セキュリティアーキテクチャ・設計 重要度:★★★出題: AM2・PM1
特権ID管理 (PAM: Privileged Access Management)
とっけんあいでぃーかんり / Privileged Access Management
システム管理者権限（root / Administrator / IAM Admin）の貸出・操作監視・パスワード自動ローテーションを統制する仕組み。
3行速習ポイント
- 特権アカウントの共用による「誰が操作したか特定できない問題」を、個人IDでの申請・承認ワークフローと貸出制御で解決
- 踏み台（バスチョン）サーバ経由で特権操作の画面録画・コマンドログを完全記録し、不正操作を抑止・追跡
- JIT（Just-In-Time）アクセスにより、作業時間中のみ一時的に特権を付与し、終了後は即座に権限を剥奪
図解
図特権ID管理 (PAM) による貸出統制と操作証跡保全フロー
1利用申請・承認ワークフロー
1. 申請・承認作業チケット紐付けと上長承認による職務分掌
個人IDで特権利用を申請し、作業目的・対象時間帯・承認者の整合性を確認して無断操作を防止
2JIT (Just-In-Time) 権限付与
2. 一時貸出承認された作業時間中のみ一時的に特権を付与
パスワード文字列を利用者に直接知らせず、PAMボールトから踏み台経由で自動ログイン（代理認証）を実行
3踏み台サーバでの全操作記録
3. 監視・記録コマンドログと画面録画を別サーバへ即時転送
SSHコマンド履歴やRDP操作動画を改ざん不能な外部ログサーバへリアルタイム保全し、不正操作を抑止・検知
4権限自動剥奪・鍵ローテーション
4. 権限回収作業終了と同時に特権剥奪とパスワード自動変更
利用時間満了後にセッションを切断し、特権パスワードをランダムな新パスワードへ自動ローテーション
💡 特権アカウントの複数人共用や常時特権付与（Standing Privilege）を排除し、「誰が・いつ・何を実行したか」を100%追跡可能にする
概要と本質
内部不正や標的型攻撃の最終目標は特権IDの奪取です。PAMは特権クレデンシャルをセキュアなボールト（金庫）に秘匿保管し、利用者にパスワード文字列を知らせることなく踏み台経由で自動ログインさせ、全操作証跡を改ざん不能な形で保全します。
重要ポイント・コア概念
- 職務分掌と承認制：特権IDの利用申請者と承認者を分離し、作業チケットと紐付け
- セッション記録と監査：SSHコマンドログやRDP操作動画を外部シスログサーバへリアルタイム転送
- Standing Privilege（常時特権）の排除：通常時は一般権限とし、必要時のみ昇格（JITアクセス）
午後記述・情報セキュリティ対策での攻略ポイント
午後問題では「管理者IDを複数人で共有していたことによる証跡追跡不能」「運用管理PCから本番サーバへの不正アクセス防止」「作業完了後の特権パスワード即時変更」として頻出します。
午後記述で使える加点キーワード（クリックでコピー）
関連する重要用語
この用語が出題された過去問を解く（1分演習）
即時アウトプットで定着情報処理安全確保支援士 過去問演習で実践力を鍛える
