クラウドコストの高騰やリスクの所在、データ主権、レガシーシステムとの互換性など、さまざまな理由から、安価で潤沢なローカルストレージとしてファイルサーバーを使い続けている組織は少なくありません。とはいえ、データがどこに置かれていようと、正しい相手にだけアクセスを許可するアクセスガバナンスは欠かせません。
クラウド全盛の時代に入ってなお、数多くの組織はオンプレミスのファイルサーバーを、各種SaaSサブスクリプションと併用しながら維持し続けています。こうしたハイブリッド構成により、企業は大量のデータを保持しつつ、コストやリスク、保持期間、バックアップ、アクセス権限を自らの手で完全にコントロールできます。
クラウドサービスの利便性は依然として多くの企業を移行へと駆り立てる大きな魅力ですが、一方でサブスクリプション費用の急騰、データの所有権、規制上の要求といった懸念から、移行を一旦停止したり、クラウド戦略そのものを見直したりする組織も出てきています。
「輝かしいクラウドオンリーの未来」が予測されてきたにもかかわらず、地味な存在であるファイルサーバーは、今後も何年にもわたってITの主力であり続けそうです。組織がファイルサーバーを使い続ける理由がどのようなものであれ、重要なのは、それを安全かつ効率的に管理することです。
オンプレミスインフラがもたらす制御力とリスク管理の主体性を考えれば、効果的なアクセスガバナンスはデータ保護に不可欠です。
ここでは、すべてのファイルサーバー管理者が知っておくべき5つのベストプラクティスを紹介します。
その1: 権限を直接ユーザーに割り当てない
ユーザーにディレクトリへのアクセス権を付与する際は、必ずfs_finance_readのような一貫した命名規則に従う、専用の単一目的セキュリティグループを使用してください。
ほとんどの管理者はこのルールを認識しているものの、上層部が「今すぐチームメンバーにアクセス権を与えろ」とせかしてくる場面では、これを徹底するのは容易ではありません。
ユーザーに直接アクセス権を割り当てることの問題点は、こうした一回限りの権限を追跡する手段がないことです。ユーザーオブジェクトを調べれば、そのユーザーが所属するすべてのグループを確認できます。権限にちなんだ名前をグループに付けておけば、それがそのままユーザーのアクセス権一覧としても機能します。
しかし、ユーザーがフォルダに対して直接権限を付与されている場合、その権限が確認できるのはそのフォルダ自体のプロパティだけです。わずか数百のディレクトリしかない比較的小規模な環境であっても、これでは一回限りの権限は事実上見えなくなってしまいます。
その2: AGDLPモデルで権限グループを入れ子にする
ここまで見てきたように、専用のセキュリティグループはユーザーにファイルサーバーのディレクトリへのアクセス権を付与する最良の方法です。しかし、だからといってユーザーをこれらのセキュリティグループに直接追加すべきというわけではありません。もう一段階の抽象化レイヤーを加えることで、ファイルサーバー管理はさらに効率化できます。
まず、営業、カスタマーサポート、人事など、組織内のさまざまな役割に対応するグローバルグループを作成します。次に、これらのグローバルグループを、そのロールのユーザーがアクセスを必要とする各リソースの個別権限グループのメンバーにします。
このようにグループを階層化しておけば、新しいユーザーには、その職務に対応するグローバルロールグループに追加するだけで、必要なアクセス権をすべて与えられます。
このアプローチはAGDLPモデルと呼ばれ、アカウント(Account)、グローバルグループ(Global group)、ドメインローカルグループ(Domain local group)、そして権限(Permission)という入れ子構造の頭文字を取ったものです。AGDLPやこれに類するモデルに従うことで、ファイルサーバーやActive Directoryのリソースに対してロールベースアクセス制御の一形態を実装でき、アクセスガバナンスを大幅に効率化できます。
その3: 共有権限は緩めに設定し、アクセス制御にはNTFSを使う
