RISE with SAP（S/4HANA Cloud Private Edition）へ移行したにもかかわらず、運用スタイルが「オンプレミス時代」のまま停滞していませんか？これは実際に多くの企業が直面している切実な課題です。なぜ、最新のクラウド環境で「古いやり方」が続いてしまうのでしょうか。その要因は、コストの問題やクラウドスキルの不足といった点が挙げられますが、やはり企業の組織文化のマインドセットが依然として「システムの安定稼働(守り)」に偏っていることが根本的な原因だと考えられます。クラウド運用で最も重要なのは「変化への適応(攻め)」です。この状況を打破するには、企業が運用の変革へ大きく舵を切る必要があります。
本記事では、システム運用に不可欠なID・権限管理のBTP活用術を解説いたします。
従来Basisが行ってきたSAP内部のユーザー管理から脱却し、SAP BTP（Business Technology Platform）で統合的なID・権限管理基盤を構築する方法へシフトします。これは、単なる運用の効率化ではなく、企業全体のガバナンス変革を実現します。
本記事は、「BTPは前から気になっていたが、何から手を出せばよいか分からない」方にも、BTPの第一歩として役立つ内容ですので、ぜひチェックしてみてください。
なぜ今、ID・権限管理を見直す必要があるのか
S/4HANAへのシステム移行は完了したものの、多くの現場のユーザー管理の運用実態は以下の状況ではないでしょうか。
- Excel台帳を見ながら、SU01でユーザーを作成し、PFCGでロールを割り当てるといった手作業を行っている
- 人事異動がある度に、アカウント作成に追われ、退職者のID削除漏れがないか目視でチェックしている
- 権限付与の際に、職務分掌(SoD)違反が起きていないかのチェック体制が、特定の担当者に依存している
こうした長年続いてきた運用スタイルは、単なる作業効率の問題に留まらず、現在、新たな課題に直面しています。それは2024年に改訂されたJ-SOX(内部統制報告制度)をはじめ、企業に求められるセキュリティ要件が年々厳しくなっているためです。最新のIT一般統制(ITGC)監査では、以下のようなポイントがより重要視されるようになっています。
- サイバーリスクとクラウド対応:クラウド活用では、MFA(多要素認証)やRBA(リスクベース認証)を用いたゼロトラスト的な境界防御に対応しているか。※RBAとはあらかじめ定義した条件・リスク要因に基づいて、動的なアクセス制御や追加の認証を要求する機能。
- 自動化による証跡管理:手作業による管理はヒューマンエラーを誘発しやすいため、自動化による確実な証跡管理がなされているか。
- 不正アクセスへの対応:不正防止の観点から、適切な職務分掌(SoD)をシステム的にどのようにチェックしているか。
このような背景から、従来の手作業によるBasis運用をクラウド(BTP)による自動化へ置き換え、厳格化する監査要件をシステムで担保するID・権限管理基盤の構築が急務となっています。
ID・権限管理のための3つのBTPサービス
これらの課題を解決し、クラウドネイティブなID・権限管理を実現するために活用するのが、BTPが提供する3つの標準サービスです。高額な外部ソリューションを導入せずとも、SAPの基本機能の組み合わせで強固なID・権限管理基盤を構築することができます。
➀Identity Authentication Service (IAS)
IASは、ユーザーがS/4HANAやBTPアプリ、SuccessFactors・AribaなどのSAP側のクラウドサービスへ安全にアクセスするための共通の認証窓口です。単なる認証基盤ではなく、企業のシステムを守るセキュリティゲートウェイとして機能します。既にMicrosoft Entra IDなどの独自のIdPを利用している場合は、IASを認証の中継点(プロキシ)として構成できます。IASを導入することにより、SSO(シングルサインオン)による利便性の向上と、MFA(多要素認証)やRBA(リスクベース認証)といった高度なセキュリティを両立させることができ、従来のID・パスワード運用から脱却し、前述の監査要件のサイバーリスクからシステムを保護できます。なお、IASはSAP Cloud Identity Services(CIS)というBTPサービスグループの一部として提供されます。
②Identity Provisioning Service (IPS)
IPSは、IASや企業IdPなどのソースシステムから、S/4HANAなどのターゲットシステムへユーザー情報と権限情報を同期するエンジンとして機能します。IPSを導入することにより、手作業で行っていたSU01ユーザーや関連するビジネスユーザー(BP従業員)の作成・削除、PFCGの権限割り当てを自動化することができます。例えば、人事異動で社員のアカウントをIASの特定のグループ(経理部門など)に追加すると、IPSがそれを検知し、S/4HANA側に自動でユーザーアカウントを作成し、対応するロールを割り当てます。離任や退職時もIAS側で無効化するだけで、即座にS/4HANA側でロック・削除されます。これにより、手作業による処理漏れや設定ミスといったヒューマンエラーを解消し、前述の監査要件のシステムによる証跡を担保できます。なお、IPSはIASと同様、SAP Cloud Identity Services(CIS)に含まれる主要なサービスの一つです。
