Virgin Media O2 が Privileged Access Manager を使用して最小権限の原則を実現した方法

※この投稿は米国時間 2024 年 12 月 18 日に、Google Cloud blog に投稿されたものの抄訳です。

編集者注: Virgin Media O2 は 4,850 万人を超えるサブスクライバーにインターネットおよび通信サービスを提供し、16,000 人を超える従業員のサポートも担当しています。Virgin Media O2 は、優れた顧客中心のプロダクトと基本的な接続性によって顧客を支援することに尽力しています。これらはすべて、同社の日常業務のバックボーンである Google Cloud によって舞台裏で支えられています。今回のゲストによるブログ投稿では、Henry Tze 氏が DevOps のインサイトを共有します。

Virgin Media O2 は、仮想マシンからアプリケーション、ストレージ アセットまで、膨大なクラウド フットプリントを保有し、すべて Google Cloud でホストしています。Google Cloud により、BigQuery、Google Kubernetes Engine、Compute Engine などのさまざまなクラウド ファースト サービスを使用して、膨大な量のデータを大規模に処理し、最先端のカスタマー サービスを提供することが可能になっています。

当社は、約 100 万個の BigQuery テーブルを含め、合計で 1,100 万個を超えるリソースを管理しています。厳格なセキュリティとコンプライアンスの要件に準拠することが、当社のミッションの中心にありますが、これは決して簡単なことではありません。

ID の無秩序な広がりを減らしてクラウド環境を保護

当社には、多くの国際色豊かな従業員がいます。従業員全員が業務に不可欠な存在ですが、全員が同じ情報にアクセスする必要はありません。社内データと顧客データの両方を保護するには、Identity and Access Management（IAM）インフラストラクチャを慎重に構成し、英国の厳格なデータ マネジメント規制を遵守する必要があります。

セキュリティの取り組みとして、これまでクラウドへの移行と、Infrastructure as Code（IaC）の全面的な導入を行ってきました。現在は自社のインフラストラクチャを「すべてをコード化」と表現し、GitOps を使用して信頼できる情報源を一元化しています。そうすることで、明確な監査証跡とバージョン履歴の記録を残せます。

この一元化により、開発者、エンジニア、コンプライアンスの各チームが同じ目標を共有できるようになりました。しかし残念ながら、その目標の達成に必要なツールへのアクセスを各チームに提供するのは簡単ではありません。

GitOps アプローチを採用するということは、どう実現するかよりも、どのようなインフラストラクチャにしたいかに重点を置くことを意味するため、各チームが仕事を成し遂げるために必要となる具体的なツールやパスについてのインサイトが少なくなります。このことが、権限の無秩序な広がりにつながりました。ユーザーは、特定の目的のために取得したアプリケーションやデータセットへのアクセス権を、その仕事を終えた後も持ち続けるからです。

この無秩序な広がりが進むにつれ、誰が何にアクセスできるのかを追跡するのが難しくなり、最終的にはコンプライアンスとセキュリティの目標達成が困難になりました。アクセスの容易さとセキュリティ コンプライアンスのバランスをとるのは複雑な課題ですが、シンプルなソリューションを見つける必要がありました。

Google Cloud では、すでに IAM 条件にアクセスでき、時間ベースのアクセス制御をカスタマイズすることができていました。しかし、スケールするには、ロールと責任に基づいてプロビジョニングと権限管理を自動化する必要がありました。それが、Google Cloud に組み込まれた Privileged Access Manager（PAM）を使用することで可能になりました。

PAM を使った ID 管理の一元化と自動化でコンプライアンスを強化

PAM を使用することで、最小権限の原則に沿ってアセットを保護しながらも、適切なユーザーのアクセスを自動化できます。外部エージェントや追加のソフトウェア ツールは必要ありません。ジャストインタイム（JIT）、期限付き、承認ベースのアクセスを提供することで、アプリケーションやその他のアセットをアクティブに使用しているユーザーだけにアクセス権が付与されるとわかっているため、管理チームは安心できます。

管理者は、アクセス権を 1 か所で確認するとともに、アセットごとに権限制御のカスタマイズもできます。たとえば、開発者は日々使用するアプリケーションに対して、事前定義されたロールベースの権限を持っている場合があります。このとき、臨時のデータ プロジェクトに選ばれると、一時的なアクセスをリクエストする必要が生じ、それはすぐに承認者に通知されます。

このように注意のレベルを高めることで、包括的な権限を持つユーザーの数を減らしてリスクを軽減し、成長に伴うアクセス権の無秩序な広がりを防ぐことができます。明確なアクセス権履歴により監査プロセスを簡素化および一元化できるため、コンプライアンス監査担当者も満足しています。

Virgin Media O2 は、Google Cloud の PAM を使用してセルフサービス モデルを作成し、アクセスの効率化、生産性の向上、コンプライアンスへの対応を実現しました。当社のモデルの基本理念は次のとおりです。

委任された承認: クラウド プラットフォーム セキュリティ チームは、部門管理者とプロダクト管理者に承認権限を委任し、それぞれの専門分野の権限の管理を任せられます。

組み込みのガードレール: クラウド プラットフォーム セキュリティ チームは、セキュリティ管理が埋め込まれた定義済みテンプレートを利用することで、承認を委任していても、特権アクセスが安全に付与されることを保証できます。

自立したチーム: 部門管理者とプロダクト管理者は、資格を管理する自律性を得ているため、セキュリティ チームを介さずにすばやく変更を加えることができます。

オンデマンド アクセス: エンドユーザーはいつでも権限をリクエストし、業務要件の変化に適応できます。

コンプライアンス監査: コンプライアンス監査担当者は、資格の作成、許可のリクエスト、有効化、終了など、特権アクセスに関連するすべてのアクションを完全に把握しています。

PAM を利用して成功を実現

PAM を導入して以来、クラウド内で潜在的な脆弱性の要因となっていた長期の IAM 権限を減らし、組織全体のアクセス管理を簡素化することに成功しました。最も重要なことは、規制対象の組織に課せられた厳格な要件への準拠を達成し、維持するのに PAM が役立ったことです。

さらに、英国全土でさらに多くのお客様にサービスを提供し続けるなかで、Virgin Media O2 とともに成長していく、よりサステナブルでスケーラブルなアクセス システムを構築することができました。

-Virgin Media O2、DevOps 責任者 Henry Tze 氏