KeeperPAM^®とIdira (旧CyberArk): PAMソリューションの比較

Idira (旧CyberArk) は、アイデンティティ管理と特権アクセス管理に関する幅広い機能を備えていますが、それらは複数の個別製品に分かれており、それぞれに異なる導入手順、ドキュメント体系、管理ワークフローが存在します。具体的には、エンドユーザー向けの認証情報管理を行う「Workforce Password Management」、ボルト管理やセッション制御を担う「PAM - Self-Hosted」、マシンシークレットを管理する「Secrets Hub」、ブラウザセッションを保護する「Secure Web Sessions」、エンドポイントにおける最小権限アクセスを実現する「Endpoint Privilege Manager」などがあります。

Idira (旧CyberArk) は、エンタープライズ向けの高度な管理機能を備えていますが、特にセルフホスト型PAMでは導入や構築の負担が大きくなる場合があります。

Idiraのドキュメントによると、複数のコンポーネントや導入方法に対応しており、ボルトは手動でインストールする必要があります。また、セッション管理にはPVWAやPSMなどのコンポーネントが必要であり、リモートアクセスでは利用環境に応じて追加のゲートウェイやトンネリング設定が必要になる場合があります。

Idira (旧CyberArk) の運用形態は、ワークフォースID、PAM、シークレット、エンドポイント、マシンIDの各領域で導入する製品の範囲によって異なります。

Idiraの財務報告書によると、保守・サポートサービスおよびプロフェッショナルサービスは依然として事業の重要な部分を占めており、2024年通年におけるこれらのサービスの売上高は2億5300万ドルに達しています。これはすべての導入環境が複雑であることを意味するものではありませんが、多くの環境で継続的な支援や運用サポートが求められていることを示しています。

また、IdiraはPalo Alto Networksの一部となったことで、SASE、クラウドセキュリティ、SOC機能を含む、より広範なセキュリティエコシステムに組み込まれています。これをプラットフォーム統合のメリットと捉える組織もあるでしょう。しかし、こうしたプラットフォーム統合によっても、IdiraのPAMにおける根本的な課題が解消されるわけではありません。アーキテクチャの複雑さは依然として残っており、導入には引き続きプロフェッショナルサービスが必要となる場合があり、ライセンスコストも変わっていません。

Idiraのシークレット管理ツールは、現在Idira Secrets Management (旧Conjur) およびIdira Workforce Password Management (旧WPM) という名称になっていますが、依然として導入・運用負荷が大きく、用途ごとに製品が分かれています。ConjurはマシンアイデンティティとDevOpsの自動化を担い、WPMは人間のユーザー認証情報を管理します。ブランド名が変更された後も、両製品は引き続き必要であり、それぞれを個別に管理する必要があります。

Idira (旧CyberArk) は主にIT管理者向けに設計されているため、高度な技術知識を持たないユーザーにとっては、必ずしも直感的に利用できるとは限りません。

また、中核となるPAM製品にはmacOSおよびLinux向けのデスクトップアプリが含まれておらず、住所や支払い情報の自動入力といった高度なフォーム入力機能にも対応していません。

さらに、Keeperとは異なり、企業ユーザーごとの無料ファミリープランも用意されていません。

Idira (旧CyberArk) のセッション管理は、より細分化されたアーキテクチャを採用しています。セルフホスト型のIdira PAMでは、ユーザーは通常、Password Vault Web Access (PVWA) からアクセスを開始し、対象のアカウントとプロトコルを選択した後、接続を仲介するプロキシサーバーとして機能する Privileged Session Manager (PSM) へリダイレクトされます。

SSHアクセスでは、Idiraは別コンポーネントである PSM for SSH (PSMP) を使用します。また、パスワードライフサイクル管理は Central Policy Manager (CPM) が担い、ボルト、PVWA、その他のコンポーネント間のバージョン互換性に関するガイドラインも管理する必要があります。

Idira (旧CyberArk) のエンドポイント特権マネージャーは、専用のEPM管理コンソールと独自のエンドポイントポリシーモデルによって運用されます。

Idiraのドキュメントによると、EPMにはAccount AdministratorやSet Administratorなどの専用ロールが用意されており、構成設定とポリシー管理を行う際には、Server Configuration ConsoleとEPM Management Consoleを切り替えて使用する必要があります。

Idira (旧CyberArk) もベンダーアクセス機能を備えており、Vendor PAMをVPN不要、エージェント不要、パスワード不要のソリューションとして訴求しています。導入環境によっては、リモートアクセス、PAM、関連するIDサービスにまたがって管理を行う必要があり、複数のワークフローを運用することになる場合があります。

Idira (旧CyberArk) のPAM - Self-Hostedは、PVWAやPSMなどの個別のインフラコンポーネントで構成されており、これらのコンポーネントにはWindowsベースの要件が定められています。

そのため、この導入モデルでは、よりクラウドネイティブなブラウザベースのアプローチと比べて、インフラ設計やコンポーネント管理、継続的な運用・保守により多くの負担が伴う場合があります。