View on GitHub

bok

IDPro Body of Knowledgeの日本語訳を載せていきます

抄録

デジタル ID は、作成から、さまざまなイベントに対応したさまざまな変更、無効化または削除に至るまで、その存 在中にいくつかの段階を経る。この文書では、管理する必要があるデジタル ID の種類と、デジタル ID のさまざまな段階を説明し、複数のシステム内または複数のシステムにまたがる典型的な開始から終了までのライフサイクルを説明する。本書で概説されているライフサイクルは、包括的なものではないが、ほとんどの B2B、B2C、および B2E のユースケースに適用可能である。

Keywords: Lifecycle, Digital Identity, User Journey

How to Cite:

Cameron A. & Grewe O., (2020) “An Overview of the Digital Identity Lifecycle”, IDPro Body of Knowledge 1(3).

PUBLISHED ON 31 OCT 2020

PEER REVIEWED

LICENSE CREATIVE COMMONS ATTRIBUTION-NONCOMMERCIAL-NODERIVS 4.0

デジタル・アイデンティティ・ライフサイクルの概要

By Andrew Cameron and Olaf Grewe

© 2020 IDPro, Andrew Cameron, Olaf Grewe

デジタルアイデンティティ入門

本文書の目的では、デジタル ID は、デジタル・トランザクションが価値を生成できるようにするために必要な 関連属性を持つ一意の識別子として定義される。デジタル ID が使用される環境の複雑さに応じて、そのライフサイクルは、単純な作成、読 み取り、更新、および削除（CRUD）のライフサイクルよりも大幅に複雑になる可能性がある。1

アイデンティティのタイプ（WorkforceやCustomerなどの人間型、SystemやDeviceなどの非人間型）によって、ライフサイクルのフェーズは異なります。エンタープライズIAMは、一般的に、正しい人（アカウント）だけが必要なアプリケーション（リソース）だけにアクセスできるようにするためのプロセスとガバナンス機能を提供する、確立された一連のプロセスとなっています。顧客IAMは、顧客との相互作用を定義する性質上、ビジネスにとっての価値を表す要件が全く異なります。顧客との相互作用が不十分であったり、非効率であったりすると、ビジネスに深刻な悪影響を及ぼす可能性があります。これらの理由から、異なるIDタイプは、それらをサポートする別個のシステムとプロセスを必要とします。

アイデンティティの種類 説明
従業員 従業員 ID は、企業の文脈で機能するように作成されたものであり、企業間（B2B）および／または企業間（B2E）を含む場合がある。これらの ID タイプの例としては、従業員、サプライヤ、請負業者、または企業の労働力をサポートするその他の人間の ID が挙げられます。
顧客 顧客 ID タイプは通常、企業のコンテキストの外で機能し、顧客 ID の所有者と企業との間でデジタル・ビジネスを可能にする。通常、複数のチャネル（Web、モバイル、IoT デバイス）からのアクセスがあり、相互作用を促進するために必要なプロファイル（ID 属性）データの大規模なセットで管理されます。
デバイスまたはシステム デバイス・アイデンティティは、通常、デジタル・ネットワーク上での識別と表現を提供するために使用されます。システムアイデンティティは、ネットワークに対するサービス（アプリケーションやサーバーベースのプロセスなど）を認証するために使用されます。

キーワード

アイデンティティのライフサイクル

ライフサイクルの「作成」段階では、デジタル ID は記録システム内の一意の識別子として作成される。これは、ビジネス・プロセスの一部として（ワークフォースまたはデバイス ID）、またはユーザー・ジャーニーの一部として（顧客 ID）透過的に作成することができる。

ライフサイクルを通じて、デジタル ID は、割り当てられたアカウントと権限を通じてデジタル・トランザクショ ンを可能にする。この文書では、ライフサイクルは連続体として概説されているが、読者はそれを期待すべきである。

デジタル ID ライフサイクルは、ほとんどの組織で複数の技術的ソリューションに分散している可能性がある。

ライフサイクルの一部のステップ（認証、使用など）は、他のステップ（マージ、削除など）よりも頻 繁に発生する。

従業員のアイデンティティ

労働力のアイデンティティ・ライフサイクルは、3 つの主要なビジネス・プロセスを通じて対処されます。Joiner、Mover、または Leaver である。Joiner プロセスは、企業環境で ID とアクセスを可能にするための資産（ID、アカウント、グループ・メン バーシップなど）の作成を促進するすべてのライフサイクル・フェーズをカバーしている。移動者プロセスでは、企業環境にいる間に ID ステータスの変更や更新を可能にし、アクセス許可と権限を検証するために必要な認証プロセスを考慮します。Leaver プロセスは、ID が企業環境へのアクセスから削除されたときに発生する必要がある一連の手順をカバーしている。

