CIEM(クラウドインフラ権限管理).

パブリッククラウドでは、IAM ユーザー、ロール、サービスプリンシパル、フェデレーション ID、ワークロード ID にわたって数千ものきめ細かな権限が存在します。CIEM ツールはすべての有効権限を棚卸し、実際の利用状況と突き合わせて過剰な権限を可視化します。たとえば、s3:* が付与されているのに実際は GetObject しか使っていないロールなどです。さらに、PassRole/AssumeRole 連鎖などの権限昇格経路、未使用 ID、アカウント間信頼の不適切な構成も検出します。結果は自動修復、スコープを絞ったロール、必要時のみ昇格(JIT)などに活用されます。CIEM は CNAPP の中核であり、権限モデルがベンダーごとに異なるマルチクラウド環境で特に価値が高い領域です。

なぜ権限の肥大化は危険なのか

Capital One 事件(2019 年)は典型例である。Paige Thompson は設定不備の ModSecurity WAF の SSRF 脆弱性を悪用して EC2 のインスタンスメタデータサービス(IMDS)に到達し、その WAF に付与された IAM ロールの一時認証情報を取得した。このロールが必要以上に多くの S3 権限を持っていたため、盗まれた認証情報で約 1 億 600 万件の顧客レコードを列挙・読み取りできた。最小権限の教科書的な失敗であり、OCC による 8,000 万ドルの制裁金と 1 億 9,000 万ドルの集団訴訟和解につながった。CIEM はまさに、攻撃者より先にこうした過大なロールを見つけて絞り込むために存在する。

「有効権限」の算出は本当に難しい。AWS だけでも数千のアクションが定義されており、あるプリンシパルの実際のアクセス権は、アイデンティティポリシー、リソースポリシー、パーミッションバウンダリ、セッションポリシー、SCP の積集合として決まる。CIEM はこのグラフを計算し、その結果を自動修復、スコープを絞ったロール、必要時のみの昇格(JIT)、ドリフト警告へと供給する。CIEM は CNAPP の中核であり、AWS・Azure・GCP で権限モデルが異なるマルチクラウド環境で特に価値が高い。

flowchart TD
  A[Cloud identities: users, roles, service principals] --> B[CIEM ingests IAM policies + activity logs]
  B --> C[Compute effective permissions graph]
  C --> D{Excessive or risky?}
  D -->|unused / over-broad| E[Right-size to least privilege]
  D -->|escalation path| F[Alert: PassRole / AssumeRole chain]
  D -->|in use, scoped| G[Keep]
  E --> H[Just-in-time elevation]