第20章 Ansible を使用して IdM のシステムアカウントを設定し、リセットを必要とせずにユーザーパスワードを変更する

システムアカウントの主な目的

プログラムによる LDAP アクセス (バインドアカウント)

従来の Wiki や人事ポータルなど、多くのアプリケーションは、ユーザーが存在するかどうかを確認したり、ユーザーのグループメンバーシップを取得したりするために、IdM に接続する必要があります。このアプリケーションは、システムアカウントを使用して LDAP バインドを実行します。これにより、アプリケーションは人間が最初にログインする必要なくディレクトリーを検索できるようになります。セキュリティーを向上させるため、アプリケーションがディレクトリーの特定の部分のみを読み取り専用でしかアクセスできないように制限してください。

パスワード同期 (Active Directory との連携)

システムアカウントは、同期ワークフローにおける橋渡し役として機能します。WinSync を介して Active Directory (AD) と統合する場合、Windows 側のサービスは、たとえば cn=ad_sync,cn=sysaccounts,cn=etc の ようなシステムアカウントを使用して IdM に認証し、パスワードの更新をプッシュします。この統合により、外部サービスは、初回ログイン時にパスワードを変更する必要があるといった、標準的なユーザーパスワードポリシーを回避できるようになります。

自動化と DevOps (CI/CD)

Ansible などの最新のインフラストラクチャーアズコード (IaC) ツールは、多くの場合、IdM 環境を変更する必要があります。たとえば、これらのツールは、ドメインに新しい仮想マシンを自動的に追加したり、DNS レコードを作成したりすることができます。管理者のパスワードをスクリプトに直接記述する代わりに、特権を制限したシステムアカウントを作成できます。スクリプトが侵害された場合、攻撃者は完全なドメイン管理者権限ではなく、その特定のシステムアカウントに割り当てられた限定的な権限のみを取得します。