RBAC V3は、分散型の「APIファースト」モデルへの根本的なアーキテクチャの転換を表しています。これにより、WebUIとREST APIの両方でセキュリティ制御と権限の一貫性が確保され、統一されたセキュリティ体制が確立されます。V3 への移行は、すべての新しいNetskope機能に必要な必須のプラットフォームの進化です。
主要概念とベストプラクティス
- Service Accounts: ロール駆動型サービスアカウントを通じたプログラム的APIアクセスの新しいワークフローで、廃止されたV2トークンシステムに代わります。critical best practiceは、APIトークンが一度しか表示されないため、作成後すぐにコピーして安全に保存することを意味します。
- Principle of Least Privilege (PoLP): 特定の機能に必要な最小限の権限を持つカスタムロールを作成することを重視します。これにより、アカウントが侵害された場合の潜在的な「影響範囲」が縮小され、UI権限が無効になっているサービスアカウント専用のロールを作成することも含まれます。
- Label-Based Access Control (LBAC): 階層型ラベルシステムによる強力なオブジェクトレベルのアクセス制御機能を追加することで、RBAC V3を拡張します。主な 事例には、委任管理（マルチテナンシー）、自動化された構成の視覚的な分離、およびゼロトラストアクセスモデルの適用が含まれます。
- “Roles First” Workflow: 役割beforeを作成して構成し、管理者を追加することは、基本的なベストプラクティスです。
- Object Dependency Matrix (ODM): RBAC V3への移行後、すべてのカスタムロールを確認して再保存し、ODMをトリガーしてロールが正常に機能することを確認してください。
RBAC V3のメリット
- Simplify Administration: 重複する設定を特定して統合することで、管理すべきカスタムロールの数を大幅に削減します。
- Enhance Security: 重複する役割を排除し、最小権限に基づいた、一貫性があり、監査可能で、安全な権限モデルを確保する。
RBAC V3 最大権限
RBAC V3への移行に伴い、カスタムロールの権限に変更が生じます。この変更の主な理由は、RBAC V3で導入された新しいセキュリティコンセプトである Max Permissionsです。
以前のシステム（RBAC V2）では、機能自体に論理的に適用されない権限をロールに割り当てることが可能でした。典型的な例は、監査ログに「管理」を割り当てることです。監査ログは、イベントの不変かつ変更不可能な記録として設計されており、その唯一の機能は閲覧または確認されることである。 作成、編集、削除するものは何もありません。
したがって、RBAC V2における監査ログの「管理」権限は、実質的に「何もしない」（操作を行わない）ものであり、「表示」以外の追加機能は付与されず、誤解を招く可能性があった。
RBAC V3は、システム内のすべてのリソースに可能な限り最大の権限を割り当てることで、この問題を解決します。監査ログの場合、最も高い唯一の論理的な権限は「閲覧」です。
移行によって権限がどのように調整されるか
RBAC V2からRBAC V3への移行中、システムは各カスタムロールの権限を自動的に監査します。ある役割の権限が、特定のリソースに対する新しい最大権限を超えていた場合、システムはそれを自動的に、かつ正しく、許容される最高レベルまで調整しました。この変更は、当プラットフォームの権限システムのセキュリティと明確性を向上させるための意図的な改善です。
Example: お客様のカスタムロールには、RBAC V2 の監査ログに対して「管理」権限が設定されています。
The Logic: RBAC V3 における監査ログの最大権限は「表示」です。
The Result移行プロセスでは、権限を「管理」から「表示」に修正し、実際の機能を正確に反映させます。
これにより、役割の権限が明確かつ正確であり、セキュリティの基本となるベストプラクティスである最小権限の原則に準拠していることが保証されます。
主なポイント
No Loss of Functionalityユーザーは実際の機能を何も失っていません。旧システムでは、監査ログで「管理」権限を持つユーザーは閲覧しかできませんでしたが、これは新しい「閲覧」権限で許可される内容と全く同じです。
Increased Clarity権限は明確です。ロールは、プラットフォーム内でユーザーができることとできないことを正確に表します。
Improved SecurityRBAC V3は、権限に論理的な制限を設けることで、より安全で堅牢なアクセス制御フレームワークを提供します。