を解決し、セキュリティと利便性を向上させるための技術の一つが、ID連携である。今回取り上げるニュース記事は、Microsoft Entra IDというマイクロソフトが提供するID管理サービスを主要なID基盤として活用し、Amazon Web Services（AWS）というクラウドサービスとユーザー認証情報を連携させる方法の概要を解説するものである。

Microsoft Entra IDは、かつてAzure Active Directory（Azure AD）という名称で知られていたクラウドベースのIDおよびアクセス管理サービスである。これは、企業内の従業員が利用する様々なアプリケーションやサービスへのアクセスを管理し、認証を一元的に行うための中心的な役割を担う。例えば、会社のPCにログインする際や、社内で利用する各種SaaS（Software as a Service）アプリケーションにアクセスする際に、Entra IDに登録されたユーザー情報が使われることになる。これにより、従業員は一つのIDとパスワードで複数のサービスにログインできる「シングルサインオン（SSO）」を実現し、管理者もユーザーアカウントを一元的に管理できるため、運用負荷の軽減やセキュリティの強化に繋がる。

AWSは、サーバーやデータベース、ストレージなど、ITインフラの様々な要素をクラウド上で提供するサービス群である。企業はAWSを利用してウェブサイトを公開したり、業務システムを構築したりすることが多い。通常、AWS上のリソースにアクセスするためには、AWS独自のID管理サービスであるIAM（Identity and Access Management）を利用してユーザーを作成し、アクセス権限を付与する必要がある。しかし、Entra IDをメインのID基盤として利用している企業にとって、AWSのためだけに別途IAMユーザーを管理することは非効率的である。そこで、Entra IDとAWSを連携させることで、Entra IDに登録されている既存のユーザー情報を利用してAWSへログインできるようになる。

この連携の主な目的は、ID管理の一元化とユーザーの利便性向上、そしてセキュリティの強化である。Entra IDのID情報を用いてAWSにログインできるようにすることで、ユーザーはAWS専用のユーザー名やパスワードを覚える必要がなくなる。また、管理者はEntra ID上でユーザーの追加や削除、パスワードポリシーの設定などを行い、それがAWSへのアクセス権にも反映されるため、IDのライフサイクル管理が非常にシンプルになる。例えば、従業員が退職した場合、Entra ID上でその従業員のアカウントを無効化するだけで、AWSを含め連携しているすべてのサービスへのアクセスを停止させることが可能になる。これにより、不正アクセスリスクを大幅に低減できる。

具体的な連携の仕組みとしては、「フェデレーション（連携）」という考え方が用いられる。これは、異なる認証システム間でユーザーの認証情報を共有し、信頼関係を構築することで、一度の認証で複数のサービスにアクセスできるようにする技術である。この際に使われる標準的なプロトコルの一つにSAML（Security Assertion Markup Language）がある。Entra IDがIDプロバイダー（IdP）として認証を行い、その認証結果をAWSに通知することで、AWSがそのユーザーのアクセスを許可する。ユーザーはEntra IDのログイン画面で認証を済ませると、自動的にAWSのコンソールへリダイレクトされ、割り当てられた権限に基づいてAWSのリソースを操作できるようになるのだ。

ニュース記事では、この連携において「AWS Organizationsを利用しない方式」が採用されていると説明されている。AWS Organizationsは、複数のAWSアカウントを一元的に管理するためのサービスであり、通常、大規模な企業で複数の部署やプロジェクトがそれぞれAWSアカウントを持っている場合に利用されることが多い。Organizationsを利用しない方式は、単一のAWSアカウントとEntra IDを連携させる場合や、比較的シンプルな構成で連携を構築したい場合に選択される可能性がある。Organizationsを利用する場合と比べると、アカウント間のポリシーの一括管理や請求の一元化といったメリットは享受できないが、その分、設定がシンプルになり、迅速に連携を構築できるという側面もある。これは、企業の特定のニーズや既存のAWS利用状況によって最適な選択肢が異なることを示している。

この連携を実現するための手順の概要としては、まずMicrosoft Entra ID側で、AWSとの連携を許可する「エンタープライズアプリケーション」を登録することから始まる。次に、このアプリケーションにユーザーやグループを割り当て、アクセス権限を設定する。一方で、AWS側では、Entra IDから渡される認証情報を受け入れて、特定の権限を付与するための「IAMロール」を作成する。このIAMロールには、Entra IDからのアクセスのみを許可する信頼ポリシーを設定し、ロールに適切なアクセス権限ポリシーをアタッチする。これらの設定が完了すると、Entra IDのMy Appsポータルなどから、ユーザーがAWSへシングルサインオンでアクセスできるようになる。

このように、Microsoft Entra IDとAWSの連携は、今日の複雑なクラウド環境において、ユーザーの利便性と企業全体のセキュリティを同時に高めるための重要な技術である。システムエンジニアを目指す初心者にとって、このようなID管理とクラウドサービス連携の基礎知識は、現代のITシステムを理解し、構築・運用していく上で不可欠なスキルとなるだろう。多様なクラウドサービスが普及する中で、IDの一元管理とセキュアなアクセス制御を実現するこの技術は、今後ますますその重要性を増していくと考えられる。