Oktaにおけるアイデンティティの回復力：高可用性ときめ細かな復旧

Oktaとそのエコシステムにおけるアイデンティティの回復力は、従業員アクセス、顧客アクセス、フル稼働するAIエージェントなど、デジタルシステムに依存するあらゆる組織にとって重要な課題となっています。アイデンティティ制御プレーンに障害が発生すると、単なる技術的な問題にとどまらず、アプリケーションや自動化されたプロセスが停止し、ビジネスの非常に重要な部分が失われてしまいます。

こうした状況において、OktaやCommvaultなどのプロバイダーは、IDサービスの継続的な可用性と、設定ミス、サイバー攻撃、地域的なクラウド障害、AIエージェントやその他の非人間型IDが関わるインシデントなど、何らかの問題が発生した場合の迅速な復旧能力の両方を強化するための措置を講じています。かつては「単なるシステムの一つ」だったものが、今や他のすべての機能を支える中核となっています。

Oktaと常時稼働型アイデンティティサービスの回復力

企業がクラウドに完全に依存する状況において、Oktaは「常時稼働」のアイデンティティサービスとして位置づけられており、基盤となるインフラストラクチャに重大な障害が発生した場合でも運用を継続できるように設計されています。これを実現するために、Oktaプラットフォームは分散アーキテクチャ、統合された災害復旧機能、そしてより迅速な復旧を必要とするユーザー向けの新しいアップグレードオプションを組み合わせています。

Oktaのすべてのお客様は、デフォルトで標準の災害復旧機能を利用できます。この機能は、2つの独立したリージョン間でID情報を複製します。各リージョンは、3つの可用性ゾーンに分散されたアクティブ/アクティブ/アクティブ構成で展開されるため、1つのゾーンで障害が発生してもサービスは中断することなく継続できます。

プライマリリージョンが完全にダウンするようなインシデントが発生した場合（例えば、クラウドプロバイダーの大規模な障害で全てのゾーンに影響が出た場合など）、Oktaは災害復旧リージョンへのフェイルオーバーを実行します。その時点で、組織はIDサービスへの読み取り専用アクセス権限を付与されますが、重要なアプリケーションにおける既存ユーザーのログインと認証は維持されます。

標準モードでは、バックアップ領域の読み取り専用スイッチは約1時間で完了します。この間、認証機能の維持が最優先事項となり、一時的に設定変更機能が犠牲になる場合もあります。環境が安定すると、影響を受ける各テナントに対して24時間以内に完全な読み取りおよび書き込みアクセスが復元されます。

より厳格な事業継続要件を持つ組織向けに、Oktaは専用のアドオン「Enhanced Disaster Recovery」をリリースしました。これにより、切り替え時間を大幅に短縮し、どの環境を緊急時対応リージョンに移行するかをより詳細に制御できるようになります。

強化された災害復旧：重要な環境におけるほぼ瞬時の事業継続性

Oktaの拡張災害復旧（EDR）アドオンは、非常に具体的なニーズに対応するものです。それは、主要なリージョンが利用不能になった際に、対応時間を短縮し、業務を最小限に抑えることです。

このアドオンを使用すると、読み取り専用アクセスへのフェイルオーバー時間が約1時間から5分未満に短縮されます。ただし、これはOktaがリカバリリージョンへのフェイルオーバーがリージョン障害を解決する最善の方法であると判断した場合に限られます。つまり、リージョン変更によってサービスが効果的に改善されるよう、フェイルオーバーの決定は中央で行われます。

拡張災害復旧機能は、復旧時間の短縮に加え、グローバルなセルレベルのポリシーだけに頼るのではなく、特定の運用テナントを選択的に復旧リージョンへフェイルオーバーさせるよう顧客が要求できる機能を提供します。これは、すべてのテナントが同じ重要度やサービスレベル契約を持つとは限らない、複数の環境を持つ大規模組織にとって非常に重要です。

拡張フェイルオーバーが有効になると、機能面は標準モードと同様になります。既存のユーザーは、以前のセッション状態やアクセス元のデバイスに関係なく、接続されたアプリケーションへの認証を継続できます。この緊急対応フェーズでは、IDサービスへのアクセスは読み取り専用に制限されますが、24時間以内に読み取りおよび書き込み機能が復旧し、ポリシー、ユーザー、または構成の変更が可能になります。

