証拠のある管理境界を購入する
認証プラットフォームは、役割、監査ログ、テナント分離をアドバタイズする場合がありますが、これらのラベルは、購入者の意図したワークフローでコントロールがどのように動作するかを確立するものではありません。調達評価では、誰がどの顧客のデータを読み取り、エクスポート、変更、管理できるのか、ライフサイクルの変更がアクセスにどのような影響を与えるのか、それらのアクションを記録する証拠は何かを尋ねる必要があります。管理者によるデモンストレーションが成功しても、不正アクセスの否定的なテストにはなりません。
Azure のマルチテナント ID ガイダンス 認証、認可、および商業的権利を区別します。ログイン ロールがすべてのリソースとアクションをカバーすると仮定するのではなく、これらの区別を使用して購入者の質問を構成します。この記事は要件フレームワークであり、 EmailAuthまたは別の名前付きプラットフォームが提案されたコントロールを実装すると主張するものではありません。テナントへのアクセス、権限の変更、製品の購入は行われませんでした。
最初に購入者のアクセス マトリックスを定義します
サプライヤーのロール名を確認する前に、予想されるユーザーとサービスのロール、テナントの関係、およびリソースをリストします。関連する場合、ドメイン構成、認証レポート、生データ、エクスポート、統合、ユーザー管理、商用設定が含まれます。組み合わせごとに、読み取り、作成、変更、削除、エクスポートを許可するかどうかを指定します。購入者の意図する境界は、製品の動作を評価するための基準となります。
証拠なしに、「読み取り専用」でエクスポートが除外されたり、「テナント管理者」が 1 つのテナントに限定されたりすると想定しないでください。共有サービス チームには正当に複数の顧客が必要な場合がありますが、個々の顧客ユーザーには承認されたスコープのみが表示される必要があります。それらの例外を明示的に記録します。トライアルで受け入れられた広範な役割が、黙って運用アクセス設計になるべきではありません。サプライヤーに実際の役割をバイヤーのマトリックスにマッピングし、サポートされていない区別を特定するよう要求します。
インターフェイスを超えたテナントのバインディングを検証する
テナント セレクタ または、非表示のナビゲーション項目は分離の十分な証拠ではありません。認証された ID は、サーバー側境界で要求されたリソースに対して承認される必要があります。要件には、別のテナントが所有するリソースへの参照を含む、直接読み取り、検索、エクスポート、書き込み、およびバックグラウンド ジョブが含まれる必要があります。明らかに異なるデータを持つ合成フィクスチャを使用して、偶発的なクロステナント結果を検出できるようにします。
Azure のガイダンスでは、フェデレーションの構成ミスにより、意図しないテナントにアクセスが許可される可能性があると警告しています。したがって、レビューには、ID がテナントにどのように関連付けられるか、その関連付けを誰が変更できるか、および複数のテナントに属するユーザーがスコープを選択する方法を含める必要があります。電子メールのサフィックスだけから所有権を推測したり、顧客が提供したテナント ID によってその使用が許可されていると想定したりしないでください。実際のサプライヤーは、サポートされているモデルを説明し、実演する必要があります。
監査ログに実際に何が記録されているかを尋ねる
Microsoft Entra の監査ログのドキュメント そのアイデンティティ環境の変化に関するアクティビティ記録を説明します。これは公式の監査ログ モデルの有用な例であり、別のプラットフォームが同じイベントを記録するという証拠ではありません。購入者は、自身の要件に関連する正確な製品イベント カタログ、フィールド定義、アクセス制御、保持動作、およびエクスポート オプションをリクエストする必要があります。
記録が変更を調査するのに十分なアクター、ターゲット、アクション、時間、結果、およびテナントのコンテキストを特定しているかどうかを尋ねます。ユーザー アクティビティとサービス ID アクティビティを区別し、成功したアクションと拒否された試行を区別します。単に管理上の変更があったという理由だけで、失敗した認証試行がすべてログに記録されると想定しないでください。同様に、リクエストが送信されたことを示すログには、結果として生じた変更が完了したかどうかが示されない場合があります。機密データを編集し、制限を明記した実際の例を要求します。
コントロールとしてログのアクセスと整合性を確認する
