注: 以下の翻訳の正確性は検証されていません。AIPを利用して英語版の原文から機械的に翻訳されたものです。
Palantir Foundry へのアクセスにシングルサインオンのアイデンティティプロバイダ（IdP）を使用する場合、守るべきセキュリティのベストプラクティスがあります。
Palantir では、ユーザー名とパスワードの従来の使用法を超えた証明方法を強く推奨しています。多要素認証は、当社のソフトウェア製品には必須です。独自のアイデンティティプロバイダで多要素認証を実装している場合、強力な認証方法を要求する必要があります。
強力な認証方法の例（おおよその優先順位順）：
SMS ベースの OTP（テキストメッセージ）、メール OTP、2 ステップ認証（リンクをクリックする）、セキュリティ質問などの他の多要素認証は、強力な認証方法とは見なされず、他の方法に切り替えるべきです。
アイデンティティプロバイダに多要素認証が必須でない場合、当社の製品は多要素認証をネイティブでサポートしています。
Palantir Foundry は、アイデンティティプロバイダに対して定期的な再認証を強制するため、意図的に比較的短い最大セッション寿命を設定しています。セッショントークンは攻撃者に盗まれ、その期間中に悪用される可能性があるため、すべてのユーザーセッションに対して比較的短い寿命を強制することで、悪用が時間制限されることを保証します。
同様の理由で、アイデンティティプロバイダによって生成されたセッショントークンの寿命が過度に許容されることがないようにする必要があります。
最新のアイデンティティプロバイダを使用している場合、ゼロトラスト技術および戦略を有効にし、使用する必要があります。これらの技術には、条件付きアクセス、デバイスの健全性またはポスチャ評価、強力な多要素認証の主張、関連するコントロールが含まれる場合があります。使用可能な機能やそれらの実装方法については、アイデンティティプロバイダのドキュメントを参照してください。
ゼロトラストセキュリティモデルのベストプラクティスには、以下が含まれます。
サービスアカウントは、機密データへの広範囲なアクセス権を持つことが多く、通常のユーザーアカウントに比べてセキュリティが低いことが多いため、攻撃者にとって魅力的なターゲットとなります。
サービスアカウント管理の落とし穴には以下のようなものがあります。
Palantir Foundry でサービスアカウントを使用する場合、データを保護するためにそれらを適切に保護することが重要です。
サービスアカウント管理のベストプラクティスには以下が含まれます。
お客様は、自分で監査ログを取得し監視することを強く推奨しています。詳細なガイダンスについては、監査ログの監視を参照してください。
Central Auth は、Palantir が管理する Microsoft Entra ID（Azure AD）アイデンティティプロバイダです。Central Auth は、Palantir 情報セキュリティチームによって管理されており、独自のアイデンティティプロバイダを持っていないお客様や、まだ Foundry とアイデンティティプロバイダを統合していないお客様向けに、セキュリティを最優先した認証ソリューションを提供するように設計されています。
Foundry インストール用のアイデンティティプロバイダがない場合、Central Auth を使用してアクセスを提供できる場合があります。詳細については、Palantir の担当者にお問い合わせください。
Central Auth は、SAML Multipass レルムとして Foundry インストールに統合できます。統合された場合、ユーザーアカウントのプロビジョニングとデプロビジョニングは Palantir が管理します。グループ、マーキング、およびその他のプラットフォームセキュリティ機能は、引き続きユーザーが管理します。
すべての Central Auth アカウントは厳格なセキュリティ制御を満たす必要があります。