【企業導入事例】グローバル放熱技術大手がサプライチェーンセキュリティを強化：OIDC シングルサインオンと HSM による鍵保護で、Apple・NVIDIA 監査の ID・鍵管理要件に対応

9 時間前

読了時間: 5分

グローバル放熱技術大手が OIDC シングルサインオンと HSM による鍵保護でサプライチェーンセキュリティ監査に対応した導入事例のカバー画像

導入背景と課題：厳格化するサプライチェーンセキュリティ監査

同社は放熱技術における世界有数のリーディングカンパニーである。近年はノート PC やサーバー向けの空冷放熱モジュールから、AI サーバー向けの液冷製品へと事業を拡大し、Apple・NVIDIA をはじめとする国際的なテクノロジー大手のサプライチェーンに参入している。重要サプライヤーとして、同社は顧客によるサプライチェーンセキュリティ監査を定期的に受けなければならない。

同社はすでに MAVIS を導入し、外部ベンダーのリモート接続を一元管理していた（詳細は前回の導入事例を参照）。監査要件が年々厳しくなるにつれ、確認の重点は「外部ベンダーがどのように接続するか」から、「すべてのログイン ID が一元管理されているか」「認証情報を保護する鍵が十分に守られているか」へと広がり、新たな課題が生じた。

ID が分散し、アカウントの変更が同期されない：社員や外部要員はシステムごとに別々の ID とパスワードを持っていた。退職や異動のたびに各システムで個別にアカウントを無効化する必要があり、無効化漏れが起きやすい。監査ではシングルサインオン（SSO）または ID の一元管理により、ID の作成と無効化を一か所で完結させることが求められた。
鍵の保護が一層にとどまる：サーバーのアカウント情報や SSH 鍵はすでに一元管理されていたが、それらを暗号化する鍵自体も同じソフトウェア環境に保存されていた。監査では、鍵を単一の防御線に頼らず、多層的に保護することが求められた。
社内外の接続で基準が異なる：外部ベンダーの接続は管理下にあったものの、社内の IT 担当者や研究開発担当者の特権接続は、それぞれの慣習やツールに依存していた。権限の範囲や操作記録の網羅性にばらつきがあり、すべての特権アクセスが同一の基準で運用されていることを監査人に示すのが難しかった。

MAVIS によるソリューションと導入効果

新たな監査要件に対応するため、同社は MAVIS 特権アクセス管理プラットフォームの導入範囲を拡大し、認証、鍵保護、社内外の接続を一つのプラットフォームに統合した。

サプライチェーンセキュリティ監査に対応する特権アクセス構成：社内担当者と外部ベンダーが MAVIS を経由してサーバー・機器に接続し、ID は企業の IdP が OIDC で検証、鍵は HSM で保護する構成のイメージ図

一、OIDC シングルサインオンで ID を一元管理

ID の分散とアカウント無効化の遅れという課題に対し、MAVIS は認証を企業の ID プロバイダー（IdP）に委ねる構成とした。

既存 IdP との統合：MAVIS は OpenID Connect（OIDC）プロトコルに対応し、企業の既存 IdP と統合できる。利用者は企業アカウントで MAVIS にシングルサインオンでき、別のパスワードを覚える必要がない。
ID の変更を一か所で反映：認証が IdP に集約されるため、IdP でアカウントを無効化すれば、その ID はシングルサインオンで MAVIS にログインできなくなる。各システムで個別にアカウントを閉じる作業を減らせる。
ロールに応じた権限付与：ログイン後にどの機器が表示されるかは、MAVIS のロールベースアクセス制御（RBAC）と資産権限の割り当てによって決まり、各 ID は職責の範囲内の資産にのみアクセスできる。

二、HSM による鍵の多層保護

鍵の保護が不十分という課題に対し、MAVIS は一元管理された認証情報に複数の防御層を設けた。

耐タンパー性ハードウェアに鍵を保管：MAVIS は GoTrust ID のハードウェアセキュリティモジュール（HSM）との統合に対応している。暗号鍵を耐タンパー性のハードウェア内で保管・演算し、認証情報と機密データの鍵管理の安全性を高める。
保存データの暗号化と完全性検証：機密データは AES-128-CBC で暗号化し、HMAC-SHA256 による完全性検証で改ざんを防ぐ。通信中のデータは HTTPS/TLS で保護する。
利用者は実際の認証情報に触れない：機器の接続用アカウント情報や鍵は MAVIS のセキュアボールト（安全な保管庫）に保管される。利用者はプラットフォーム経由で接続し、機密性の高い認証情報を直接取得することはない。

三、社内外の接続を統一管理し、すべての特権操作を記録

社内外で基準が異なるという課題に対し、同社は社内の IT 担当者や研究開発担当者の特権接続も MAVIS に組み込み、外部ベンダーと同じ管理方式を適用した。

同じ入口、同じ手順：社内担当者も外部ベンダーも MAVIS を経由してサーバーや機器に接続する。SSH、RDP 接続と SFTP によるファイル転送に対応し、必要に応じて JIT（ジャストインタイム）アクセス申請と承認フローを通じて接続権限を取得する。
リアルタイム監視と即時切断：管理者は進行中のセッションとコマンドをリアルタイムで監視し、リスクのある操作を発見した時点でセッションを強制切断できる。
監査に備えた完全な記録：すべての接続操作はセッション録画と操作ログで記録される。コマンドの詳細検索や動画の再生ができ、ログ保持ポリシーを設定することで、監査時に必要な記録を確実に提示できる。

まとめ

外部ベンダー接続の管理から、ID の一元管理、ハードウェアによる鍵保護へ。同社は MAVIS を単一用途の接続管理ツールから、すべての特権アクセスを対象とするゼロトラストの基盤へと発展させた。すべてのログインは企業の IdP で検証され、すべての鍵はハードウェアで保護され、社内外のすべての接続に追跡可能な記録が残る。国際的なテクノロジーサプライチェーンに参入する製造業にとって、サプライチェーン監査の要件は今後ますます細かくなる。ID・鍵・接続を早い段階で一つの仕組みに集約しておけば、次の監査で一から対応し直す必要はない。