Amazon One Enterprise

解決する課題

オフィスやデータセンターの入退室管理、業務システムへのログインでは、従来は物理バッジ・ICカードやパスワードが使われてきました。しかしこれらは紛失・貸し借り・盗難が起こりやすく、なりすましのリスクが残ります。バッジの発行や失効、パスワードの再発行といった運用も情報システム部門の負担になります。

Amazon One Enterprise はこれを、手のひらをかざすだけの生体認証で置き換えます。

• バッジやパスワードを持ち歩かず、手のひらをかざすだけで入退室やサインインができる
• 本人固有の生体特徴を使うため、貸し借りやなりすましが起こりにくい
• バッジ発行・失効やパスワード再発行といった運用作業を削減できる
• 施設アクセス（物理）と、IT システムやアプリへのサインイン（デジタル）の両方に同じ仕組みを使える

利便性とセキュリティを両立しつつ、アクセス管理の運用コストを下げられる点が中心的な価値です。

主要概念と用語

• 手のひら認証（パーム認証）: 手のひらの表面の特徴と、内部の静脈パターンを組み合わせて個人を識別する生体認証方式。表面のなぞりだけでは再現しにくい
• テンプレート: 撮影した手のひら画像そのものではなく、特徴を数値化・暗号化して保存したデータ。照合はこのテンプレート同士で行う
• 登録（エンロール）: 利用者が初めて手のひらをスキャナにかざし、本人とテンプレートをひも付ける操作
• パームスキャナ（デバイス）: 手のひらを読み取る専用ハードウェア。入口やゲート、端末に設置する
• コネクタ／統合: 既存の物理アクセス制御システム（PACS）や ID プロバイダーと連携するための接続部分
• 管理ダッシュボード: デバイスや登録ユーザー、アクセス権限を運用者が管理するための画面

仕様・制限・クォータ

• 用途は大きく物理アクセス（施設の入退室）とデジタル認証（システムやアプリへのサインイン）に分かれる
• 手のひらの読み取りには専用のパームスキャナが必要で、対応デバイスや設置要件を確認する
• 既存の物理アクセス制御システムや ID プロバイダーとは、提供される統合・コネクタを介して連携する
• 登録ユーザー数、デバイス数、連携先などにはアカウントや契約単位の上限が関係する場合がある
• 提供リージョンや対応する国・地域は限られるため、導入前に対象範囲を確認する

対応デバイスや上限値、提供範囲は変動しやすいため、最新情報は公式ドキュメントで確認してください。

内部の仕組み

利用者が手のひらをスキャナにかざすと、デバイスは手のひらの表面と静脈の特徴を読み取り、その場で特徴量に変換します。この特徴量を暗号化したテンプレートと、登録済みテンプレートを AWS 側で照合し、本人かどうかを判定します。

• 保存・照合に使うのは生画像ではなく、数値化したテンプレートであり、元の手のひら画像には戻せない設計が前提とされる
• テンプレートは暗号化して管理され、認証処理は AWS のマネージドな基盤上で行われる
• 物理アクセスでは、判定結果を既存のアクセス制御システムに渡してゲートや扉を解錠する
• デジタル認証では、判定結果をID プロバイダーやアプリの認証フローに連携してサインインを許可する

利用者から見れば手をかざすだけですが、裏側では撮影・特徴量化・暗号化・照合という一連の処理が短時間で実行されています。

設計パターン / ベストプラクティス

• 物理とデジタルの統合: 入退室と業務システムのサインインを同じ手のひら認証に統一し、バッジとパスワードの二重管理をなくす
• 段階的導入: まず一部の拠点や用途で試験導入し、登録フローや運用負荷を確認してから全社展開する
• 代替手段の確保: スキャナ故障や登録未完了に備え、従来のバッジや別の認証手段をフォールバックとして残す
• 既存資産との連携: 既存の物理アクセス制御システムや ID 基盤を置き換えるのではなく、コネクタで接続して活かす

運用・監視

• デバイス管理: 設置したパームスキャナの稼働状態やバージョンを管理ダッシュボードで把握し、不調なデバイスを早期に交換する
• ユーザー・権限管理: 入退室できる範囲やサインインできるシステムを、利用者ごとに付与・失効する
• アクセスログ: 誰がいつどこでアクセスしたかの記録を残し、不正アクセスの調査や監査に使う
• 監査連携: 操作やアクセスの記録を AWS の証跡サービスやログ基盤と組み合わせ、コンプライアンス要件に対応する

コスト

費用は主に、利用するパームスキャナなどのデバイスと、サービスの**利用規模（登録ユーザーやデバイスの数など）**に応じて発生します。バッジの印刷・配布・再発行や、パスワードリセット対応といった従来の運用コストを削減できる一方で、デバイス調達と導入の初期負担がある点を踏まえて検討します。

• 用途と拠点を絞って導入し、効果を確認してから対象を広げる
• 既存のアクセス制御や ID 基盤を活かし、置き換え範囲を最小限にする
• バッジ運用やパスワードリセットの削減効果を、導入コストと比較して評価する

セキュリティ

• 保存するのは生体の生データではなく、暗号化された特徴量テンプレートであり、元画像には復元できない前提で設計されている
• テンプレートやアクセスログは暗号化して管理し、アクセス権限を最小限に絞る
• 管理操作は IAM などで権限を分離し、デバイスやユーザーの設定変更を限られた担当者に限定する
• 生体情報は機微な個人情報のため、取得目的・保存範囲・保持期間を明確にし、各地域の法令やプライバシー規制への適合を確認する

関連サービス・比較

施設内の人物検知や顔の照合に使われる Amazon Rekognition と混同されがちですが、役割が異なります。One Enterprise は手のひらをかざす能動的な本人確認とアクセス制御の基盤、Rekognition は画像・動画を解析する汎用の画像認識サービスです。

ハンズオン / CLI例

Amazon One Enterprise は専用デバイスと管理ダッシュボードでの運用が中心のため、操作の多くはコンソール側で行います。周辺の運用では、たとえばアクセスログの保存先 S3 バケットの暗号化や、操作証跡の確認に CLI を使います。

# アクセスログ保存先S3バケットの暗号化設定を確認
aws s3api get-bucket-encryption \
  --bucket my-one-enterprise-logs \
  --query "ServerSideEncryptionConfiguration.Rules"

# 管理操作の証跡（CloudTrail）から関連イベントを確認
aws cloudtrail lookup-events \
  --lookup-attributes AttributeKey=EventSource,AttributeValue=one.amazonaws.com \
  --query "Events[].{Time:EventTime,Name:EventName,User:Username}"