地理的な展開に関して言えば、強化型災害復旧機能は当初、北米の商用セルで提供され、2025年を通じて他のグローバル地域や特定のコンプライアンスセル（FedRAMPやHIPAAなどの規制環境を含む）へと拡大していく予定です。これにより、高可用性と迅速な復旧モデルを、より多くの市場や規制対象分野に徐々に普及させることができます。

アイデンティティ主導のビジネスレジリエンス：基盤としてのIAMとCIAM

Oktaは、単なる技術的な高可用性機能にとどまらず、従業員アクセス（ワークフォースID）と顧客ID（顧客IDまたはCIAM）の両方に影響を与える戦略的な「IDファースト」アプローチとして、レジリエンス（回復力）を提示しています。サイバー脅威の増大、ユーザーエクスペリエンスへの要求の高まり、複雑な運用といった状況下で、ID管理はIT部門の業務から、継続性、イノベーション、そして成長を推進する原動力へと進化を遂げています。

Oktaはこのビジョンを、アイデンティティ主導のレジリエンスに関する3部構成のシリーズとして体系化しました。このシリーズは、職場を近代化し、真にレジリエントな労働力を構築しようとしているチームと、顧客向けのデジタル製品を開発しているチームの両方を対象としています。第1部では、あらゆる業界や企業規模において、アイデンティティ主導のレジリエンスがなぜ重要なのか、その基礎を説明します。

以下の提供内容は、顧客アイデンティティ管理（CIAM）に焦点を当てたパスと、従業員アイデンティティ管理（Workforce IAM）に焦点を当てたパスの2つの並行パスに分かれています。これらは、優先順位に応じて個別に利用することも、組み合わせて利用することもできます。CIAMパスは、顧客向けアプリケーションでシームレスなログインとサインイン体験を求める開発者やプロダクトマネージャー向けです。一方、Workforceパスは、従業員や協力者がスムーズにアクセスできるようにすることに重点を置いています。

本シリーズを通して、Oktaはリスクからレジリエンスへの道のりはアイデンティティから始まると主張しています。アイデンティティがより堅牢で適切に管理されていればいるほど、混乱からの復旧、新たな脅威への適応、そしてインフラストラクチャの他のレイヤーが故障した場合でも事業を継続することが容易になります。

顧客ID：摩擦のない、より安全なデジタル体験

エンドユーザー向けアプリケーションの分野において、Auth0 by Oktaの顧客IDおよびアクセス管理（CIAM）は、セキュリティ、利便性、そして迅速なイノベーションのバランスが取れた理想的なソリューションとして際立っています。単に「ログイン」するだけでなく、IDを記憶に残る体験を促進するツールへと変革することを目指しています。

まず重要なのは、スムーズなユーザーエクスペリエンスを実現することです。顧客は、登録、ログイン、そしてさまざまなアプリやデバイス間の移動を、必要な場合を除き、パスワードや追加のセキュリティ対策についてほとんど意識することなく、直感的に行えることを期待しています。ユニバーサルログイン、適応型認証、段階的なプロファイル作成といった機能は、最初の操作からシームレスな体験を実現するのに役立ちます。

もう一つの重要な要素は、パーソナライゼーションと責任あるエンゲージメントです。CIAMソリューションは、プライバシー規制（GDPRやHIPAAなど）を遵守しながら、利用状況や嗜好に関するデータを収集・分析することを可能にし、各ユーザーに合わせたよりパーソナライズされた体験の提供を実現します。適切に管理されたパーソナライゼーションは、顧客満足度を高め、ロイヤルティを強化し、顧客維持率とコンバージョン率の向上につながります。

最後に、市場投入までの時間短縮レイヤーは、認証に関してゼロから開発したくない開発チームにとって特に重要です。実績のあるCIAMモジュールを統合することで、カスタム開発とメンテナンスにかかる数週間から数か月を削減でき、堅牢なプラットフォームによってIDがサポートされる一方で、ビジネス機能の革新にリソースを集中させることができます。

