非人間ID（NHI）とは？AI・アプリの身元管理と注意点を解説

会社のシステムでは、人間だけでなくアプリやAIも別のサービスへアクセスします。その「誰として動くか」を管理するのが非人間IDです。

30秒で説明

非人間ID（NHI: Non-Human Identity）は、アプリケーション、サービスアカウント、クラウド上の処理、端末、AIエージェントなど、人間ではない主体をシステム上で識別するためのIDの総称です。

IDは「どの主体か」を識別し、APIキー、証明書、トークンなどの認証情報は「その主体であること」を証明します。さらにアクセス権限が「何をしてよいか」を決めます。三つは連携しますが同じものではなく、放置されたID、漏れた認証情報、強すぎる権限はいずれも不正アクセスの入口になります。

3分で詳しく

どんなものがNHI？

• Webアプリがデータベースへ接続するサービスアカウント
• クラウド上の処理へ与えるワークロードID
• IoT機器や管理対象端末のID
• 自動化ツールやCI/CDの実行主体
• 外部サービスを操作するAIエージェントのID

Microsoftはworkload identityとdevice identityを機械・非人間のIDとして説明しています。AWSではIAMロールや一時的な認証情報で、ワークロードに必要な権限を与えます。

ID・認証情報・アクセス権限の違い

要素	役割	例
ID	主体を識別する	サービスアカウント、ワークロードID
認証情報	IDを証明する	APIキー、証明書、トークン
アクセス権限	できる操作を決める	読み取り、送信、管理

APIキーは認証情報の一例であり、非人間IDそのものではありません。「APIキー＝非人間ID」と単純化すると、どの主体のキーか、どの権限があるか、いつ失効するかを見落とします。

AIエージェントで重要になる理由

AIエージェントがメール、コード、社内データへアクセスする場合、エージェントごとの身元と権限が必要です。人のアカウントを共有させると、操作主体や責任範囲が分かりにくくなります。

シャドーAI対策でも、未管理のツールだけでなく、作られたIDやトークンを把握することが重要です。

管理の基本

• 必要最小限の権限を与える
• 長期間変わらないキーより一時的な認証情報を使う
• 所有者と利用目的を記録する
• 使用状況を監視し、異常な操作を検知する
• アプリ終了時にIDを無効化し、認証情報を失効させる
• 人間用と機械用のIDを分ける

漏れた認証情報や強すぎる権限が実際の被害へどうつながるかは、不正アクセス・情報漏洩・ランサムウェアの関係を整理したコラムも参考になります。

よくある誤解

NHIはデジタル身分証？

人間向けの公的なデジタルIDではありません。ITシステム内で、機械やソフトウェアの主体を管理する文脈の言葉です。

パスキーで管理できますか？

パスキーは主に人がサービスへログインするための認証方式です。機械同士では証明書、トークン、ワークロードIDなど別の方式が使われます。

AIだけの新語？

サービスアカウントやマシンIDは以前からあります。AIエージェントの増加により、まとめて管理する課題が注目されています。

ひとことで振り返る

非人間IDは、アプリやAIを「誰として、何を許すか」で管理する仕組みです。

参考資料

1. OWASP, Non-Human Identities Top 10, 更新状況: 2026年版, 対象: NHIのリスク分類, 確認日: 2026年10月8日
2. Microsoft Learn, What are workload identities?, 更新状況: 2026年版, 対象: workload・device identityの定義, 確認日: 2026年10月8日
3. Microsoft Learn, Conditional Access for workload identities, 更新状況: 2026年版, 対象: ポリシーと監視, 確認日: 2026年10月8日
4. AWS, IAM roles, 更新状況: 2026年版, 対象: ロールと一時的認証情報, 確認日: 2026年10月8日
5. AWS, Machine-to-machine identity management, 更新状況: 2026年版, 対象: 機械間のID管理, 確認日: 2026年10月8日
6. AWS, Understanding agent identities, 更新状況: 2026年版, 対象: AIエージェントのワークロードID, 確認日: 2026年10月8日