Privileged Access Management for Agents

AIエージェントの特権アクセス管理（PAM）は、権限変更、機密情報の取得、外部送信、本番変更、削除などを行える権限について、誰のために、どの実行が、どの対象へ、いつまで使えるかを管理する仕組みである。モデルへの指示や承認文だけでは成立しない。実際にツールを実行するID、資格情報、認可ポリシーと結果記録を制御する必要がある。

エージェントは一つの会話中に多数のツールを選ぶため、常時管理者権限を渡すと、誤った対象選択や取得文書中の命令が大きな操作につながり得る。一方、必要な読取りまで毎回人へ回すと業務が停滞する。通常権限と特権操作を分け、操作の影響に応じた権限の取得・検証・終了を設計する。以下の管理表と工程は、本稿の設計提案である。

管理者という名前のロールだけが対象ではない。文書の読取り権限でも、機密資料を一括取得できる、社外へ送信できる、別ツールと組み合わせて権限を広げられる場合は影響が大きい。単独のAPI権限と、連鎖して実行できる操作を合わせて調べる。

利用者本人、エージェントの実行ID、ツールゲートウェイ、接続先サービスのIDは一致するとは限らない。利用者の認可を引き継ぐ操作と、サービス自身の権限で動くバックグラウンド操作を明示する。利用者が読めない情報を、共有サービスIDの広い権限で取得して返す経路を作らない。

Microsoft Entra PIMの資料は、時間・承認に基づく権限管理を提供する一方、service principalをeligibleとして割り当てることはできず、時間制限付きactive割当てとは区別すると説明する。[S1] 人向けの昇格手順を、そのまま非対話エージェントへ適用できるとは考えない。対象ID種別、製品・ライセンス、利用可能な認証・承認方式を確認する。

人がMFAを行ってエージェントの操作を承認した場合も、人のセッションや万能の管理者資格情報をモデルへ渡す必要はない。承認した対象と操作をサーバー側で検証し、その範囲に対応する実行経路へ限定する設計を検討する。人の承認と、ワークロードに与える技術上の権限を対応付けることが重要である。

AWS IAMは、STS等による有効期限付き資格情報を提供し、長期キーをアプリへ埋め込む必要を減らせる。[S2] ただし短い期限でも、その間に全データを取得できる権限なら影響は大きい。対象資源、操作、テナント、実行環境を最小限にし、資格情報を取得できる信頼条件も制限する。

資格情報はモデルのプロンプト、ツール結果、会話履歴、広いログへ出さない。ゲートウェイや実行基盤が秘密を保持し、モデルには許可された操作の結果だけを返す構成が考えられる。秘密を表示しなくても、万能APIを呼べるなら権限は残るため、秘密の秘匿と操作認可の両方を確認する。

最初に操作候補を保存し、対象・差分・必要権限・有効期限・承認要否を確定する。承認が必要なら、申請者と承認者の関係を検証し、具体的な操作の版へ決定を結び付ける。エージェント自身が認可規則を緩和して承認を回避できないようにする。

実行時には、認証主体、現在の許可、操作の版、対象の前提、有効期限を検証する。必要な権限を取得して実行し、外部操作IDと結果を記録する。最後に不要なセッション・割当て・秘密参照を終了させ、許可期間の終了後に利用できないことを確認する。昇格したまま次の無関係な案件へ権限を持ち越さない。

実行中に権限が失効したとき、すでに発行された資格情報、接続、進行中ジョブがどうなるかは別問題である。AWSの資料は、一時資格情報への権限評価、失効対応、ポリシー反映の遅延やresource-based policyの経路を説明する。[S3] 一つの管理画面で権限を外したことだけから、全セッションの即時停止を推定しない。実際の認可経路ごとに拒否を確認する。

購買エージェントが一件の発注のために広いロールを取得し、その後の会話でも同じ権限を使い続ける場合がある。案件ごとの実行文脈を持ち、対象と操作を照合する。発注先や金額が変わったら以前の承認を流用せず、実行の冪等性と外部結果も別に管理する。

認可サービスが応答しないときに「処理を止めないため」管理者キーへ切り替える設計は、障害時に境界を失わせる。特権操作を保留する、読取り専用へ縮退するなどの既定動作を定める。緊急権限が必要なら、人が管理する別の手順へ接続し、通常の再試行で自動発動させない。

また、ツールがpermission deniedを返すたびにエージェントが別のIDやAPI経路を探すと、権限拒否が迂回探索のきっかけになる。拒否は単なる技術エラーと分け、許可された再申請または停止へ進める。利用者の自然言語や検索文書を、特権の付与根拠にしない。

記録には、元の依頼主体、実行主体、案件ID、権限の取得・終了、承認対象、実際の引数、外部操作ID、結果を関連付ける。秘密そのものを記録する必要はない。権限管理者が自分の操作の記録まで自由に消せる経路も検討する。

受入れでは、別テナント、期限切れ、権限失効、対象変更、ロール継承、共有資格情報、拒否後の再試行、認可基盤の障害、処理再開を試す。許可された操作が成功することと、範囲外の操作が拒否されることを対で確認する。資格情報の発行に成功しただけでは、PAMの実装完了としない。

PAMは操作の内容の正しさを保証しない。許可された範囲内の誤送信や誤削除は残り得るため、対象確認、業務評価、結果照合と組み合わせる。細かい一時権限を増やし過ぎると設定ミスや運用負担も増える。実際の職務と損失に基づき、管理単位を選ぶ。

• 実使用ID、権限体系、資格情報の発行・失効方式、承認者、信頼条件、監査保持は未取得。
• 実PIM／IAM／ゲートウェイでの昇格、失効、範囲外拒否、障害、再開、秘密漏えいの試験はNOT_RUN。
• 先行Luna完成本文は確認できず、旧所在記録を保持した新候補とする。

「実行主体・対象・操作・期間を限定し、取得から終了までの特権利用を検証可能にする」。一方、「短期トークンなので安全」「人向けPIMをそのままエージェントにも適用可能」「権限を外せば全実行が瞬時に停止」「秘密が見えなければ万能ツールでも問題ない」とはしない。

一次資料確認日: 2026-10-22。管理表・操作工程・失敗例は本稿の設計提案。

• [S1] Microsoft Entra PIM Deployment Plan, What can you manage／assignment types: https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-deployment-plan
• [S2] AWS IAM Temporary security credentials: https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html
• [S3] AWS IAM Disabling permissions for temporary security credentials: https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp_control-access_disable-perms.html
• 歴史的所在記録: Doc 1Vd0BP7G2UyPDRQs_-8dPvTgQ78Tk6kcVGuMJjqNdr84、2026-09-18 11:20 JST RUN、EA-288見出し、t.0:23385–25569、ARTIFACT_INDEX!264。完成候補が見つからないことを先行成果の不存在証明とは扱わない。