シームレスなユーザーエクスペリエンス、認証情報盗難などの脅威からの保護、および規制遵守の組み合わせにより、CIAMはリスクを高めることなくユーザーベースを拡大するための手段となり、デジタルサービスの回復力と運用継続性にとって重要な要素となります。

従業員のアイデンティティ：ゼロトラストセキュリティと従業員の生産性

社内においては、従業員のID管理はますます分散化が進む環境に直面しており、ハイブリッドワークやリモートワークといった勤務形態の拡大に伴い、攻撃対象領域も拡大している。企業は、デジタルワークプレイスがボトルネックとならないよう、セキュリティとユーザビリティのバランスを取る必要がある。

中核となるのは、最新のIAM（アイデンティティおよびアクセス管理）に基づいた、プロアクティブな脅威軽減策です。Oktaなどのソリューションは、AIを活用した機能を統合し、リアルタイムで異常を検知し、リスクに応じて制御レベルを調整します。適応型多要素認証（適応型MFA）は、ユーザーの行動、デバイス、場所、その他の状況に応じたパラメータに基づいて、必要な認証要件を調整します。

ゼロトラストアーキテクチャは、この基盤の上に構築されており、「決して信用せず、常に検証する」という原則に基づいて動作します。ロールベースアクセス制御（RBAC）、アプリケーションとデータのセグメンテーション、ユーザーとデバイスの認証情報の継続的な検証といった概念は、従来の境界ネットワークがもはや存在しない場合でも、不正アクセスのリスクを低減します。

これらすべてが従業員の生産性に直接影響を与えます。シングルサインオン（SSO）やパスワードレスアクセスなどのツールは、認証情報の再設定や延々と続くログイン画面に費やす時間を削減します。従業員は必要なアプリケーションに迅速にアクセスし、より効率的に共同作業を行い、認証システムに苦労するのではなく、より重要な業務に集中できるようになります。

ランサムウェア攻撃に直面した医療機関や、フィッシング詐欺の被害を受けた中小企業などの事例は、適切に構築されたアイデンティティ戦略が、侵入を防ぐだけでなく、危機的状況下でも迅速な復旧と重要なサービスの継続に役立つことを示している。

IDセキュリティ態勢管理：認証前の可視性とガバナンス

IDの回復力を高める上で重要な要素の一つは、ユーザーが認証情報を入力する前にセキュリティ体制を管理することです。Okta Identity Security Posture Managementは、まさにこの点で役立ち、IDリスクを一元的に把握し、問題に事前に対処するのに役立ちます。

この機能は、アカウント、権限、アクティビティを一元的に確認できる「ワンストップショップ」として機能し、マルチクラウドやSaaS環境によく見られる情報サイロを解消します。複数のIDデータソースを統合グラフに接続することで、セキュリティチームは十分なコンテキストを把握し、どの脆弱性や設定ミスに優先的に対処すべきかを判断できます。

このソリューションが対処する課題には、断片化されたIDデータ、プロビジョニング解除されていない非アクティブアカウント、多要素認証（MFA）などの重要なポリシーの適用における一貫性の欠如などが含まれます。これらの要素はすべて、適切に管理されない場合、攻撃対象領域を拡大し、セキュリティ侵害のリスクを高めます。

IDセキュリティ態勢管理は、セキュリティ態勢を包括的に把握し、脆弱性を事前に検出し、 NISTなどのフレームワークに準拠した高リスク領域に対する迅速な修復パスを提供します。最も重要なのは、単に問題点を指摘するだけでなく、Oktaの統合プラットフォームを活用して、不一致が検出された箇所すべてで自動修復を実行する点です。

さらに、Okta Identity Governanceは、ガバナンスに基づくアクセス制御、ジャストインタイム（JIT）プロビジョニング、定期的な権限レビュー、ポリシーベースのデプロビジョニングによって最小権限の原則を強化し、孤立したアカウントや不要な永続的な権限の発生を防ぎます。これらすべてにより、攻撃対象領域が縮小し、インシデント発生時の回復力が向上します。

