長年にわたり、社内 PKI は、主にデバイスの保護や Active Directory のサポートに使用される、裏方の技術と見なされてきました。しかし現在では、その認識は時代遅れです。 

現代の企業は、クラウドワークロードや Kubernetes クラスタから API、DevOps パイプライン、マシン ID に至るまで、インフラストラクチャのほぼあらゆる領域でトラストを確立するために社内 PKI を利用しています。しかし、多くの組織では今なお、分断されたアーキテクチャ、手作業のプロセス、そして今日のビジネス環境を想定して設計されていないレガシー技術によって PKI を管理しています。 

現在の PKI を評価する場合でも、将来に向けた計画を立てる場合でも、以下の5つのポイントを押さえることで、より安全で拡張性とレジリエンスに優れた基盤を構築できます。

ポイント1：社内 PKI の全体像を把握する

社内 PKI に関する最大の誤解は、主にデバイス向けの証明書を発行するためのものだという認識です。 

実際には、社内 PKI は以下を支える基盤となっています。 

• サーバ
• Active Directory
• Wi-Fi と VPN
• Kubernetes
• API
• コンテナ
• サービスメッシュ
• DevOps パイプライン
• データベース
• OT 環境
• コード署名
• 信頼できる認証を必要とするあらゆるマシン ID

全体像を把握できていなければ、セキュリティを確保することも、モダナイズすることもできません。

ポイント2：PKI のサイロ化を解消する

社内 PKI が1つだけという企業はほとんどありません。多くの企業では、以下のような複数のトラストドメインが個別に拡大してきました。 

• Microsoft CA
• クラウドネイティブの証明書サービス
• Kubernetes cert-manager
• OpenSSL ベースの導入環境
• アプリケーション固有の PKI
• 各事業部門が個別に管理する PKI

複数の社内 PKI が存在すると、証明書管理はより複雑になります。さらに重要なのは、すべての PKI にわたって一貫したトラスト管理を行うことが困難になる点です。最新の PKI では、証明書の発行と同じくらいガバナンスが重要です。 

ポイント3：手作業のプロセスを自動化する

管理する証明書が数十件から数百件だった時代には、手作業による証明書管理でも対応できたかもしれません。しかし現在、多くの組織が数十万件、場合によってはそれ以上の証明書を管理しています。 

手作業による更新プロセスは、以下の問題を引き起こします。

• システム停止
• 運用負荷
• セキュリティリスク
• コンプライアンス上の課題

自動化の目的は、単なる効率化ではありません。最新のインフラストラクチャの変化に対応しながら、リスクを低減するために不可欠です。組織の証明書管理が今なおスプレッドシート、スクリプト、カレンダのリマインダに依存しているのであれば、モダナイズを検討すべき時期です。 

ポイント4：動的なインフラストラクチャに対応する

社内 PKI はもともと、比較的静的な環境での利用を想定していました。しかし、現在の環境は大きく異なります。

クラウド、ハイブリッドインフラストラクチャ、コンテナ、一時的なワークロード、DevOps では、証明書を大規模かつ自動的に発行、更新、失効、管理できる PKI が必要です。また、証明書のライフサイクルが非常に短いケースにも対応する必要があります。 

PKI アーキテクチャは、ビジネスを妨げるのではなく、ビジネスを支えるものでなければなりません。PKI のモダナイズでは、PKI がビジネスを支える中核的な機能であることを認識することが重要です。

ポイント5：社内 PKI を戦略的なセキュリティインフラストラクチャとして位置付ける

社内 PKI は、もはや単なる IT サービスではありません。以下を実現するための基盤です。 

• ゼロトラストアーキテクチャ
• マシン ID 管理
• 企業のレジリエンス
• 規制へのコンプライアンス
• 暗号アジリティと量子コンピュータ対応

PKI を戦略的なインフラストラクチャとして捉える組織は、今後どのような変化が起きても、より柔軟に対応できます。 

PKI の現状を簡単にチェック

以下のうち、皆さまの組織に当てはまる項目はいくつありますか？ 

• 社内で稼働しているすべての CA を把握している。
• すべての社内証明書を可視化できている。
• 証明書の更新が完全に自動化されている。
• 自社の PKI がハイブリッド、クラウド、Kubernetes 環境に対応している。
• 大きな混乱を招くことなく、既存の PKI から移行できる。

このうち2つ以上に「いいえ」または「わからない」と回答した場合、社内 PKI をモダナイズできる余地があると考えられます。 

モダナイズへの第一歩

多くの企業にとって、その第一歩は、現在の Microsoft CA 環境が最新のインフラストラクチャの要件に今後も対応できるかを見極め、移行が必要になったときに、モダナイズを成功させるために何が必要かを把握することです。 

DigiCert Private CA の詳細をご覧いただき、デジサートが社内 PKI のモダナイズをどのように支援できるかをご確認ください。