SKYPCEの​「連携用API」の​ご紹介(2) ~​「複数APIキー発行」​~

前回までの​内容

SKYPCEのAPI連携の紹介記事です。
前回までの内容はこちらです。

はじめに

SKYPCEのAPI連携は、SFA/CRMとのデータ同期など、日々の業務を自動化する強力なツールです。
しかし、その「APIキー」は、通常のID・パスワードとは危険性のレベルが異なります。
ID・パスワードでのログインは、人間が画面を操作するため、一度に扱える情報量に限りがあります。
一方、APIはシステムがシステムを直接操作するためのものです。
APIキーがひとつ漏洩するだけで、悪意のあるプログラムによって、数分で数万件の顧客情報が抜き取られるといった事態も起こり得ます。

本記事では、セキュリティ上重要な設定である、複数APIキー発行について紹介いたします。

複数APIキー発行に​ついて

もし、連携するシステムが複数ある場合、「すべてのシステムで同じAPIキーを使い回す」のは非常に危険です。
SKYPCEでは、「連携システムごとに専用のAPIキー」を発行し、それぞれに異なる役割を与えるというセキュリティ運用が可能です。

APIキーを分けるのは管理が少し面倒に思えるかもしれませんが、システムごとにAPIキーを分けることで、具体的に3つの大きなメリットが生まれます。

メリット1：リスクの​限定

万が一、とあるシステムからAPIキーが漏洩したとしても、無効化するのはそのシステムに割り当てられたAPIキーだけで済みます。
他のシステムとの連携は、影響を受けることなく継続できます。

メリット2：原因の​特定

アクセスログに不審な動きがあった際、どのAPIキーでの操作かが分かれば、即座に「どの連携システムが原因か」を特定できます。

メリット3：【最重要】​「最小権限の​原則」に​よる​被害の​最小化

発行するAPIキーの一つひとつに、専用の「連携用ユーザー」を割り当てることができます。
この「連携用ユーザー」には、通常のSKYPCEユーザーと同じように、権限区分（参照のみ、編集可能など）や、データの公開（参照）範囲を細かく設定できます。
連携するシステムごとに、必要なデータの種類や操作は異なるはずです。

• SFA連携用ユーザー：全社の名刺データを参照できる
• MAツール連携用ユーザー：マーケティング部の名刺データのみ参照できる
• 分析ツール用ユーザー：個人情報を除いた統計データのみ参照できる

このように、連携システムごとに「必要最小限の権限」だけを持つユーザーを割り当てることを 「最小権限の原則」 と呼びます。
この原則を徹底することで、万が一APIキーが漏洩したり、連携先システムの不具合で意図しない操作が実行されたりしても、被害を未然に防ぐ、あるいは最小限に食い止めることが可能です。

このように、システムごとに必要最低限の権限だけを与えたユーザーを割り当てることで、万が一APIキーが流出したり、連携先システムの不具合で意図しない操作が実行されそうになったりしても、被害を未然に防いだり、最小化したりすることが可能です。

まとめ

本記事では、APIキーを複数発行し、それぞれに専用のユーザー権限を割り当てることの重要性をご紹介しました。

• システムごとに専用キーを発行し、リスクを分散する
• 連携用ユーザーの権限設定で、被害を最小化する

この2つを実践するだけで、API連携のセキュリティは飛躍的に向上します。
APIキーの発行もユーザーを作成・設定するだけで簡単に発行することが可能です。
SKYPCEに標準で備わっているこれらの機能を、ぜひご活用ください。