概要

PAM（Privileged Access Management：特権アクセス管理）は、システム管理者・DBA・クラウド管理者などが持つ強力な権限（特権）の利用を厳格に制御・監視・記録する仕組みです。PIM（Privileged Identity Management）はAzure AD（Entra ID）での特権ロール管理を指すこともあります。SC試験では内部不正対策・JIT（Just-In-Time）権限付与・セッション管理が頻出です。

特権アクセスのリスク

なぜ特権は危険か

リスク内容
内部不正管理者が意図的にデータを窃取・改ざん
外部攻撃者による悪用特権アカウントを奪取されると全システムが制御される
資格情報の共有rootパスワードを複数人で共有すると責任の所在が不明
不必要な常時特権普段使わない強力な権限が常に有効

特権アカウントの種類

種類例
OSの特権アカウントroot（Linux）、Administrator（Windows）
サービスアカウントバッチ処理用、アプリのDB接続用
クラウド特権AWS AdministratorAccess、Azure Global Admin
ネットワーク機器ルータ・スイッチのenableアカウント

PAMの主要機能

特権資格情報の保管（Vault）

PAMなし：
ファイルにrootパスワードを記載 → 誰でも読める → 漏洩リスク大

PAMあり（Vault）：
特権パスワードをPAMが暗号化して一元管理
ユーザはVaultにログインして一時的なパスワードを払い出してもらう

JIT（Just-In-Time）アクセス

必要なときだけ・必要な時間だけ特権を付与する原則です。

JITフロー：
1. 管理者がPAMにアクセス申請（理由・期間を入力）
2. 上長が承認
3. PAMが一時的な特権資格情報を払い出し（例：1時間有効）
4. 作業完了後に権限が自動失効
5. PAMがセッション全体を記録
JIT（Just-In-Time）アクセスの流れ
1
管理者
PAMにアクセス申請
理由・期間を入力
 2
上長
申請を承認
 3
PAM
一時的な特権資格情報を払い出し
例：1時間有効
 4
PAM
作業完了後に権限を自動失効
セッション全体を記録

セッション管理・録画

機能内容
セッション録画特権セッション中の全操作を動画・テキストで記録
キーストロークログ実行したコマンドを全て記録
リアルタイム監視不審な操作を検知してアラート・セッション終了
証跡保全フォレンジックや内部調査のための改ざん防止済み証拠

パスワードのチェックアウト・ローテーション

  • 都度PAMから払い出されるパスワードは作業後に自動変更
  • 管理者が実際のパスワードを知ることなく作業できる「パスワード隠蔽」モード
PAMの主要機能
Vault
特権資格情報の保管
JITアクセス
必要な時だけ権限付与
セッション録画
全操作を記録
パスワードローテーション
作業後に自動変更
PAM
特権アクセス管理

PIM（Azure）での特権ロール管理

Microsoftの Azure AD（Entra ID）では PIM という機能で特権ロールを管理します。

通常状態：
ユーザはグローバル管理者ロールを持たない

PIM でのアクティベーション：
1. ユーザがグローバル管理者が必要な作業を申請
2. PIMがMFAを要求
3. 承認フローを経て一時的にロールを付与（最大8時間等）
4. 期限切れで自動失効

SC試験での頻出ポイント

  • PAMが内部不正対策に有効な理由：全操作の記録・承認フロー・共有パスワードの排除で抑止力と証跡確保
  • JIT（Just-In-Time）アクセスの原則：必要なときだけ・必要な時間だけ特権を付与し、常時特権を排除
  • 共有アカウントの問題：誰が何をしたか特定できず内部不正の調査が困難
  • セッション録画の目的：特権操作の全記録による抑止効果と事後調査への証拠提供
  • ゼロトラストとPAMの関係：「常に検証する」原則の実践として特権アクセスも都度認証・承認

よくある誤問・ひっかけパターン

誤り① 「管理者は常に管理者権限で作業すべき」→ 誤。最小権限の原則に基づき、通常は一般ユーザとして作業し、必要時のみ特権を使うべきです（JIT）。

誤り② 「PAMのVaultにパスワードを保管すれば安全」→ 不十分。Vault自体のセキュリティ（MFA・アクセス制御・バックアップ）が重要です。

誤り③ 「セッション録画はプライバシーの問題があるので実施すべきでない」→ 誤。業務目的での特権セッション録画は、就業規則・労働者への通知を前提として認められており、セキュリティ上の必要性が高い対策です。

関連用語

重要キーワード

用語説明
PAM特権アクセス管理。特権資格情報の保管・払い出し・監視を行う
PIM特権IDの管理。特にAzure AD（Entra ID）でのロール管理を指すことが多い
JIT（Just-In-Time）必要なときだけ・必要な時間だけ特権を付与する原則
Vault特権パスワードを暗号化して安全に一元管理する仕組み
セッション録画特権セッション中の全操作を録画・ログとして保存する機能
共有アカウント複数人が同一の認証情報を使用すること。責任の所在が曖昧になる問題がある