Zurichの最新情報：Machine Identity ACL

[ddeboskey]

「Zurichの新機能」セッションでは、Zurichリリースで導入されたServiceNowのマシンID管理とAPI連携セキュリティにおける主要な機能強化に焦点が当てられました。

マシンIDコンソール：可視性と制御

セッションはまず、マシンID (機械識別子) を、インバウンドAPI連携に使用されるサービスアカウント、つまり外部システムがServiceNowと連携することを可能にする人間以外のユーザーと定義しました。組織がSaaSアプリケーションやAPIをより多く採用するにつれて、これらのIDが増加し、手動管理はリスクが高く非効率的になっています。一般的な問題には、認証情報盗難、可視性の欠如、コンプライアンス上の課題、セキュリティ負債を増大させる運用の抜け道などがあります。

これらに対処するため、Zurichリリースでは、インバウンドAPI連携を一元的に管理するためのマシンIDコンソールを導入しました。

主な機能は以下のとおりです。

• リスクの特定と推奨事項: コンソールはリスクを検出し、セキュリティを向上させるための実用的なステップを提案します。
• 利用状況の可視化: ユーザーは、どのマシンIDがどのAPIにアクセスしたかを確認し、認証方法を追跡し、安全でない設定に対するアップグレードの推奨事項を受け取ることができます。
• インバウンド連携の効率化: 新しいUIはOAuthベースの連携設定を簡素化し、接続タイプの選択、認可、設定までユーザーをガイドします。これにより、セキュアな連携が標準となり、後回しにされることはありません。

認証フローの機能強化

Zurichリリースでは、インバウンド連携の認証に重要な改善が加えられています。

• OAuth設定: マシンIDコンソールに直接統合されたOAuth設定は、各グラントタイプ（例：認可コード、クライアントクレデンシャル、JWTベアラー、リソースオーナーパスワード、サードパーティIDトークンフロー）ごとに個別のフォームが用意されており、より直感的になりました。これにより、混乱が軽減され、各シナリオに関連するフィールドのみが表示されるようになります。
• グラントタイプの可視性: 既存の連携レコードは、アップグレード時にグラントタイプによって自動的に分類され、明確性が向上します。
• スコープ管理: ユーザーはコンソール内で直接スコープを作成・割り当てることができ、権限管理が効率化されます。
• JWTの機能強化: JWKS URLのサポートによりシームレスなキーローテーションが可能になり、カスタムクレーム名がJWTベアラーフローに柔軟性をもたらします。
• サードパーティIDトークンフロー: ServiceNowはトークンフェデレーションをサポートし、ローカルアカウントを作成することなく外部IDプロバイダーとの連携を可能にします。

マシンIDアクセスコントロール：多層防御

Zurichの際立った機能の1つは、新しいマシンIDアクセスコントロールです。以前は連携ユーザーがACLとロールによって管理されていましたが、Zurichでは各マシンIDがアクセスできるもの、具体的にはAPIエンドポイントやテーブルに至るまでを厳密に定義する詳細なポリシーが導入されています。この「デフォルトで拒否」というアプローチは、最小権限を強制し、偶発的なデータ漏洩を削減し、監査可能性とコンプライアンスを簡素化します。

• ポリシー設定: 既存のRESTおよびSOAP APIアクセスポリシーを基盤として、管理者は連携ユーザーを特定のAPIエンドポイントおよびテーブルにマッピングし、明示的に許可されたもののみにアクセスできるよう保証できます。
• ユースケース: 例えば、連携ユーザーは、そのロールがより広範なアクセス権を付与している場合でも、インシデントテーブルのみに制限することができます。この追加の制御レイヤーは、権限の肥大化を防ぎ、機密データを保護します。
• IPアドレス制御: 個別のアクセスコントロールにより、IPアドレスによるさらなる制限が可能になり、API連携のセキュリティを強化します。

提供とベストプラクティス

ここで説明されたすべての機能は、Zurichが稼働しているServiceNowインスタンスで標準機能として利用可能です。追加のライセンスやプラグインは必要ありません。セッションでは、ガバナンス向上のため、アクセスコントロールポリシーをカスタムエンドポイントと同じスコープにマッピングすることや、可能な限り基本認証よりも安全な認証方法を使用することなど、ベストプラクティスが強調されました。

🎥 ビデオ: https://www.youtube.com/watch?v=2ZHnQSDkVoY

免責事項: 一部の日本語は、翻訳ソフトウェアを使用してお客様の便宜のために翻訳されています。正確な翻訳をご提供できるよう相当な努力を払っておりますが、いかなる自動翻訳も人間の翻訳者に代わすることはなく、そのようなことは意図されておりません。翻訳は「現状のまま」提供されています。他言語への翻訳の的確性、信頼性または正確性については、明示または黙示を問わず、いかなる保証も行われません。翻訳ソフトには限界があるため、一部のコンテンツが正確に翻訳されていない場合があります。これらの資料の公用言語は英語です。翻訳の際に生じる相違または不一致は、コンプライアンスまたは履行の目的に関しては拘束力を有さず、法的効力はないものとします。

この記事は機械翻訳されております。最新は元となる記事をご覧ください: https://www.servicenow.com/community/servicenow-ai-platform-articles/what-s-new-in-zurich-machine-id...

この記事は機械翻訳されております。最新は元となる記事をご覧ください: https://www.servicenow.com/community/servicenow-ai-platform-articles/what-s-new-in-zurich-machine-id...。

免責事項: 一部の日本語は、翻訳ソフトウェアを使用してお客様の便宜のために翻訳されています。正確な翻訳をご提供できるよう相当な努力を払っておりますが、いかなる自動翻訳も人間の翻訳者に代わすることはなく、そのようなことは意図されておりません。翻訳は「現状のまま」提供されています。他言語への翻訳の的確性、信頼性または正確性については、明示または黙示を問わず、いかなる保証も行われません。翻訳ソフトには限界があるため、一部のコンテンツが正確に翻訳されていない場合があります。これらの資料の公用言語は英語です。翻訳の際に生じる相違または不一致は、コンプライアンスまたは履行の目的に関しては拘束力を有さず、法的効力はないものとします。

This article was machine translated and replicated from the original source: https://www.servicenow.com/community/servicenow-ai-platform-articles/what-s-new-in-zurich-machine-id....