多層防御：認証前、認証中、認証後

Oktaのアイデンティティ回復戦略は、事前認証、認証、事後認証という3つの明確なフェーズで構成されています。各フェーズでは、攻撃を抑止し、その影響を最小限に抑え、インシデント対応を容易にするために、特定の制御策が適用されます。

認証を行う前に、アクセス境界の強化と疑わしいトラフィックのフィルタリングに重点を置きます。境界ルーターはAPIにレート制限を適用し、AWS Shield AdvancedおよびAWS WAFとの連携を利用して、IPアドレス、地理的位置情報、または疑わしいHTTPヘッダーに基づいてリクエストをフィルタリングすることで、分散型サービス拒否（DDoS）攻撃を検知および軽減します。

さらに、Oktaは動的な許可/ブロックリストとThreatInsightサービスを活用し、毎月管理する数十億件のログインから収集した匿名シグナルから、攻撃パターン（クレデンシャルスタッフィング、ブルートフォース攻撃、フィッシングなど）を特定します。この集合知によって、顧客のプライバシーを損なうことなく、すべての顧客のセキュリティが強化されます。

同時に、組織レベルのネットワークポリシーでは、IPアドレス範囲や地理的な場所に基づいて信頼できるゾーンを定義することができ、これらのゾーンはログインポリシー、ルーティングルール、VPN通知などで使用され、ユーザーが認証要素を入力する前にアクセスをブロックまたは許可します。

認証プロセス中は、グローバルセッションポリシーとアプリケーション認証ポリシーが適用されます。すべてのユーザーに適用されるグローバルセッションポリシーは、デバイス、ネットワーク、動作、リスクレベル、リソースタイプなどのシグナルを評価し、アクセスを許可するか、2要素認証を要求するか、CAPTCHAを適用するか、リクエスト間の最小時間を設定するかを決定します。

これらのポリシーは、脆弱なパスワード、プロキシの使用、位置情報の急激な変化、未知のデバイス、または異常な行動パターンに対応できるOktaのアダプティブMFAと統合されています。その目的は、状況からリスクが高いと判断される箇所で、アクセス権限を的確に強化することです。

Oktaがサポートする要素の中で、特に注目すべきはフィッシング対策とデバイス連携認証です。例えば、Okta FastPassは、デバイスにインストールされたOkta Verifyクライアントからパスワードなしでアクセスを提供し、アクセスを許可する前にデバイスの状態（管理対象か非管理対象か）とセキュリティの状態を継続的に評価します。

デバイス信頼性およびデバイス保証コンポーネントは、オペレーティングシステムのバージョン、セキュリティパッチ、統合EDRソリューションのステータスなどの属性に対する追加の制御機能を提供します。これにより、アクセスを試みるデバイスに対して最低限の要件を適用し、管理対象の企業機器と、より不確実性の高い個人端末を区別することが可能になります。

認証後も作業は終わりません。Oktaはユーザーとセッションのアクティビティを継続的に監視し、通常のパターンからの逸脱を検出するとともに、ID脅威保護（ITP）を使用して、エンドポイント、ZTNAソリューション、メール、外部セキュリティイベントプロバイダー、および自社プラットフォームなど、複数のソースからのリスクシグナルを関連付けます。

リスクエンジンは、各セッションのコンテキストとエンティティ（ユーザー）の総合的なリスクの両方を評価し、アクティビティ、デバイス、ネットワーク、アクセスされたデータに基づいて、継続的な「スコア」のようなものを構築します。このリアルタイムの評価に基づいて、グローバルセッションの閉鎖、追加の多要素認証要件、アクセス権の取り消し、自動応答フローの有効化などのアクションがトリガーされます。

Okta Identity Security Fabric：オーケストレーションされたセキュリティファブリック

これらのコンポーネントはすべて、Oktaが「アイデンティティセキュリティファブリック」と呼ぶものに統合されています。これは、アイデンティティを個別の要素としてではなく、制御の連続的なネットワークとして扱うサイバーセキュリティのアプローチです。その目的は、アイデンティティの初期作成とガバナンスから、コンテキスト認証、アクセス後の継続的な監視まで、ライフサイクル全体を網羅することです。