図 1 は、ライフサイクルにおけるワークフォース IAM のフェーズを示している。

ID の作成、アカウントのプロビジョニング、アクセスのプロビジョニング、認証、アクセスの管理、およびアクセスのデプロビジョニングのサイクルを示すワークフォース ID ライフサイクルの図。Joiner は ID の作成、Leaver はアクセスのプロビジョニング解除、Mover はアクセスの管理に関連付けられています。

Figure 1 – 従業員のアイデンティティのライフサイクル

従業員のアイデンティティのライフサイクルをサポートするフェーズを以下の表に示します。

ライフサイクルフェーズ 説明
アイデンティティの作成 ビジネス・プロセス（従業員、サプライヤなど）の一部としての労働力アイデンティティの生成は、識別子に関連付けられる属性の最小セットを確立するための証明の収集と組み合わされることが多い。デジタル ID の作成は、特に、合併や買収などのさまざまな目的のためにデジタル ID が大規模に生成される場合には、自動化され る（例えば、人事システムのイベントと同期される）ことがある。労働力事業体の登録プロセスでは、他の人間の事業体（ライン・マネジャーや委任された管理者のエージェ ントなど）が提供された証明を検証することが頻繁に行われる。確立された国民 ID システムがない国（米国、英国、オーストラリアなど）では、国民 ID 文書の代わりに複数の文書（運転免許証、パ スポート、公共料金請求書、銀行カード／明細書）を証明として提供することが要求されることがある。
アカウントの準備 ビジネスルールに基づいて企業システムにアカウントを作成し、必要なリソースへのアクセスを実現します。
アクセスの準備 必要なシステム内の企業リソースにアクセスするためのエンタイトルメントを作成します。エンタイトルメントは、一般的に属性値、グループメンバーシップ、または組織的なアラインメントによって表現されます。ビジネスルールは、エンタープライズエンタイトルメントに基づいてリソースへのアクセスを定義します。
認証 ネットワークまたはリソースへのアクセスを許可する前に、ユーザーアカウントにクレデンシャルの検証を要求します。
アクセス管理 アカウントが割り当てられたアクセスを検証し、企業のリソースへの継続的なアクセスを承認する。アクセス認証は、現在のすべてのアクセスを検証するプロセスであり、不要になったアクセスを削除するために使用することができます。検証とアクセスのための認証プロセスは、成熟したIAMシステムの重要かつ過小評価されがちなコンポーネントです。デジタル識別子は、主にその属性の更新を受けることが多い。それほど頻繁ではないが、識別子自体が変更されることもある。例としては、ユーザ名が識別子（例えば電子メール・アドレス）としても使用されるデジタル ID がある。ユーザーは、ライフイベントや好みの変更による名前の変更など、さまざまな目的でユーザー名を変更したい場合がある。詳細な議論については、Ian Glazer氏の記事 “Identifiers and Usernames “を参照してください。2 承認、ステップアップ、または通知の要件に対応するワークフロー機能を記述したユースケースを頻繁に更新する。これらは、ID の持ち出しリスクに対処するための重要な管理である。組織にとってのデジタル ID の価値に応じて、デジタル ID の更新は、登録型のプルーフィングの対象となる場合がある。
アクセスの削除 すべての企業リソースへのアクセスを削除します。アクセスを削除する必要性は、リーバープロセスまたはアクセス認証からの検証の結果として発生する可能性がある。デジタル ID が不要になった場合は、記録システムで無効にする必要があります。この操作は、中央ディレクトリからの削除だけでなく、このデジタル ID に関連付けられた記録を維持する下流システム、およびロ グおよび監査リポジトリからの削除をも意味する。このデジタル ID に使用されている識別子がすべてのシステムから削除されて初めて、デジタル ID は本当に削除されたとみなすことができる。現在のベストプラクティスを考慮したアカウントの無効化または削除の重要性についての詳細な議論は、Andrew Hindle の記事 “Impact of GDPR on Identity and Access Management “に記載されている。3

顧客のアイデンティティ

顧客のIAMは、デジタルビジネスとのやり取りの中で消費者のユーザーエクスペリエンスを支配するプロセスをサポートするために、最近ではさらに進化してきました。CIAMソリューションは、企業のウェブサイトやサービスを利用した顧客の体験の結果として、顧客から収集したデータから企業に付加価値を提供するために発展してきました。ほとんどの顧客体験は、ウェブサイト、モバイルアプリ、IoTインターフェイスなどのデジタルリソースに関わる際に顧客が行うインタラクション（認証、登録、プロファイル更新）を表す「ユーザージャーニー」の一部として記述されています。

