IDベースのログインとSAPトラッキングによる安全な共有Windowsデバイス

製造工場では、多くの場合、複数のユーザーが一日を通してアクセスする共有Windowsデスクトップマシンが使用されています。これらのデバイスでは通常、SAPなどの重要なアプリケーションが実行され、機密性の高いトランザクションコード（Tコード）を使用して運用タスクが実行されます。しかし、すべてのユーザーが単一の共有Windowsアカウントを使用してログインすると、組織は次のような状況を把握できなくなります。

• どのユーザーがどのデバイスにいつアクセスしたか？
• どのようなSAPトランザクションが実行されていますか？
• 彼らはどれくらいの時間ログインしているのですか？
• 機密性の高い操作が、権限のあるユーザーによって実行されたかどうか？
• 適切な認証、セッション制御、および説明責任をどのように実現するか？

これらの課題に対処するため、miniOrangeのデータ損失防止（DLP）は、 SAPアクティビティモニタリングと組み合わせた共有ユーザーログインソリューションを提供し、共有環境における完全な可視性、追跡可能性、およびセキュリティを実現します。

問題提起

工場内に複数のWindowsデスクトップを導入している顧客は、以下の問題に直面しました。

ユーザーレベルの責任の欠如

すべてのマシンには、同じローカルのWindowsユーザーアカウントを使用してアクセスされました。その結果、以下のことが起こりました。

• 実際にどのユーザーが特定のシステムにログインしたのかを特定する方法はなかった。
• すべての活動が同じユーザー名で表示されました。
• 不正使用、ポリシー違反、またはセキュリティ侵害は確認できなかった。

SAPユーザーIDなし

これらの共有マシンにはSAPがインストールされていましたが、以下の点が問題でした。

• ユーザーは監視やIDマッピングなしにSAPにログインしていた。
• どの実際のユーザーがSAPを起動したかを追跡する仕組みはなかった。
• 機密性の高いトランザクションコードが監視なしで実行される可能性がある。

ユーザーアクセスとセッションに対する制御はできません

すべてのデバイスが共通のログイン情報を使用していたため：

• ユーザーを個別に認証できませんでした。
• 多要素認証を適用できませんでした。
• 操作を行っていないユーザーを自動的にログアウトできませんでした。
• リスクの高いユーザーをリモートでログアウトさせることはできませんでした。
• これらの欠陥は、セキュリティ、コンプライアンス、および監査において重大な課題をもたらした。

実装の詳細

IDベースのログインフロー

• miniOrange IdPは、すべてのユーザーIDを保存します。
• 次に、ユーザー認証は共有ログインモジュールを経由して行われます。
• このモジュールは、miniOrange IdPに対してユーザーを認証し、ローカルのWindowsアカウントへのアクセスを許可します。
• ローカルWindowsログインはすべてのシステムで標準化されています。そのため、ポリシーに基づいて多要素認証を適用できます。

SAPモニタリング統合

• SAP GUIスクリプトは、ユーザーが入力したトランザクションコード（Tコード）を読み取るために使用されます。
• 軽量の監視エージェントが、すべてのユーザー操作を捕捉します。
• ログはminiOrange DLPのバックエンドに安全に送信されます。

集中型可視化コンソール：管理者は以下を確認できます。

• 各ユーザーの全デバイスにおけるログイン履歴。
• SAP利用状況レポート。
• Tコード違反アラート。
• アイドルタイムアウトおよび強制ログアウトイベント。

主な成果とメリット

これらの課題を解決するために、miniOrangeは2つの連携したコンポーネントを実装しました。

説明責任と追跡可能性が回復

デバイスが引き続き共有のWindowsアカウントを使用する場合でも、miniOrangeは以下のことを保証します。

• あなたはいつも知っている 実際のユーザー システムにアクセスしました。
• 詳細なユーザーレベルのレポートが利用可能です。

SAPアクティビティの可視化

SAP GUI内で発生するすべての事象を追跡します。

• ログイン／ログアウトイベントが追跡されます。
• SAPの起動/終了イベントが追跡されます。
• 機密性の高いトランザクションコードへのアクセスは追跡されます。
• ユーザーセッションの流れが追跡されます。

強力なセキュリティ対策

miniOrangeの機能を搭載：

• 多要素認証はすべてのユーザーに対して適用されます。
• リモートでのユーザーログアウトが可能です。
• アイドル状態のセッションにはタイムアウトが適用されます。
• ポリシーに基づくアクセス制御が適用されます。

オペレーション効率向上

• ユーザーごとに個別のWindowsアカウントを作成する必要はありません。
• ユーザーは既存のIDプロバイダーの認証情報を使用して認証を行います。
• すべての共有デバイスでシームレスに動作します。

結論

miniOrange Shared User LoginとSAP Activity Monitoringを導入することで、組織は安全性の低い共有デスクトップを、完全に監査可能なIDベースのアクセスポイントに変換できます。このソリューションは以下の機能を提供します。

• アクセスごとにユーザーIDが検証されます
• 強力な認証制御。
• SAPの利用状況を完全に可視化する。
• 不正アクセスからの保護。
• 監査およびコンプライアンスに関する一元化されたレポート作成

これにより、共有デバイス環境における運用効率と強力なセキュリティの両方が確保されます。