Success Story 東ソー株式会社グループ合わせて30システム/6,000ユーザのアカウント管理と、煩雑なログインに起因するセキュリティ問題の解決に乗り出した東ソー株式会社。システムごとのポリシーを反映する統合的なアカウント基盤の構築を目指した同社では、ノベルのアイデンティティ管理製品を導入、ID管理負荷の劇的な削減とセキュリティ強化、ユーザビリティの大幅な向上を実現している。東ソー株式会社概要日本有数の総合化学メーカー ■ Industry: 化学工業 ■ Location: 日本概要 1935年、「東洋曹達工業」として山口県にて設立。ソーダ製品を中心とした無機化学分野を皮切りに、石油化学、金属と事業を拡張、総合化学メーカーへと発展。国内、海外合わせて120のグループ企業を擁し、売上規模は全体で7,300億円を超える。プロジェクトが開始されたのは、ちょうど内部統制の必要性が浮上してきた時期でもあった。「当時はまだガイドラインベースというタイミングで、各社対応を模索中の状態ではあったが、システムセキュリティにおいて個人の証跡管理が重要となることは明白で、共通IDの解消とそのための対策はコンプライアンスの面からも必須と言えた。」（岡氏） ■ Solutions: Novell eDirectory Novell Identity Manager ■ Results: −グループ内6,000ユーザのアカウントを統合 −シングルID/パスワードでセキュリティを強化 −0.8人年にのぼる管理作業がほぼゼロに課題同社の情報部門子会社である東ソー情報システム株式会社は、国内のグループ26社6,000ユーザへの ITソリューションの提供と運用管理を実施している。ユーザはシステムごとに異なるアカウントで認証を行っていたが、すべてのID/パスワードを覚えきれず、メモ貼りや共通IDの使用など、セキュリティ上の懸念が発生していた。管理面においても、30 を超えるシステムへの個別対応と毎年1,000人規模で発生する変更作業は大きな負荷となっていた。導入の経緯こうした状況を改善すべく、「ひとりにひとつの統合アカウント」をキーワードとしたID管理の抜本的な見直しが開始された。利便性とセキュリティの面では ID/パスワードの統合とシングルサインオン、運用面ではシステム間のアカウント連携を行うメタディレクトリが具体的なソリューションだったが、「まずは特定の製品を意識することなく、統合アカウントの要件とその効果について、約半年をかけて綿密な調査と検討を実施した。特に運用面に関しては、現在の管理工数を具体的な数値で算出し、統合アカウントによって可能となるコスト削減効果を明確化した」（システムサービス事業部ネットワーク・グループリーダー岡幸一氏）「全30システムのうち、スタート時で必須と思われる基幹システムやActive Directory、認証用ポータルなど計6種を対象に算出した現状での工数は0.2 人年。さらに共通IDを解消し、ひとりにひとつのアカウントを付与した場合の試算は0.8人年に達した。システム担当者1人分の労力をほぼ消費する計算で、自動化の必要性を裏付ける結果となった。」（システムサービス事業部内田和哉氏）選定ポイント統合アカウントの基盤となるメタディレクトリ製品の選定にあたり、最も重視されたのはポリシー管理の機能だった。「単純にアカウントをそのまま配信するだけの製品では、システムごとのポリシーが反映されず、結局は後から個別の作り込みが必要になってしまう。我々が求めていたのは、メタディレクトリ側で配信先システムに合致したポリシーを事前に生成したうえで送信する、プロビジョニング機能を持ったソリューションだった。」（内田氏）また、もうひとつの重要な要件として上げられたのが、マルチプラットフォームへの柔軟な対応だった。「統合アカウントの対象となるシステムでメインとなるのはWindowsだったが、我々の環境にはさまざまなプラットフォームが混在しており、非 Windows OSに対しても同等の機能が必要だった」（内田氏）システムインテグレータからの複数の提案のうち、機能・実績ともにこの要件に最も合致した製品が Novell Identity Managerだった。ソリューション・導入の効果構築開始から約1年後、システムは初期稼働に入った。人事システムを一元的な源泉とし、ここで発生したイベント情報がNovell Identity Managerを通じてActive Directoryや認証ポータル、外部アクセスなどの各システムへ、それぞれのポリシーを反映した状態で配信される。ユーザは認証ポータルに単一のID/パスワードを入力、パーソナライズされたメニューから必要なシステムへシングルサインオンでアクセスできる。また、認証サーバは拠点を変えて設置し、eDirectoryのレプリカ機能を用いて冗長化が図られている。「人事異動のたびに発生していた手動によるアカウント変更作業がほぼゼロになった。以前は人事月報で通知される異動の人数をみるたび憂鬱な気分だったが、いまではまるでそれが他人事のように感じられるほどだ。」