③SAP Cloud Identity Access Governance (IAG)
IAGはクラウド環境およびハイブリッド環境におけるガバナンス、リスク、コンプライアンス(GRC)ツールとして機能します。IAGを導入することにより、IPSがグループ情報に基づいてロールを自動付与する前に、IAGがそのロールの組み合わせにSoD違反がないかをシステム的にチェックすることができ、違反リスクがある場合はブロックして管理者の承認ワークフローへ回すことが可能です。つまりIPSで誤った権限を付与するリスクに対して予防的統制の役割を果たすことで、前述の監査要件の不正アクセスに対応できます。IAGの詳細については、以下の記事で詳しく解説しています。
失敗しないためのBTP導入ステップ
これら3つのBTPサービスを一気に導入しようとすると、業務への影響や設定の複雑さが障壁となってしまいます。そのため、既存の運用から、段階的にクラウド(BTP)へ管理を移行していく、現実的な3つのステップを解説します。
ステップ➀:認証の統合（IAS導入）
最初のステップでは、バラバラに存在していた各システムの認証をBTP上のIASへ統合し、セキュアな共通の認証窓口を構築します。そして、S/4HANA(Fiori)やBTP、SAP側のクラウドサービスごとに個別管理されていた認証を、ユーザーが一度のログインで関連システムを横断できるようにSSOを実装します。さらに、社外からのアクセス時のみ多要素認証(MFA)を強制するといったリスクベース認証を設定します。これにより、認証の一元化に加え、強固なアクセス制御とログイン状況の可視化が実現されます。
ステップ②:ライフサイクルの自動化（IPS導入）
次に、IPSを導入し、IAS側で管理されているユーザー情報やグループ割り当てをS/4HANAなどのシステムへ自動的に配送・同期させます。これにより、Basis担当者のユーザーの作成・削除、および権限割り当て作業の運用工数が削減でき、削除漏れといったセキュリティリスクも解消されます。さらに、作業証跡がIPSのログとして一元管理されるため、監査時におけるID・権限設定の正確性の立証が容易になります。
ステップ③:統制の自動化（IAG導入）
最後に、IAGを導入し、IPSの同期プロセスと組み合わせることで、不適切な権限(SoD違反)がないかを自動的にチェッする仕組みを構築します。これにより、従来、発注と承認という相反する権限の重複チェックは、手動の棚卸やレポートによる解析に頼る必要がありましたが、これらをシステム的に可視化し、不正や誤操作を未然に防ぐ予防的統制を組み込むことができます。さらに、違反時のリアルタイムな承認ワークフローや自動リスク分析といった高度な要件に対応すれば、監査で厳格に問われる不正リスクに対し、システムが自動的にリスクを評価し、証跡を残す強固な体制をシステム的に担保できる状態となります。
ステップ➀～③まですべて実装することで、利便性と監査要件(IT一般統制)を両立した、クラウドネイティブなID・権限管理基盤が完成します。
賢く抑えるBTP導入コスト
新しいクラウド(BTP)基盤の導入にあたり、どうしても懸念されるのがライセンスや初期導入の費用、ランニングコストの増加です。しかし、今回ご紹介したBTPサービスは、SAPユーザーならではの既存資産(ライセンス)を最大限に活用することで、コストメリットを享受することができます。
CIS(IAS/IPS)のライセンス費用
IAS/IPSはSAPの主要なクラウドソリューション契約に付帯して無料で提供されます。つまり、S/4HANA(RISE)を運用中の企業は、IAS/IPSを追加のライセンス費用なしで利用できる権利をすでにお持ちです。ランニングコスト(従量課金)も発生しません。唯一、以下のような標準範囲内から外れる特殊な要件を伴う場合に限り、追加費用が発生しますが、これらは限定的なケースとなるため、一般的な多くのシナリオでは追加費用なしでIAS/IPSを利用することができます。
- 非SAP製品の利用:SAP製品以外のサードパーティ製アプリや、BTP以外で稼働する自社アプリなどで利用する場合
- 3つ目以降のテナント取得:1つの本番テナントと1つのテストテナントが標準提供され、開発などの独立したテナントを追加する場合
- SMSによる多要素認証:リスクベース認証などでSMS(ショートメッセージ)を利用する場合
IAGのライセンス費用
IAGは主に2つのエディション(標準エディション, 統合エディション*)が存在し、本記事のようなS/4HANAに対して動的なSoDチェックを行う場合は、フル機能を持つ標準エディションを主に利用します。標準エディションのライセンスは、管理対象となるリソース数に基づいて課金されるサブスクリプション制となり、ユーザー1,000名単位のブロック契約となります。つまり、ユーザー数が1～1,000名までの間であれば、1ブロックの料金で固定されます。チェック数などの実行回数に応じた従量課金ではないため、予算策定において非常にコストの予見性が高いモデルとなります。具体的な金額はこちらのサイトにあるとおり、実質無償のIAS/IPSと比較してIAGの導入には相応のライセンス料が発生しますが、これは単なるシステム維持費ではなく、法的な企業リスクを最小化する戦略的投資として捉えるべきものです。IAGの導入コストは、監査対応のために要していた内部リソースの年間の工数削減分を考慮すれば、極めて投資対効果の高い選択と考えられます。