次の図は、CIAMライフサイクルのフェーズを表しています。

登録、プロファイルデータの管理、プライバシーと同意の管理、認証、アクセスの管理、監視、アクセスの削除を含む、顧客のアイデンティティのライフサイクルの図。

Figure 2 – 顧客のアイデンティティのライフサイクル

次の表は、顧客のアイデンティティのライフサイクルをサポートするフェーズを説明しています。:

ライフサイクルフェーズ 説明
登録 ユーザー・ジャーニーの最初の部分は、登録プロセスによるカスタマ・アイデンティティの作成である。この登録は通常、体験を可能にするためにデジタル ID が必要な場合に行われます。情報はユーザー・ジャーニーの一部としてユーザーから取得され、ユーザーは提供されたデータの使用に同意することができます。登録インタラクションは通常、フローの目的の確認（例：「あなたのアカウントが作成されました」）で終了する顧客との一回限りのインタラクションです。登録インタラクションは、ソーシャルアカウントのサインインのような統合されたアイデンティティを介して有効にすれば、ユーザーに透過的に見せることもできます（例：「Facebookアカウントでサインインして登録を取得する」）。登録は、ユーザージャーニーにおける識別子へのリンクステップ以外の必須属性を必要としない。デジタルトランザクションの性質に応じて、顧客の識別子にはいくつかの属性の保証が必要になる場合があります。ここで重要な検討事項は、人為的または非人為的な手段を介してデジタル ID の所有権（または回復）を確立するために使用される属性である。
プロフィールデータの管理 各顧客にはプロファイルがあり、プロファイルデータを管理することで、顧客が企業のリソース（ウェブサイトやモバイルアプリなど）をまたいでデータを更新できるようにするユーザー体験が必要になります。このフェーズは、主にユーザージャーニーベースのデジタルアイデンティティに適用されます。デジタルサービスがユーザーのジャーニーを再開できるようにするためには、ユーザーがサービスにアクセスする方法に固有の属性でデジタルアイデンティティを強化する必要があります。一般的な技術としては、クッキーまたはデバイスのフィンガープリンティングの2つがあります。後者の図解については、EFFsのPanopticlickサイトを参照してください。4
プライバシーと同意の管理 顧客のライフサイクルには、顧客の情報で何が起こるかについての知識と同意に関する顧客の権利を通知し、それを行使できるようにするプロセスが含まれていなければなりません。
認証 ワークフローの一環として、顧客は顧客サービスにアクセスする前にクレデンシャルを確認する必要があります。
アクセス管理 顧客のライフサイクルでは、顧客とのやりとりに基づいてビジネスサービスへのアクセスを管理する必要があります。また、ユーザーは追加の属性を提供することを選択することもできます。サービスは通常、ユーザーが現在のセッションの期限が切れた後にログインするためのユーザー名とパスワードを作成することを可能にする。この段階では、サービスは、異なるデバイス（モバイル、デスクトップ、ラップトップなど）によって作成された複数の識別子を組み合わせることができるかもしれない。この段階では、ユーザによって提供された属性に対する保証がないため、デジタル識別子は仮名とみなされる。
モニター 初期フェーズが完了すると、顧客のライフサイクルはモニタリングに移行し、顧客に関するデータをマイニング/収集し、顧客の体験をサポートするプロセスが発生し、様々なビジネスや消費者の要求が発生します。セキュリティの観点からは、モニタリングデータは、流出したクレデンシャルやその他の情報漏洩を顧客に通知するために使用することができます。ビジネスはまた、分析サービスを通じて顧客の活動の過去の利用情報を活用することでも利益を得ることができます。
アクセスの削除 顧客のアクセスの削除は、通常、顧客の要求の結果として、またはある程度の非活動性対策に基づいて行われます。

デバイスまたはシステムのアイデンティティ

デバイスまたはシステムのアイデンティティは、デバイスが技術的能力のレベルを上げて有効化されているという点で進化している分野であり、ライフサイクルを通じてデバイスを識別して管理する必要性が高まっています。例えば、自動車には何十もの内部システムがあり、車両のアイデンティティのライフサイクルにわたって高度な管理能力を必要とします。スケールの反対側では、ネットワークに接続して温度値やその他の基本的な情報を提供するだけの単純なモニターもあります。すべてのデバイスは、その能力に基づいて管理するために、特定のライフサイクルフェーズが必要になります。