共有権限は、ファイル共有などのネットワークリソースへのアクセスを制御します。しかし、NTFS権限はネットワークアクセスとローカルアクセスの両方に適用され、より細かい権限レベルの制御が可能なため、ほとんどの管理者はアクセス管理にNTFS権限を使うことを好みます。
NTFS権限と共有権限が競合する場合、より制限の厳しい方の権限レベルが優先されます。そのため、共有権限は高めのレベル(たとえばユーザーには「変更」、管理者には「フルコントロール」など)に設定しておき、そこから先のアクセス制限はNTFS権限に任せるのが最も簡単な方法です。
その4: 継承を壊さない
ファイルサーバーのガバナンスを効率化するには、ディレクトリツリーの上位階層の管理に集中し、そこから下へ権限を伝播させることに注力してください。これは、権限継承を最大限に活用できる、整理されたフォルダ構造があってこそ最も効果を発揮します。
理想的には、ディレクトリツリーの3階層より深いところで明示的な権限を設定することは避けるべきです。
もちろん、管理者が理想的な条件下で作業できることはめったにありません。長年蓄積された乱雑さに加え、上層部からの要求により、部門共有の奥深くに埋もれた特定のプロジェクトフォルダへユーザーにアクセスさせるため、回避策を探さざるを得ない場合もあるでしょう。
そうした場合でも、継承された権限を上書きしてサブフォルダやファイルへの波及効果に対処するよりは、新しいフォルダを作成するか、ディレクトリツリーの上位に移動させる方が容易なことが多いものです。
その5: 最小権限の原則を守る
ユーザーには、業務に厳密に必要なアクセス権のみを与えるべきであり、それでもなお、業務を遂行できる範囲で最も制限の厳しい権限レベルを保持させるべきです。最小権限の原則はITセキュリティの根幹をなす概念であり、ファイルサーバーをはじめとするあらゆるアクセスに関する判断の指針とすべきものです。
重要なのは、最小権限の原則が、ユーザーにアクセス権を付与する瞬間だけの一回限りのチェックにとどまらないという点です。役割や責任は時間とともに変化するものであり、それに伴って、あるリソースへのアクセスが今もなお必要かどうかも変わってきます。
ある権限は、付与した時点ではその人の職務に見合っていたかもしれませんが、1か月後もまだ妥当でしょうか。四半期後は。1年後は。
ユーザーの権限が日々の業務内容と一致していることを保証する唯一の方法は、定期的に権限を見直し、もはや役割を果たしていないものを取り消すことです。しかし、こうした権限監査は、ユーザー権限を追跡しアクセスレビューポリシーを管理する一元化されたガバナンスプラットフォームなしには、実装するのが困難です。
残念ながら、最小権限アクセスを徹底するという任務において、手作業による監視だけでは到底追いつきません。
tenfoldによる自動化・ベストプラクティスに沿ったガバナンス
入れ子になった権限グループから整理されたフォルダ構造に至るまで、ファイルサーバー管理への正しいアプローチは、業務負荷を軽減しつつ混沌に秩序をもたらします。
とはいえ、本に書かれたベストプラクティスをすべて守ったとしても、ファイルサーバーの管理は依然として非常に手間と時間のかかる作業です。ITインフラ全体のほんの一部にすぎないことを考えればなおさらです。
真にシームレスなファイルサーバー体験を実現する方法はただ一つ、tenfoldのような専用のガバナンスソリューションを導入することです。完全自動化されたプラットフォームであるtenfoldは、プロビジョニング業務、承認ワークフロー、グループ管理を代行できるだけではありません。
ディレクトリツリーのあらゆる階層について詳細な可視性を提供し、誰が何に対して、なぜアクセス権を持っているのかを正確に示します。それもファイルサーバーだけでなく、ローカル・クラウドを問わずあらゆる権限が対象です。
ロールベースアクセスからライフサイクル管理までを網羅する包括的なIDガバナンス、詳細なデータアクセスガバナンスツールセット、そして日々拡充されているイベント監査機能を備えたtenfoldは、3つのソリューションを1つの便利なプラットフォームに統合します。オンプレミスのファイルサーバーからクラウドアプリまで、アクセスを一元的に追跡・管理できます。
個別デモを予約して、tenfoldについて詳しく知り、専門スタッフとあなたの利用ケースについて相談してみてください。
