アクセス権限の集中化に伴う「IdP（Identity Provider）設定ミス」の危険性
確認時の注意：事例の報道内容や影響範囲は更新される可能性があります。公開時点の一次情報、公式発表、脆弱性情報を確認し、環境の所有者の承認とバックアップを準備してから対策を適用してください。
【背景と概要】
ゼロトラストモデルの定着により、Microsoft Entra IDやOktaなどの「IdP（Identity Provider）」は、全社の全システム・全SaaSへの入口を制御する「最重要インフラ」となりました。
IdPの導入によってセキュリティレベルは大幅に向上しますが、万が一IdP側のポリシーやアクセス制御に「設定ミス（Misconfiguration）」が存在した場合、全社の全アカウントが一度にリスクに晒されるという集中化リスク（単一障害点・単一攻撃点）を孕んでいます。
【IdPにおいて多発する主な設定ミス】
管理者の運用漏れや設定の不理解が原因となります。
- 特定の例外グループに対する「MFA適用除外」の放置
「過去のシステムテストのため」「特定の役員端末のため」として、多要素認証（MFA）を免除（Bypass）する例外ルールを作成し、そのまま設定を戻さずに放置してしまう事例です。攻撃者はこの例外グループを狙って侵入を試みます。
- レガシー認証（POP3/IMAP/Basic Auth等）の許可残存
モダン認証（MFA対応）を導入していても、旧来のプロトコル（POP3やBasic認証）からのアクセスを完全に禁止していない場合、攻撃者はレガシー認証経由でMFAを迂回してログインを成功させます。
- 「自己認可（User Consent）」の有効化
従業員が個人の判断でサードパーティ製のOAuthアプリに対して、組織内のアクセス権限を付与できる設定がONになったまま放置されている状態です。
【IdP設定ミスが引き起こす被害】
IdPのコントロールが奪われると、攻撃者は社内のすべてのクラウドサービス（メール、チャット、開発リポジトリ、財務システム等）へ「正規ユーザー」として自由にアクセスできるようになります。
【IdPガバナンスとSSPMによる安全性の維持】
継続的な設定監査とポリシーの強制が必要です。
- レガシー認証の全社完全ブロック
IdPの条件付きアクセス（Conditional Access）ポリシー等を用いて、Basic認証やレガシープロトコルからのアクセスを組織全体で一括禁止します。
- SSPM（SaaSセキュリティ姿勢管理）による設定スキャン
IdPの設定状態をSSPMツールで24時間スキャンし、「MFA未設定アカウントの発生」「過剰な管理者権限の付与」「不審な例外ルール」を即座に検知・修復します。
- 管理者権限のJIT（Just-In-Time）化
IdP自体の管理権限（Global Admin等）を常時ユーザーに持たせず、作業時のみ申請・承認を経て一時的に権限を付与する運用（PIM/PAM）を徹底します。