1. サービスアカウントとは
サービスアカウントとは、人（従業員）ではなく、システムやプログラム、サービスが使うためのアカウントです。たとえば、バックアップを自動実行するプログラム、システム同士を連携させる処理、定期的なバッチ処理などが、その動作のために使うアカウントがサービスアカウントです。人がログインして使うものではなく、システムが裏側で黙々と使い続けます。
サービスアカウントは、システムを動かすうえで欠かせません。しかし、その存在は人の目に触れにくく、しばしば「作ったまま放置される」という問題を抱えています。人間のアカウントなら、退職時に削除されますが、サービスアカウントには「退職」がありません。一度作られると、担当者が代わっても、システムが使われ続ける限り、静かに存在し続けるのです。この「見えにくさ」と「放置されやすさ」が、サービスアカウントを見落とされがちなリスクにしています。
2. なぜ危険なのか——見落とされがちな理由
| リスク | 内容 |
|---|---|
| 強い権限を持ちがち | システム動作のため、必要以上に強い権限が付与されていることが多い |
| パスワードが変更されない | 「変えるとシステムが止まる」ため、初期設定のまま何年も放置される |
| 誰が管理しているか不明 | 作った担当者が異動・退職し、「触れないアカウント」になっている |
| 監視の対象外 | 人のログインではないため、不審な挙動が見逃されやすい |
| 認証情報の埋め込み | パスワードやキーが、スクリプトや設定ファイルに平文で書かれている |
サービスアカウントが危険なのは、「強い権限」を持ちながら「放置され」「監視されず」「パスワードが変わらない」という、最悪の条件が重なりやすいからです。攻撃者にとって、これほど好都合な標的はありません。実際、多くの侵害事例で、攻撃者は放置されたサービスアカウントを乗っ取り、その強い権限を使って社内を横断的に移動し、被害を拡大させています。人間のアカウントは丁寧に管理していても、サービスアカウントが無防備なら、そこが突破口になるのです。まさに「見落とされがちな、最も危険なID」と言えます。
3. サービスアカウント管理の5つのベストプラクティス
- ① 棚卸しと可視化：まず「どんなサービスアカウントが、どんな権限で存在するか」を洗い出します。「誰も存在を知らないアカウント」をなくすことが第一歩です。
- ② 責任者を明確にする：各サービスアカウントに管理責任者を割り当て、「触れないアカウント」をなくします。
- ③ 権限を最小化する：そのシステムの動作に本当に必要な権限だけに絞ります（最小権限）。過剰な権限は削除します。
- ④ 認証情報を安全に保管・管理する：パスワードやキーをスクリプトに直接書かず、専用の金庫（シークレット管理）で保管し、定期的に変更（ローテーション）します。
- ⑤ 利用を監視する：サービスアカウントの挙動を監視し、普段と違うアクセスを検知できるようにします。
サービスアカウントは、強い権限を持つ「特権的な非人間ID」であることが多いため、特権アクセス管理（PAM）の仕組みで統制するのが効果的です。パスワードを金庫管理し、自動でローテーションし、利用を記録する——これにより、放置されがちなサービスアカウントを、統制された状態に置けます。PAMの考え方はPAM（特権アクセス管理）とは、認証情報の保護はAPIキー管理もあわせてご覧ください。
4. 人も、非人間IDも——統制の思想は一つ
サービスアカウント、APIキー、SSH鍵——これらはいずれも、人ではない「非人間ID（NHI）」の一種です。そして現代のシステムでは、この非人間IDの数が、人間の従業員をはるかに上回るまでに急増しています。もはや、人間のIDだけを丁寧に管理しても、セキュリティは守れません。人も、非人間IDも、ひとつの思想で統制することが求められているのです。
その思想とは、シンプルです——「盗まれて悪用される認証情報を、放置しない」こと。人間の認証は、盗まれうるパスワードから、盗みようのないパスワードレス認証（FIDO2/パスキー）へと向かっています。米国NISTをはじめ世界のセキュリティガイドラインが、最終的に求める認証としてこのパスワードレスを示しているのは、まさに「盗まれる認証情報をなくす」ためです。そして、非人間IDの認証情報も、同じ思想で——放置せず、最小化し、安全に保管し、盗まれても悪用の余地を絞る形で——統制すべきなのです。
人間のIDを強い認証（パスワードレス）で守り、非人間ID（サービスアカウント・APIキー・SSH鍵）を棚卸しと統制で守る。この両輪がそろって初めて、組織のIDは本当に守られます。サービスアカウントの管理は、その「見落とされがちな片輪」を回すための、重要な取り組みなのです。全社のID統制の視点はIAMとはもご覧ください。
5. まとめ
サービスアカウントとは、人ではなくシステムが使うアカウントで、人の目に触れにくく放置されやすいものです。強い権限を持ちながら、パスワードが変更されず、監視もされないまま放置されがちで、攻撃者に格好の突破口を与えます。①棚卸しと可視化、②責任者の明確化、③権限の最小化、④認証情報の安全な保管・管理、⑤利用の監視、という5つのベストプラクティスで、PAMの仕組みも活用しながら統制することが重要です。
サービスアカウントは、急増する「非人間ID」の一種です。人間のIDを盗みようのないパスワードレス認証で守り、非人間IDを棚卸しと統制で守る——「盗まれて悪用される認証情報を放置しない」という一つの思想で、両輪をそろえることが、これからのID管理です。世界のガイドラインが人間の認証について最終的に求めるパスワードレスと、非人間IDの統制は、同じ方向を向いています。まず自社に、放置されたサービスアカウントがないかを棚卸しすることから始めましょう。進め方でお困りなら、専門家にご相談ください。