銀行グループのIT事業者向けアカウント同期保守とFIM 2010 R2からMIM 2016への移行

課題の背景

本事例の課題は、管理者を必要とし、Connectorの追加も必要で、その後は新しいバージョンへの移行も必要となった旧バージョンのユーザーアカウント同期システムです。この銀行グループのITサービスプロバイダーは、FIM 2010 R2をIdentity Managementシステム（ユーザーアカウントとアクセス権限を管理するシステム）として使用していました。このシステムは、ユーザーアカウント情報をActive Directory（Windowsが組織内のユーザーとコンピューターの認証に使用するディレクトリ）へ同期します。

ユーザーアカウント同期システムは、従業員がコンピューターや業務システムを利用する際の裏側で動いています。Active Directoryでのアカウントの作成や変更が止まると、新入社員がまだシステムにログインできない可能性があり、権限の変更も手作業に戻す必要があります。

要件と制約

本事例の業務は、各契約の要件に沿って納品する必要があり、顧客が現在使用しているシステムを対象に作業する必要があります。主な要件と制約は次のとおりです。

• 移行元システムはユーザーアカウントをActive Directoryへ同期するFIM 2010 R2で、システム移行業務の移行先はMIM 2016です。
• Active Directoryユーザーアカウント作成用Connectorは、UAT環境（本番稼働前のテスト環境）でテストする必要があります。
• 2つのフェーズの業務はいずれもシステムインテグレーター経由で受託したため、業務範囲は各フェーズの契約で定められ、各契約に独自の要件（Requirement）があります。

なぜConnectorを本番システムで使う前にUATでテストするのか

Provisioning（接続先システムにユーザーアカウントを自動で作成すること）用のConnectorは、Active Directoryへ直接データを書き込みます。そのため、本番システムから分離されたUAT環境でテストすれば、実際のユーザーのアカウントに影響を与えずにアカウント作成結果を確認できます。本事例では、2021年のConnector業務の範囲に、開発とUAT環境でのテストが明記されています。

納入物

本事例の成果物は契約に基づくサービス業務で、年別の内訳は次のとおりです。

• 2021年：FIM Synchronization Serviceに関するコンサルティング業務
• 2021年：1年契約に基づくFIM 2010 R2のシステム管理業務
• 2021年：UAT環境でテストしたActive Directoryユーザーアカウント作成用Connector（Provisioning）
• 2023年：FIM 2010 R2からMIM 2016へのシステム移行業務

FIM 2010 R2からMIM 2016への移行は、既存システムの管理業務とどう分けられているのか

システム移行は、2021年の3つの業務の後に、2023年に別業務として実施しました。2021年の業務は既存システムのFIM 2010 R2を対象とし、2023年の業務はMIM 2016へのシステム移行です。2つのフェーズはいずれも同じエンド顧客の業務で、システムインテグレーター経由で受託しました。

確認できた成果

本事例で確認できた成果は、各フェーズの契約業務のステータスです。2021年には、銀行グループのITサービスプロバイダーのFIM 2010 R2システムに関する3つの業務が、要件（Requirement）に沿った納品というステータスでした。2023年には、FIM 2010 R2からMIM 2016へのシステム移行業務が同年中に完了というステータスでした。

本事例には、移行したアカウント数やシステム停止時間などの測定数値はありません。そのため当社は、文書で確認できる業務ステータスのみを報告しています。

私たちが学んだこと

本事例の契約業務の構成は、Identity Managementシステムの管理・移行業務における3つの原則を示しています。

• この種の業務では、ユーザーアカウントを作成するConnectorは、まず分離された環境でテストすることが望まれます。ConnectorがActive Directoryへ直接データを書き込むためです。本事例のConnector業務の範囲には、UATでのテストが明記されています。
• 既存システムの管理業務とシステム移行業務は、範囲を明確に分けることが望まれます。前者は既存システムの稼働を維持し、後者はシステムのバージョンを変更するものです。本事例では、両者は別の年の別の業務項目です。
• システムインテグレーター経由で受託する業務は、契約ごとに範囲を分け、検証可能な要件（Requirement）を設けることが望まれます。本事例の2021年の業務は3つの項目に分かれ、各項目のステータスはその契約の要件に照らして示されています。

このアプローチを貴社に適用するには

貴社がまだFIM 2010 R2でユーザーアカウントをActive Directoryへ同期している場合は、MIM 2016へ移行する前に、まず既存システムを調査し、UATでConnectorをテストすることをお勧めします。貴社に合わせて調整が必要なのは、接続中のシステム一覧と移行後の業務範囲です。

• FIMに接続中の接続元と接続先のシステム一覧をまとめます。例として、LDAPディレクトリ（標準プロトコルLDAPを使用するユーザー情報の保管システム）やActive Directoryがあり、各システムで使用しているConnectorも含めます。
• 有効化の前にConnectorと同期ルールをテストするため、本番システムから分離したUAT環境を用意します。
• Active Directoryと、影響を受けるその他の接続先システムを管理するチームと共同で、システム移行の時期を決定します。
• システム移行後に誰がMIMシステムの管理を続け、どの業務までを対象とするかを明確に合意します。