| サービス名 | 金額(月額目安 | 主な内容、ライセンス単位 |
|---|---|---|
| CIS(IAS/IPS) | 基本無料 (バンドル) |
|
| IAG(標準エディション) | USD 9,056 |
|
*統合エディションは、既存のオンプレミス製品「SAP GRC」をクラウドへ拡張・連携させるブリッジ方式の形態となり、ライセンス費用は接続システム数に応じた固定のサブスクリプション制です。
よくあるご質問（FAQ）
IPSによるユーザー・権限の同期機能は、ターゲットシステムとしてBTPアプリに対応していますか？
はい、IPSはS/4HANAだけでなく、BTP上の各種アプリケーションやサービスも主要なターゲットとしてサポートしています。具体的には、BTPのロールコレクションに対して、IAS上のグループ情報を反映させることが可能です。
IASによるシングルサインオンは、SAPGUIも対応していますか？
はい、可能です。但し、SAPGUIの場合、HTTP通信ではなく、独自のプロトコル(DIAG/RFC)を使用するため、SAMLやOIDC(OpenID Connect)といったWeb標準のSSOを直接利用できません。そのため、IAS単体では不十分で、別途SAP Secure Login Service (SLS)の連携が必要です。SLS for SAPGUIは主にオンプレミスで利用されていたSAP Single Sign-On 3.0の後継にあたるクラウド製品となり、BTP上で動作するSaaSとして提供されます。SLSの機能や導入についてご質問があれば、お気軽にお問い合せください。
既に企業独自のIdP(Entra ID/ADなど)を利用していますが、IASを中継するメリットは何ですか？
IASを中継点(プロキシ)として間に挟む構成を組んでおくことで、将来的にBTPサービスや他システムとの連携を追加する場合に、設定作業がIAS側で簡素化できます。もしS/4HANAと企業IdPを直結していた場合、連携するシステムが増えると、企業IdP側で信頼関係といった各種設定がシステムごとに毎回必要となり、複雑化や維持が困難になります。このように、IASを導入しておくことは、単なる認証の統合に留まらず、将来の拡張性を担保できます。また、例えば、認証先を社員は企業IdP、社外パートナーはIASに振り分ける構成にすれば、それぞれのセキュリティポリシーを最適化でき、対象に合わせた柔軟なセキュリティ対策が可能となります。
現時点ではIAGの導入はハードルが高いです。代替方法はありませんか？
RSUSRレポートによる権限照合によるチェックや、システムに記録した監査ログから不審な挙動をチェックするといったことは可能です。但し、これらは事後的な人手による収集とレビューが不可欠となり、負荷が非常に高くなりやすく、また精度も低くなります。そのため、IAGの高度な統制は、本記事の導入ステップのとおり、運用が安定し投資余力が生まれた段階で追加検討する、段階的導入が最も現実的で効果的です。
将来的にAI導入(Jouleなど)を検討しています。CIS(IAS/IPS)とIAGを導入しておくべきですか？
はい、JouleなどのAI活用を視野に入れるのであれば、CIS(IAS/IPS)とIAGを導入してID・権限基盤を整えておくことを強く推奨します。その理由は大きく2点あります。第一に、AI(Joule)は基本的にそれを利用するユーザーの既存のロール設定を引き継いで動作します。例えば、もしユーザーに本来業務に不要な広範な権限が付与されている場合、AIはその権限を正当なものとして扱い、ユーザーが通常は参照しないような深い機密データまで検索・回答の対象に含めてしまいます。そのため、不適切な権限管理下でのAI導入は情報漏洩リスクを増大させてしまいます。第二に、AI(Joule)は複数のバックエンドのシステムを横断・連携して作業を支援するため、各システムにまたがって誰が同一人物かを特定するためのユーザー相関が不可欠となります。これを技術的に実現するには、IASでグローバルユーザーID(UUID※ユーザーを一意に識別する共通キー)を生成し、IPSを介して各システムへ配布しておく必要があります。このような背景から、CIS(IAS/IPS)+IAG基盤への投資はAI時代の必須準備と言えます。
まとめ
本記事では、BTPの3つの標準サービスを活用し、従来のオンプレミス時代の運用から脱却し、クラウドネイティブなID・権限基盤を構築する方法について解説いたしました。
DXおよびAIの推進により、クラウド化とゼロトラストが前提となるこれからの時代において、ユーザー・権限管理のすべてを手作業で統制し続けることは、システムの複雑化や監査基準の厳格化のスピードに追いつかなくなります。効率性と企業のガバナンスが強く問われる今こそ、BTPという次世代のプラットフォームを適切に活用するべき絶好のタイミングです。S/4HANA(RISE)のライセンスを既に持ち、追加コストなしで使用する権利があるにもかかわらず、従来の手動運用を続けることは、保守コストの損失といっても過言ではありません。
まずは、本記事で紹介した初期投資のリスクを抑えつつ、堅牢なID・権限基盤を段階的に確立していくアプローチを遂行し、日々の手作業に追われる運用から一歩抜け出し、AI時代に即した盤石な統制基盤を築き上げ、運用を「守り」から「変革の原動力」へと転換していきませんか。