アクセスガバナンスとポスチャ管理は、フィッシング対策認証、リアルタイムリスク評価、自動応答機能と組み合わされています。その結果、従来の境界が消滅し、人間と非人間の両方のIDが新たなネットワークエッジとなる、ハイブリッド、マルチクラウド、分散環境に適応するセキュリティレイヤーが実現します。

このモデルでは、IDは単なるログインメカニズムではなくなり、サイバーセキュリティ戦略全体の基盤となるインフラストラクチャとなり、組織がますます高度化する妨害や攻撃に耐えるために必要な可視性と詳細な制御を提供します。

アイデンティティとAI時代：自律エージェントと新たなリスク要因

人工知能とAIを活用したサイバーセキュリティの進化は、このパラダイムシフトを加速させています。Oktaは、AIエージェントが新たなカテゴリーのデジタルアイデンティティを生み出すと強調しています。それは、決して眠ることなく、機械並みの速度で動作し、侵害された場合にはアプリケーション、データ、サービスに対して大規模なアクションを実行できるものです。

Oktaの経営陣は、最近の業績発表の中で、AIの成長とIDシステムの強化の必要性を結びつけました。多くの組織がエージェントや自動化システムを導入していますが、それらが何を実行できるのか、どのような権限を持っているのか、そしてどのように活動が監視されるのかを管理するための強固なガバナンスフレームワークがまだ整備されていないのが現状です。

この課題に対処するため、同社はAIエージェント向けのAuth0やOktaといったソリューションを導入しました。これらのソリューションは、自律型エージェントのIDを人間と同様の厳格さで管理するように設計されており、権限の制御、アクションのログ記録、各タスクに厳密に必要な範囲へのアクセス制限などを実現します。

同時に、Oktaのカタログには、アイデンティティガバナンス、特権アクセス、アイデンティティベースの脅威からの保護に関する新機能が組み込まれており、これらは収益に大きな影響を与え始めています。伝えたいメッセージは明確です。AIによってアイデンティティと接続の数が増加する場合、回復力は、十分に保護された制御プレーンからそれらすべてを管理できるプラットフォームを持つことにかかっています。

CommvaultとOktaのアイデンティティ回復力：きめ細かく不変な復旧

こうしたアイデンティティの回復力に関する動きは、他の企業にも刺激を与えている。Commvaultは、アイデンティティ回復力ポートフォリオを拡張し、Oktaとの互換性を追加することを発表した。これは、アイデンティティシステム自体が侵害されたり、信頼性が低下したりした場合にどうなるかという、非常に具体的な運用上のギャップを埋めることを目的としている。

業界のデータは説得力がある。2024年には世界中で107.000億件の個人情報が漏洩し、前年のサイバーセキュリティインシデントの57%は個人情報の侵害から始まった。非人間型ID、AIエージェント、APIアクセスの普及に伴い、アクセスは企業インフラにおける最も脆弱なポイントの一つとなっている。

Commvaultの提案は、Oktaの静的バックアップにとどまらず、きめ細かな特定時点への復旧に​​重点を置いています。インシデント発生後に企業が環境全体を再構築するという、時間と手間がかかりエラーが発生しやすいプロセスを回避するため、ユーザー、グループ、アプリケーション、特定のポリシー設定など、特定のオブジェクトのみを復元することが可能になります。

このアイデンティティの「外科手術」機能は、停止時間が数分で済むか、数日に及ぶかの違いを生む可能性があります。CommvaultのテクノロジーおよびAI責任者であるPranay Ahlawat氏は、アイデンティティが新たな戦場となっていることを強調し、Oktaに回復力を拡張することで、組織にとって最も重要な制御プレーンの1つを保護できると述べています。

この技術を評価した機関の一つであるデラウェア州矯正局は、すべてのインシデントが悪意のある攻撃によるものではないことを強調している。ハイブリッド環境におけるアクセス ポリシーの管理における人為的ミスは、運用停止の頻繁な原因となっている。以前の既知の状態に自動的に戻せることで、不確実性とリスクを大幅に軽減できる。

