機能と特長

1.アカウント・パスワード管理方式

AdminONEサーバーがパスワードなど特権IDの認証情報の保管庫として機能し、強固な暗号化とアクセス制御によって内外のセキュリティ脅威から重要システムを保護する方式です。

2.ネットワーク制御方式

管理対象システムに対して、ネットワーク的に直接到達できない構成・仕組みによって、不正アクセスから保護する方式です。ESS AdminONEは、以下の2つのネットワーク制御方式から選択してご利用いただけます。

ゲートウェイ構成によるネットワーク制御

AdminONEサーバーを経由しないアクセスをできないように設定していただき、AdminONEを経由したアクセスはAdminONEの機能で制御することで、平時はネットワーク的に管理対象システムに到達できない状態となることにより、不正アクセス、ポリシー外のアクセスを防止する仕組みです。

接続元端末に導入するネットワーク制御エージェントを用いたネットワーク制御

アクセス元コンピューターにネットワーク監視・制御エージェントである「OA Access Control（OA AC）」をインストールすることで、AdminONEサーバー上で設定したネットワークのアクセス制御情報を参照し、制御対象へのネットワーク通信をブロックします。RDP/SSHだけではなくTCPベースのあらゆる通信をブロック対象に設定することが可能です。

アカウント・パスワード管理方式とネットワーク制御方式の併用

アカウント・パスワード管理とネットワーク制御は、2つの方式を併用することが可能です。これにより、2つの保護策が無効化されない限り不正アクセスを許さない非常に強固な特権ID保護を実現できます。

3.SAML認証制御方式

SAML認証に対応するSaaS/Webサービスに対して、ESS AdminONEを見かけ上のIdPとして設定することで、SAML認証プロセスに介在し、実際のIdPの認証結果とESS AdminONEに設定されているユーザー自身のアクセス管理ポリシー（アクセスが承認ベースで許可されている期間かどうか等）に基づいて認証可否を判定する仕組みです。
許可期間外は認証結果をSaaSに返さないことでアクセスを制御し、ESS AdminONEのポリシーに反するアクセスを防止します。

1.特権ID利用ポリシーの柔軟な定義

2.申請承認ワークフロー

申請・申請承認制のポリシーとした場合には、同梱されるワークフローシステムで申請書を起票し提出することで、必要な承認手続きを取ることができます。また、承認された申請に基づいた特権IDの貸出処理や作業終了後の返却は自動で行われるため、人手による貸出、返却処理を行う必要がありません。

事前にメール通知設定を実施しておくことで、申請書の提出、ステータス変更時などに関係者にメールが送信され、自身のタスク発生を容易に把握することが可能です。

また、ESS AdminONEに同梱される申請承認ワークフローには、以下に記載するような多様な機能・設定が可能となっており、お客様の多様な要件に柔軟に対応できます。

3.安全な特権IDの正規利用許可の仕組み

正規ユーザーが特権IDを利用する際は、セキュアな状態を保ったまま利用することができます。その方法は特権IDの保護方式によってそれぞれ適切な方法が用意されています。

4.認証システム連携・多要素認証による本人性の確認

ESS AdminONEでは正規ユーザーを識別するための本人認証ついて、多様な選択肢をご用意しております。

さまざまな認証の仕組みを併用可

利用できる認証情報には以下の3種類をご用意しております。(混在して運用が可能です)

• (1) ESS AdminONEサイト上に固有のユーザー情報を登録(ローカルユーザー)
• (2) Active Directoryと連携してドメインユーザーを使用
• (3) IdP(Microsoft Entra ID、Okta、OneLogin)とSAML連携を設定しIdPユーザーを使用

独自に多要素認証(MFA)の設定で厳格な本人確認

ローカルユーザー、Active Directory連携によるドメインユーザーを利用する場合、ESS AdminONE独自でワンタイムパスワード(OTP)を用いた多要素認証の設定が可能です

多様な方式に対応

5.ファイル入出力管理

ESS AdminONEでは以下のような仕組みによって、特権IDを用いてファイルをシステムに持ち込む、またはファイルを持ち出す行為を作業者単独で行えないように統制を効かせることが可能です。

また、本仕組みによって持ち込み・持ち出しされたファイルの履歴が記録されるため、問題発生時の確認や監査等でもご利用いただけます。

1.アカウント棚卸機能

管理対象システムから一定間隔でアカウント情報を参照し、存在するアカウントの一覧を出力する機能です。また前回棚卸結果と比較し差分を出力します。これにより無断で作成・属性変更が行われたアカウント、消し忘れのアカウントなどを容易に発見できます。

2.不正アクセス検出(ノードログイン履歴)

管理対象ノードからログイン履歴を定期的に収集し照合することで、不審なアクセスの有無を洗い出し、レポートとして出力します。これにより、外部からの侵入者を含めアクセス許可を得ていない不正なアクセスを早期に発見できます。

3.不正アクセス試行検出

ログイン失敗(アクセス試行)に関するログを収集しレポート表示することが可能です。ブルートフォース(総当たり攻撃)やパスワードスプレーなどの攻撃に晒されている場合に大量のログイン試行が発生することがあり、不正アクセスを招きかねない予兆を検知することが可能です。

4.操作ログ取得(動画/コマンドテキスト)

ESS AdminONEを専用ゲートウェイとして構成する場合、操作内容を証跡として保管することが可能です。Windows Serverに対する操作はデスクトップの動きを動画形式で取得、Linux等SSHで接続するシステムについては、コマンド入出力の内容をテキストで記録します。

5.不正コマンド実行検出&アラート

単に操作内容を記録するだけでなく、SSHコマンドについては、不正操作・異常操作をルールとして定義しておくことで当該操作が発生した際に即時検知・アラートを発報することが可能です。

6.その他のレポート機能

ESS AdminONEではその他さまざまなレポートを出力します。これらのレポートを参照することで特権IDの利用状況の把握、規定したルール通りに運用できているか、不審なアクセスがなかったかなどの点検が可能になります。

1.ESS AdminONEの汎用性を支える3つのインターフェイス・機能

ESS AdminONEの特長の一つ「さまざまなシステムの特権アクセス管理が可能」を実現できる背景として、オープンで汎用性のあるインターフェイスを備えている点があります。特長のあるインターフェイス・機能は以下の通りです。

2.API公開による他のシステムとの連携の容易性

ESS AdminONEではWeb UIで行える操作の多くをAPIとして公開しています。公開APIを利用して連携プログラムや外部プログラムを開発することで他システムとの連携や設定メンテナンスの自動化などを行うことが可能です。ESS AdminONEのAPIはREST APIを採用しており、さまざまな開発言語、開発環境でのご利用が可能です。

3.管理レベルの濃淡による最適運用

ESS AdminONEでは管理対象システムの重要度、特権ID侵害発生時の影響やリスク度合いから、管理するレベルの濃淡を設定することが可能です。簡易的な管理レベルを適用する場合、管理対象システムに対する要件を軽減できるためコストを削減でき、すべてのシステムの特権IDを同一レベルで管理する場合と比較すると費用対効果を最適化できます。

4.充実したサポート

ESS AdminONEも含め、エンカレッジ・テクノロジのメーカーサポートには以下のような特長を有しており、長く安定的なご利用をいただける体制・仕組みを提供しております。