非人間ID「Non-Human Identity（NHI）」の拡大と認証管理の課題

背景と概要

組織内でクラウドサービスやAIエージェント、自動化スクリプトの活用が進むにつれ、人間のユーザーアカウントだけでなく、APIキー、サービスアカウント、アクセストークンなどの非人間ID「Non-Human Identity（NHI）」が急増しています。

従業員数を大幅に上回る数のNHIが存在するケースも少なくなく、これら機械識別子の集中管理や権限設定が追いつかないことによるセキュリティ上のリスクが議論されています。

NHI管理において懸念されるリスク

従来の「人間向けID管理（IAM）」では捕捉しきれない構造上の課題が存在します。

暗黙の特権化と設定の無期限放置システム間の通信を円滑にするため、管理者に相当する高い権限が付与されたまま有効期限が設定されず、長期間放置されるケースが指摘されています。

多要素認証（MFA）の非適用プログラムやAPI連携で利用されるIDの性質上、通常のMFA（ワンタイムパスワード等）を適用することが難しく、鍵情報がひとたび流出すれば直接アクセスを許す原因となります。

所有者・用途の不透明化開発担当者の退職やプロジェクトの終了後もトークンやAPIキーが消去されず、どのシステムで何のために使われているか把握不能になるリスクが挙げられます。

組織における現実的な対応アプローチ

NHIを可視化し、生命周期（ライフサイクル）を管理する仕組みの検討が推奨されます。

NHIインベントリの可視化と定期監査発行されているすべてのAPIキーやサービスアカウントを一覧化（インベントリ化）し、不要な権限の削除や休眠IDの無効化を定期的に実施します。

短期有効トークンへの移行と自動ローテーション長期有効な静的鍵の利用を極力控え、短時間で失効する一時トークンの発行や、定期的な鍵の自動更新メカニズムを導入します。

実務で深掘りしたい確認点

サービスアカウント、APIキー、証明書、AIエージェント用トークンをひとまとまりの管理対象として捉えます。所有者不明、無期限、高権限、コード埋め込み、利用実績のない資格情報を検出します。 単発の警告だけで判断せず、利用者・端末・時刻・変更履歴を関連付けると、通常業務との違いを説明しやすくなります。

発見時の初動と影響確認

漏えい鍵を失効して依存先を安全に切り替え、利用ログからアクセス範囲を確認します。 復旧を急ぐ場合も、後から原因と影響範囲を説明できるよう、時刻、担当者、実施した操作、保全した証拠を残します。外部への通知や専門家への相談が必要かも、扱うデータと業務影響から判断します。

継続運用へ落とし込む方法

発行目的、所有者、有効期限、保管先を登録し、短期資格情報と自動更新へ移行します。 導入時だけで終わらせず、例外件数、検知から対応までの時間、再発、利用者からの相談を定期的に確認します。訓練や実際の対応で見つかった手順の曖昧さを更新し、責任者不在時にも動ける状態を維持します。