Commvault Cloud Identity Resilience Architecture for Okta

CommvaultがOkta環境を保護するために設計したアーキテクチャは、本番環境から隔離された不変ストレージに依存しているため、ランサムウェアやその他の攻撃が企業ネットワークに侵入したとしても、IDバックアップを暗号化したり改ざんしたりすることはできません。

今回発表された主な機能には、Oktaの自動化されたポリシーベースの保護機能（ユーザー、グループ、アプリケーション、アクセスルールなど）により、 ID侵害からの復旧が迅速化されることが含まれます。これにより、設定ミス、運用エラー、またはIDベースの攻撃が発生した場合でも、より迅速に業務を復旧できます。

きめ細かなポイントリカバリにより、削除された要素、設定ミスのある要素、または侵害された要素のみを復元でき、環境の残りの部分に影響を与えることはありません。これにより、ダウンタイムが短縮され、ディレクトリや複雑な構成を最初から再構築する必要がなくなり、それに伴うリスクも回避できます。

さらに、このソリューションは、 Commvaultが管理する不変のリポジトリにバックアップを保持することで、高度なランサムウェア対策を提供します。これらのリポジトリは、オペレーティングシステムとは物理的にも論理的にも分離されています。そのため、攻撃者が復旧機能を妨害しようと試みた場合でも（これはますます一般的になっている手口です）、IDバックアップは引き続き利用可能です。

このプラットフォームは、Oktaが他のベンダーやオンプレミスシステムと共存する相互接続されたID環境における復旧を簡素化することも目的としています。統合されたワークフローを通じて、ITチームの手作業による作業負荷を軽減し、複雑なエコシステム全体にわたる一貫した復旧と包括的なITインフラストラクチャのドキュメント作成を可能にすることを目指しています。

最後に、Commvaultは、この機能を統合されたアイデンティティ回復力プラットフォームの中に位置づけ、複数のプロバイダーを網羅することで、アイデンティティがどこに存在するかに関わらず、均一なガバナンスと一貫した復旧を促進することを目指しています。

入手可能性と市場の状況

発表されたロードマップによると、Okta向けのCommvaultのIDレジリエンス機能は、 2026年春にパブリックアーリーアクセスとして先行提供され、同年夏に一般提供が開始される予定です。このソリューションは、Commvault Cloud Identity Resilienceスイートの一部としてグローバルに販売され、価格モデルはユーザー数に基づいて決定されます。

このユーザーごとのアプローチは、組織の拡張性により適切に対応し、コピーに保存されるデータ量の増加によるコストの急騰を防ぐことを目的としています。これは、インフラストラクチャや環境が拡大するにつれて不利益を被ることが多い従来のモデルとは異なります。

業界は、このエコシステムにおける他のIDプロバイダーの統合がどのように進展していくかを注視している。大企業は通常、オンプレミスソリューション、複数のSaaSサービス、そして様々なIDプロバイダーが共存する断片化された環境で事業を運営している。エンドツーエンドの回復力を確保するには、セキュリティや復旧機能を損なうことなく、こうした多様性をオーケストレーションする必要がある。

Omdiaのデイブ・グルーバー氏のようなアナリストは、アイデンティティの回復力は運用上の回復力と切り離せない関係にあると強調している。AIやエージェントベースのソリューションが普及した現代において、データとアイデンティティシステムの両方を保護することは、運用リスクを低減し、インシデント発生後の復旧時間を短縮するための前提条件となっている。

SaaSに大きく依存しているスペインのような市場では、これらの機能は、もはや個人情報が侵害されるかどうかではなく、侵害を検知し、事業が破綻することなく正常な状態に戻すのにどれくらいの時間がかかるかが重要な問題となっている時期に登場した。

Oktaの高可用性サービスと、拡張災害復旧などの高度な復旧オプション、そしてCommvault Cloud Identity Resilienceなどの外部ツールを組み合わせることで、アイデンティティの回復力がセキュリティと事業継続性の構造的な柱となり、従業員の日常業務からAIエージェントやその他の重要なデジタルサービスの自動化された運用まで、あらゆるものをサポートできるという状況が実現します。