注: 以下の翻訳の正確性は検証されていません。AIPを利用して英語版の原文から機械的に翻訳されたものです。
シングルサインオンの IDプロバイダーを使用して Palantir Foundry にアクセスする場合は、セキュリティのベストプラクティスに従う必要があります。
Palantir は、従来のユーザー名とパスワードによる認証に加えて、属性を証明することを強く推奨しています。Palantir のソフトウェア製品では、多要素認証が必須です。IDプロバイダーで独自に多要素認証を実装している場合は、強力な認証方式を必須にしてください。
強力な認証方式の例（おおよその推奨順）：
SMS ベースの OTP（テキストメッセージ）、メールの OTP、2段階認証（リンクのクリック）、秘密の質問などのほかの MFA 方式は、強力な認証方式とはみなされません。これらの使用をやめ、ほかの方式に切り替えてください。
IDプロバイダーで多要素認証を必須にしていない場合は、Palantir の製品に組み込まれた多要素認証機能を利用できます。
Palantir Foundry は、IDプロバイダーでの定期的な再認証を強制するため、セッションの最大有効期間を意図的に比較的短く設定しています。セッショントークンは攻撃者に盗まれ、有効期間中に悪用される可能性があるため、すべてのユーザーセッションの有効期間を比較的短く制限することで、悪用可能な時間をある程度制限できます。
同じ理由から、IDプロバイダーが生成するセッショントークンの有効期間も、過度に長く設定されていないことを確認してください。
最新の IDプロバイダーを使用している場合は、ゼロトラストの技術と戦略を有効にして使用してください。これらの技術には、条件付きアクセス、デバイスの正常性やセキュリティ状態の評価、強力な多要素認証のクレーム、および関連する制御などが含まれます。利用可能な機能と実装方法については、IDプロバイダーのドキュメントを参照してください。
ゼロトラストのセキュリティモデルに関するベストプラクティスには、次のものがあります。
サービスアカウントは、機密データに対する広範なアクセス権限を持つことが多く、標準的なユーザーアカウントと比べてセキュリティ対策が不十分な傾向があります。そのため、攻撃者にとって魅力的な対象になります。
サービスアカウントの管理には、次のような落とし穴があります。
Palantir Foundry でサービスアカウントを使用する場合は、データを保護するためにサービスアカウントを保護することが極めて重要です。
サービスアカウントの管理に関するベストプラクティスには、次のものがあります。
顧客自身で監査ログを収集して監視することを強く推奨します。追加のガイダンスについては、セキュリティ監査ログを監視するを参照してください。
Central Auth は、Palantir が管理する Microsoft Entra ID (Azure AD) の IDプロバイダーです。Central Auth は Palantir の情報セキュリティチームが管理しており、独自の IDプロバイダーを持たない顧客や、IDプロバイダーと Foundry の統合がまだできていない顧客向けに、セキュリティを最優先する認証ソリューションとして設計されています。
Foundry のインストール用の IDプロバイダーがない場合は、Central Auth 経由でアクセスを提供できる可能性があります。詳細については、Palantir の担当者にお問い合わせください。
Central Auth は、SAML Multipass レルムとして Foundry のインストールと統合できます。統合した場合、ユーザーアカウントのプロビジョニングとプロビジョニング解除は Palantir が管理します。グループ、マーキング、およびその他のプラットフォームのセキュリティ機能は、引き続き顧客が管理します。
すべての Central Auth アカウントは、厳格なセキュリティ制御の要件を満たす必要があります。