ゼロトラスト認証認可の設計パターン｜FIDO2・RBAC・IdP選定から実装の落とし穴まで

ゼロトラストが「境界防御」を過去にする理由

従来のセキュリティモデルは「ファイアウォールの内側は信頼できる」という前提に立っていました。VPNで拠点間を繋ぎ、境界の外部からの不正アクセスを遮断することが主要な防御手段でした。

しかしこのモデルは、クラウド移行・リモートワーク拡大・SaaS多用という現実に対応できなくなっています。境界が曖昧になった環境では、一度VPNに接続されたユーザーが内部を自由に横断できてしまうリスクが生じます。ランサムウェアや内部不正の多くは、この「横移動（ラテラルムーブメント）」によって被害が拡大します。

ゼロトラストは「すべてのアクセスを検証する」という原則に基づき、ユーザーの場所やネットワーク経路に依存せず、アクセスのたびに認証・認可を実施します。本記事では、ゼロトラストアーキテクチャの中核をなす「認証設計」と「認可設計」のパターンを体系的に解説します。

認証設計の基本原則 ― フィッシング耐性を前提に考える

ゼロトラストの認証設計で外せない前提が「Never Trust, Always Verify（決して信頼せず、常に検証せよ）」です。これを実装レベルで解釈すると、以下の3つの要件に分解できます。

• 認証の継続性：一度認証すれば終わりではなく、セッション中も継続的に評価する
• 多要素の組み合わせ：知識（パスワード）・所持（デバイス）・生体（指紋・顔）を組み合わせる
• フィッシング耐性：攻撃者がフィッシングで認証情報を奪えない方式を選ぶ

現代のゼロトラスト環境で推奨される認証方式の比較を以下に示します。なお、FIDO2/パスキーについて補足すると、パスキーはFIDO2/WebAuthn仕様を一般ユーザー向けに使いやすくした実装形態であり、Apple・Google・Microsoftが対応を推進しています。

MFA設計とstep-up認証 ― リスクレベルに応じた認証強度の設計

ゼロトラストにおけるMFAは「一律に全員に適用する」が基本ですが、業務影響を最小化しながら導入するためには段階設計が重要になります。

まず重視すべきは「フィッシング耐性のあるMFA」の選定です。SMSベースのワンタイムパスワードはSIMスワッピング攻撃に脆弱であり、ゼロトラストの文脈では推奨されません。FIDO2/パスキーを標準とし、対応が困難なシステムには証明書認証でデバイスレベルの認証を補完します。

また「step-up認証（段階的認証強化）」の設計も効果的です。通常業務では通常のMFAで認証し、管理者権限の行使・機密データへのアクセス・高リスクと判定されたセッションではより強い認証を要求します。このアプローチは、ユーザー体験と安全性のバランスを取りやすい方式です。

認可設計パターン ― RBAC・ABAC・JITアクセスの使い分け

認証（本人確認）の次は、認可（何にアクセスできるか）の設計です。ゼロトラストでは「最小権限の原則（Least Privilege）」を実装するための認可モデルの選択が重要になります。

ゼロトラストの文脈では、RBACを基礎としてABACで拡張するアプローチが現実的です。「営業部マネージャー（RBAC）かつ自社デバイス使用中（属性）かつ日本国内（属性）の場合のみ顧客契約データにアクセス可能」というような複合条件が典型的なポリシーになります。

さらに注目されるのが「Just-in-Time（JIT）アクセス」です。常時権限を付与するのではなく、必要なときだけ申請・承認ベースで一時的な権限を付与し、作業終了後は自動で権限を剥奪します。特権アクセス管理（PAM）と組み合わせることで、横移動リスクを大幅に低減できます。

IDプロバイダー選定とフェデレーション設計

ゼロトラストの認証基盤として、すべてのアクセスの検証を一元化する「IDプロバイダー（IdP）」の選定は戦略的な判断です。主要な選択肢を比較します。

フェデレーション設計では、複数のIdPや外部組織との信頼関係をどう構築するかが重要です。プロトコルとしてはSAML 2.0とOpenID Connect（OIDC）が主流ですが、新規実装ではOIDCを標準とし、レガシーシステムとの接続はSAMLで対応する構成が現実的です。

外部組織との連携（B2B）では、ゲストアクセスの設計に注意が必要です。外部ユーザーを自社IdPに登録するか、外部IdPを信頼するかによって、認証強度と管理負荷のトレードオフが変わります。Entra IDの「外部IDによるコラボレーション」やOktaの「Workforce Identity」機能が典型的な解決策です。

コンテキスト認証・継続的リスク評価と実装時の落とし穴

継続的なリスク評価の設計

ゼロトラストの差別化ポイントは「静的な認証・認可で終わらない」ことです。ログイン時点だけでなく、セッション継続中もリスクを評価し続ける「継続的適応型リスクアンドトラスト評価（CARTA）」の考え方が重要になります。

コンテキスト認証では以下の要素をリアルタイムで評価します。

• デバイスコンプライアンス：MDM/EDRによる端点の健全性チェック（OSパッチ適用状況・暗号化有効・マルウェア未検出）
• ネットワーク位置：社内ネットワーク・自宅・海外など、場所のリスクレベル評価
• ユーザー行動分析（UEBA）：通常と異なるアクセスパターンの検知（深夜の大量ダウンロード等）
• セッションリスクスコア：上記を総合した動的スコアに基づく条件付きアクセスポリシーの適用

Microsoft Entra IDの「条件付きアクセス」やOktaの「Adaptive MFA」はこれを製品として実装したものです。設計時のポイントは、「どのコンテキスト変化がstep-up認証を要求するか」のポリシーを運用前に明確化しておくことです。例外処理（海外出張時の一時的な場所許可等）の手順も事前に整備する必要があります。

実装で問題になりやすいパターン

ゼロトラストの認証・認可設計において、特に現場で問題になりやすいパターンを整理します。

まとめ

ゼロトラストにおける認証・認可設計のポイントを整理します。

• 認証はFIDO2/パスキーを標準とし、フィッシング耐性を設計の前提に置く
• step-up認証でリスクレベルに応じた認証強度を動的に変化させる
• 認可はRBACを基礎としてABACで拡張し、最小権限とJITアクセスを組み合わせる
• IdPはエコシステムと連携要件を踏まえて選定し、フェデレーション設計を事前に固める
• コンテキスト認証と継続的リスク評価でセッション中も監視を継続する
• 例外管理・トークン有効期限・レガシー対応の3点が実装時の主要リスクとなる

認証・認可の設計は、ゼロトラストアーキテクチャ全体の信頼性を支える基盤です。技術選定だけでなく、運用設計・例外管理・継続的な評価の仕組みまでを含めて設計することが、実効性のあるゼロトラスト環境の構築につながります。