作成、プロビジョニング、認証、管理/保守、および脱プロビジョニング・アクセスを含むデバイス・アイデンティティ・ライフサイクルの図。

Figure 3 – デバイスのアイデンティティのライフサイクル

次の表は、デバイス ID ライフサイクルをサポートするシンプルなモデルのフェーズを説明しています。

ライフサイクルフェーズ 説明
作成 デバイスまたはシステムのライフサイクルの第一段階は、デバイスまたはシステムに割り当てられる識別子を作成するプロセスをキックオフすることである。
準備 識別子が割り当てられると、デバイスまたはシステムを認識、監視、および管理できるようにするプロセス。デバイスのプロビジョニングは、通常、何らかの証明書または PKI インフラストラクチャを使用して行われ、既知のデバイスのみが企業のリソースと相互作用できるようにします。
認証 デバイスまたはシステムの認証は通常、PKI インフラストラクチャを使用して行われ、接続されたデバイスが既知であり、ネットワークとの相互作用を許可されていることを保証します。
管理・維持 初期段階が完了したら、デバイスまたはシステムを監視して、デバイスを維持するために何かアクションが必要かどうかを判断する必要があります。IT セキュリティのベストプラクティスとして、人間以外のアイデンティティに関連付けられたクレデンシャル（パスワード）は、ブルートフォースパスワードベースの攻撃からの保護を可能にするために、定期的にローテーションする必要があります。
アクセスの無効化 デバイスまたはシステムが使用されなくなった場合（従業員や顧客のデジタル ID とは異なるプロセスを必要とする場合があります）、記録システムからデバイスまたはシステムへのアクセスを削除し、企業ネットワークへのアクセスを無効にします。

その他のデジタル・アイデンティティの関係

一部のデジタル取引では、組織はデジタル ID 発行者（ID プロバイダとしても知られる）間の関係を確立する必要がある。これらの関係は、外部パートナーとの関係（例：B2B 関係）や、さまざまなエンタープライズ・アプリケーショ ン全体（例：シングル・サインオン環境）との関係になることがある。さらに、委任権限を確立したり、二重制御要件を管理したりするために、デジタル ID を組織内の他の ID と関連付けることもあります。いずれの場合も、関係は通常、デジタル ID の属性（許可されたサービスの識別子など）として、または中央ディレクトリ内の別個のデータポイント（LDAP グループのメンバーシップなど）として管理されます。

関係の一般的なタイプは以下の通りです。

組織間（連盟 組織は、他の組織のデジタルアイデンティティとライフサイクル管理プロセスに依存しています。
組織内（シングルサインオン ディレクトリ内のアカウントなどの中央のデジタル ID は、認証の目的のために下流のシステムによって権威あるものとしてリンクされています。.
エンティティ間（委任 委任には、ある組織内の ID から別の組織に存在する ID に権限のサブセットを割り当てることが含まれる。権限は、トランザクションの実行を可能にする目的で、組織の境界を越えて付与される。権限は、明示的に付与することも、組織レベルのビジネスルールに基づいて付与することもできる。
イントラエンティティ ユーザー主導型であるか、組織的な要件から外れたものであるかにかかわらず、複数のデジタル・アイデンティティの間に関係が確立され、単一の人間または非人間のエンティティを所有者として識別します（上記の「機能拡張」を参照）。

結論

デジタル ID ライフサイクルの複雑さは、多くの場合、数年後、システムに機能が追加されて初めて明らかになる。したがって、ライフサイクル要件には長期的な視野でアプローチし、ユーザー管理機能が拡張可能であることを確認することが望ましい。

謝辞

著者は、匿名から仮名、既知へとアイデンティティの進行を明確にしてくれたIan Glazerに感謝したい。Dean Saxeは関係性の分類に貢献した。Jon LehtinenとHeather Flanaganは励ましを提供し、記事の初期の草稿に苦しみました。

  1. “Create Read Update Delete” ldapwiki.com, paged last modified 19 March 2020, https://ldapwiki.com/wiki/Create%20Read%20Update%20Delete . ↩
  2. Glazer, Ian, “Identifiers and Usernames,” IDPro Body of Knowledge, 31 March 2020, https://bok.idpro.org/article/id/16/ . ↩
  3. Hindle, Andrew, “Impact of GDPR on Identity and Access Management,” IDPro Body of Knowledge, 31 March 2020, https://bok.idpro.org/article/id/24/ . ↩
  4. “Panopticlic 3.0,” Electronic Frontier Foundation, viewed 13 April 2020, https://panopticlick.eff.org/ . ↩