監査ログ自体に、機密の顧客情報や ID 情報が含まれる場合があります。閲覧できるユーザーを定義し、テナント全体を検索し、エクスポートし、保持を構成します。設定を変更して唯一の証拠を消去できる管理者は、個別に記録を保持する管理者とは異なる責任モデルを示します。これらのコントロールがどのように機能するかをサプライヤーに尋ねますが、現在の証拠がない限り、不変性や耐改ざん性を主張しないでください。
保持期間は、考え出された普遍的な期間ではなく、製品の実際のサポート条件と購入者の義務によって指定される必要があります。インターフェース、API、およびエクスポートされたアーカイブでどのイベントが利用可能であるか、またそれらのビューが同じ範囲をカバーしているかどうかを明確にします。タイムゾーンの処理と識別子を確認して、変更される可能性のある名前に依存せずにレコードを関連付けられるようにします。この原稿の監査記録は取得されませんでした。
テストのライフサイクルの変更とサービスへのアクセス
ロールの削減、ユーザーの無効化、資格情報の取り消しは別のイベントです。 RFC 7643 SCIM アクティブ属性について説明しますが、その最終的な意味はサービス プロバイダーに委ねられます。これは、購入者がプロビジョニングの更新によってすべての既存のセッションまたは統合資格情報が取り消されると想定できない理由を示しています。製品のセッションと非対話型アクセスの動作についての現在の説明が必要です。
受け入れ計画には、セッションが存在する間にロールが削減されるユーザー、無効化された ID、限定された範囲での統合、および承認された管理者が含まれている必要があります。エクスポートやリソースの直接操作など、それぞれのケースで意図したアクセス結果を確認します。これらは、認可された隔離環境に対する提案されたチェックであり、サプライヤーの実稼働サービスや別の顧客のテナントをテストする許可ではありません。ここではそのようなアクションは実行されませんでした。
購入者の承認ワークシート
要件、ビジネス上の理由、サプライヤーの主張、サポートされている構成、フィクスチャ ID、テナント、アクション、期待される結果、実際の証拠、未解決の制限を記載したワークシートを作成します。許可されたアクションの証拠を、拒否されたアクションの証拠とは別に保管してください。リリース後も結果を解釈できるように、製品バージョン、テスト日、環境を含めます。機能が実装されるのではなく計画されている場合は、現在の対象範囲として扱わずにそのステータスを記録します。
監査ログの場合、ログが必要なアクションごとに、予想されるイベントと観察されたレコード参照を追加します。アクセスを正しく拒否しても、期待される監査証拠が生成されないテストは、両方の基準を満たすテストとは異なる結果になります。誰が制限を受け入れるか、および補償コントロールが承認されるかどうかを記録します。調達チェックリストのスコアを将来のセキュリティの保証に変えないでください。
架空診断：エクスポートできるビューア
架空の購入者は、視聴者がドメイン設定を編集できないベンダーのデモンストレーションを見ます。購入者は最初、読み取り専用の役割を満足できるものとしてマークします。ただし、意図されたマトリックスでは、生の顧客データの一括エクスポートも禁止されています。このデモでは、エクスポート、直接のリソース要求、または別のテナントのレポートへのアクセスはテストされませんでした。観察された制限は 1 つのアクションのみを対象としています。
提案されている対応策は、欠落しているオペレーション全体にわたって認可された設備ベースの証拠を求め、その結果得られた監査記録をレビューすることです。製品が表示とエクスポートを分離できない場合、購入者は役割の名前を変更してリスクがなくなったと仮定するのではなく、その制限が許容されるかどうかを判断する必要があります。これは架空の調達活動であり、 EmailAuthや特定のベンダーに関する調査結果ではありません。
購入の結論に限界を持たせる
有用な結論は、証拠によって満たされた要件、満たされていない要件、所有者によって受け入れられた制限、およびまだ未解決のテストを特定します。これは、構成の選択を製品固有の動作から区別し、有限のテスト セットから完全に分離することを保証するものではありません。この決定は、将来のすべてのバージョンまたは構成がカバーされると主張することなく通知できます。
カタログには、アクセス マトリックスと、テナント間の読み取り、エクスポート、書き込み、ライフサイクル変更に対するネガティブ テストが必要です。これらの元のテストは未解決のままです。人間の専門家によるレビュー、ソースの適用性、生産ルート、アクセシビリティ、所有者の公開も未解決のままです。この草案は評価方法を提供するものであり、実行された証拠に基づく購入推奨ではなく、商業的な約束やアクセス許可は行われていません。