NHI（非人間アイデンティティ） とは？

Non-Human Identity、つまり人以外のデジタル上の身元だよ。サービスアカウントやアプリのIDが例になる。APIキーやOAuthトークンなどの認証情報も、NHIの管理で扱うことがあるけれど、IDとそれを利用するための証明は分けて考えると分かりやすいんだ。

例えばバックエンドがデータベースへ接続したり、AIエージェントが外部APIを呼んだりするとき、アクセスする主体を識別し、許される操作を判断するために使うよ。実際の権限はサービス側が検証するので、自分で権限を名乗れば通るわけではないんだ。

パスワードは認証情報の一種で、IDとは別だよ。機械用のIDも鍵や証明書、短期間のトークンなどを使う。人間用でも管理は必要で、機械用だけが必ず危険ということではない。誰が管理するIDか、何の権限が必要か、不要になったら止めるかを確認するんだ。

自動化やクラウド、AIエージェントが使うIDと認証情報を把握し、管理する必要があるからだよ。数は企業や構成によって違い、必ず人間の何十倍とは言えない。エージェントとIDも必ず1対1ではなく、どの主体として何にアクセスするかを設計するんだ。

使える鍵が漏れると、そのIDの権限でアクセスされるおそれがあるよ。不要なIDや鍵を停止し、必要最小限の権限と利用記録を確認する。対応する環境では短期間の認証情報を使い、長期間の鍵には更新や安全な保管が必要。期限切れで無効になった鍵は、そのまま使えるわけではないんだ。