管理者アカウントの守り方。多要素認証と緊急用のアカウント

クラウドの管理者アカウントを守る基本は、強い権限のアカウントをふだんは使わないこと、多要素認証を、できるだけフィッシングに強い方式でかけること、そして通常のログインができなくなったときに備えた緊急用のアカウントを、使われたらすぐ気づける形で用意しておくことです。

管理者アカウントは、なぜ別に守るのか

管理者アカウントは、乗っ取られると、データの持ち出し、資源の削除、ほかの利用者の締め出し、高額な資源の作成までできてしまうからです。クラウドの管理画面はインターネットのどこからでも開けるため、パスワードが漏れただけで入られるおそれがあります。

権限全体の絞り方はクラウドの権限管理（IAM）の基本。最小の権限とはで説明しています。この記事では、その中でも強い権限を持つアカウントの守り方を扱います。

強い権限のアカウントは、ふだん使わない

各クラウドには、ほかのアカウントより強い権限を持つアカウントがあります。AWS のルートユーザー、Google Cloud・Google Workspace の特権管理者、Microsoft Entra ID の全体管理者などです。これらは、ふだんの作業には使わないのが基本です。

AWS は、ルートユーザーの資格情報が必要な作業以外ではルートユーザーを使わず、日々の作業には管理用の利用者を作ることを強く勧めています。ルートユーザーのアクセスキーは作らないこと、強く、ほかで使っていないパスワードを使うこと、ルートユーザーへのログインと利用を見張り、知らせる仕組みを持つことも挙げています。AWS Organizations を使う場合は、メンバーのアカウントからルートユーザーの資格情報を外し、ルートの操作を1か所にまとめる方法も示されています。

出典：Root user best practices for your AWS account（AWS）

Google Cloud は、特権管理者には、ふだんのアカウントとは別に、別のログインが要る管理用のアカウントを渡すことを勧めています。日々の管理には特権管理者の役割は要らないため、組織の管理者を別に決めて任せるよう示しています。

出典：Super administrator account best practices（Google Cloud）

多要素認証は、事業者が求める方向に

多要素認証は、管理者アカウントの守りの土台です。2026年11月時点で、3つのクラウドはいずれも、人のアカウントに多要素認証を求める仕組みを段階的に進めています。

出典：Root user best practices for your AWS account（AWS）、Plan for mandatory Microsoft Entra multifactor authentication (MFA)（Microsoft Learn）、2-step verification requirement for Google Cloud（Google Cloud）

Microsoft の説明には、第2段階の開始の日付について画面の例と本文で表記の違いがあるため、自社のテナントに当てはまる日付は、管理画面の案内で確かめてください。方式は、AWS が勧めるパスキーやセキュリティキーのように、フィッシングに強いものを選びます。

出典：Security best practices in IAM（AWS）

緊急用のアカウントを用意する

緊急用のアカウント（ブレークグラスのアカウント）とは、認証の仕組みの障害や設定の誤りで、通常の管理者がログインできなくなったときのために、別に用意しておくアカウントです。Microsoft は、Microsoft Entra ID の緊急用のアカウントについて、次のことを勧めています。

• 2つ以上用意する
• 社内のディレクトリと同期・連携しない、クラウドだけのアカウントにする
• パスキー（FIDO2）など、フィッシングに強い認証の方式を使い、ふだんの管理者アカウントとは違う方式にする
• サインインを止めたり制限したりする条件付きアクセスの方針から外す
• 使われるたびに知らせが届くようにし、サインインと操作の記録を見張る
• 資格情報は、使ってよい人だけが知る形で、安全で離れた場所に保管する
• 少なくとも90日ごとに、使えることを確かめる

出典：Manage emergency access admin accounts（Microsoft Learn）

AWS のルートユーザーも、ふだん使わない強いアカウントとして、同じ考え方で扱えます。パスワードと多要素認証の機器の保管場所へのアクセスを記録して見張ること、そのパスワードでアクセスするアカウントの中のサービスに頼る道具には、パスワードを保管しないことが勧められています。

出典：Root user best practices for your AWS account（AWS）

使われたことに気づく仕組み

強い権限のアカウントは、守るだけでなく、使われたときにすぐ気づける形にしておきます。ふだん使わないアカウントへのログインは、それ自体が知らせるべき出来事です。

• ルートユーザーや緊急用のアカウントのログインで、管理者の複数の人に知らせが届く
• 知らせを受けたら、正当な利用かを誰が確かめるかを決めておく
• 正当な利用でない場合は、セキュリティ事故に備える、初動の手順書のつくり方で決めた初動の手順に移る

管理者の権限を持つ人の一覧と、最後に使われた日時を定期的に確かめることも大切です。棚卸しの進め方はアクセス権の棚卸しと特権IDの管理の進め方で説明しています。

当社のご支援

アメリア・テクノロジーのクラウドの構築と運用管理では、管理者アカウントと緊急用のアカウントの設計、多要素認証の設定、ログインを知らせる仕組みづくりをご支援しています。管理者の権限を含めたクラウドの設定の点検は、セキュリティ診断と対策でもお受けしています。いまの状況は、無料のクラウドの自己診断でもおおまかに確かめられます。