東ソー情報システム株式会社システムサービス事業部ネットワーク・グループリーダー岡幸一氏東ソー情報システム株式会社システムサービス事業部内田和哉氏「認証ポータルの設置と同時にひとりにひとつのアカウントが実現し、ユーザは複数のID/パスワードを使い分ける必要がなくなったため、以前のようなメモ貼りは皆無になった。ポータルには権限のあるシステムのみが表示されるため、不正アクセスの不安が解消されるだけでなく、ユーザのセキュリティ意識を高める効果もあった。」東ソー情報システム株式会社システムサービス事業部ネットワーク・グループリーダー岡幸一氏導入のきっかけとなったセキュリティ面での効果について、岡氏は次のように語っている。「認証ポータルの設置と同時にひとりにひとつのアカウントが実現し、ユーザは複数のID/パスワードを使い分ける必要がなくなったため、以前のようなメモ貼りは皆無になった。ポータルには権限のあるシステムのみが表示されるため、不正アクセスの不安が解消されるだけでなく、ユーザのセキュリティ意識を高める効果もあった。」管理面では、その効果はより劇的なものだった。「人事異動のたびに発生していた手動によるアカウント変更作業がほぼゼロになった。以前は人事月報で通知される異動の人数をみるたび憂鬱な気分だったが、いまではまるでそれが他人事のように感じられるほどだ。」（内田氏）また、「以前は異動する社員のアカウントをユーザ側の窓口担当者がそのつど申請する必要があったが、人事システムで発生するイベントがすべてのシステムに自動で反映されるため、こうした手間もなくなった。」（岡氏）さらに、内部統制に関わる監査の点でも大きな成果が得られた。「人事情報を源泉とした統合アカウントシステムでは、所属している組織・役職に対して権限が割り当てられているという、明解なルールを示すことができる。監査が最も厳格に実施されるのは会計システムに対してだが、経理部担当者にのみ権限が与えられていることがシステムとして証明できたため、監査の手間と時間が大幅に短縮された。監査に必要なサンプリングも、手動ベースの場合には整合性の確認のために全体の数十％程度が必要になるが、管理システムの正当性を示すことで数点のピックアップで済んだ。監査法人による総合的なチェックにおいても、当社のアカウント管理システムは高い評価を得ることができた。」（内田氏） www.novell.com 今後の展開・まとめカットオーバーから1年半、システムは大きな問題もなく順調に稼働している。運用面でひとつだけ課題として浮上しているのは、集中管理と分散管理の問題だ。「稼働開始段階にも苦労したことだが、人事システムを源泉としている関係上、そこに登録されない外部関連会社の社員情報は別途入力する必要がある。集中管理だけではカバーしきれない領域で、実際に運用していく中で改善していく必要があると感じた。」（内田氏）また、「現在の統合アカウントシステムでは反映されない、個人レベルで例外的な権限を持たせたいというニーズもあり、現状では申請ベースでの手入力対応が基本となっている。ユーザ側の責任窓口に対して一定の情報登録の権限を与え、我々が事後それを確認する、これを安全に実行する仕組みが持てれば、より効率的な運用が可能になるだろう。」（岡氏）最後に、今回のプロジェクトについて岡氏は次のように振り返る。「統合アカウントのあるべき姿とその要件に関しては、初期構想の段階から一切妥協することはなかった。コストの制約に対しては稟議を何度も書き直し、費用対効果の立証に努めた。また、ユーザに対しては、地位・役職に関係なく初期アカウントを一斉に配布、これを忘れたらPCが使えなくなる旨、告知を徹底した。ユーザにとっては厳しい通達だったと思うが、運用から利用環境までを一連の流れとしてとらえていた我々にとっては、譲れない一線だった。結果的に、我々自身が最後まで揺るぎない信念を持ち続けることが、上層部やユーザの理解を得ることにもつながり、プロジェクトを成功に導く要因になったのだと考えている。」 MC09002SS-09｜© 2009 Novell, Inc. All rights reserved. ＊Novellは米国Novell, Inc.の登録商標です。＊その他の製品名および会社名は、各社の商標または登録商標です。＊Linux is a registered trademark of Linus Torvalds. All other third-party trademarks are the property of their respective owners. ノベルのユーザ事例について詳しくは、こちらをご覧ください http://www.novell.com/ja-jp/showcase/ ノベルのソリューションに関するご質問は、こちらのお問い合わせフォームをご利用ください。 http://www.novell.com/ja-jp/home/ ノベル株式会社〒141-8551 東京都品川区西五反田3-6-21 住友不動産西五反田ビル