認可とは

詳細な図解

認可を読むときの前提

認可は、認証済みの主体にどの操作やデータアクセスを許すかを決める仕組みです。API権限、管理画面、クラウドIAM、SaaSロール、データ閲覧制御で使われます。

実務では、利用者、ロール、グループ、scope、policy、対象リソース、操作種別、条件、継承、例外権限、監査ログを確認します。

証跡には、権限設計、付与理由、承認者、対象範囲、期限、利用ログ、権限変更履歴、棚卸し結果、退職や異動時の剥奪手順を残します。

認証済みでも許可済みとは限らない

認可は、ログイン後に発生する判断です。利用者が本人であることを確認できても、管理者操作、削除、エクスポート、本番データ閲覧を許すかは別に決めます。

APIでは、access tokenのscope、audience、role、resource ownerを見て、操作ごとに許可します。画面表示だけでAPI権限を決めないことが重要です。

• 操作単位で権限を分ける。
• scopeやroleの意味を確認する。
• API側で再評価する。

最小権限と継承を見える化する

権限はグループ、ロール、ポリシー、上位組織から継承されることがあります。利用者本人に直接付与されていなくても、間接的に強い権限を持つ場合があります。

最小権限では、必要な対象、操作、期間だけを許可します。一時権限、緊急権限、例外権限は期限と承認を明確にします。

• 直接権限と継承権限を分ける。
• 一時権限に期限を付ける。
• 強権限グループを棚卸しする。

拒否ログと監査ログを見る

認可トラブルは、ログイン成功後の403、操作ボタン非表示、APIのinsufficient_scope、クラウドIAMのAccessDeniedとして現れます。

調査では、誰が、どの対象へ、どの操作を、どの条件で拒否されたかを残します。拒否ログがないと、利用者申告だけで権限を広げる危険があります。

• 403やAccessDeniedの詳細を保存する。
• 対象リソースと操作名を確認する。
• 付与前に既存権限を棚卸しする。

変更証跡と引き継ぎ

認可変更は、業務効率と情報漏えいリスクの両方に関係します。権限追加は理由、期限、承認者、対象範囲を残し、削除は業務影響を確認します。

引き継ぎでは、システム所有者、権限承認者、監査担当、関連語として認証、OAuth、RBAC、最小権限を残すと確認しやすくなります。

• 権限付与理由を記録する。
• 期限付き権限をレビューする。
• 棚卸し結果を証跡化する。

関連語

同じ主要カテゴリの用語

セキュリティ・認証の学習順

同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。

InfraEngKit内の関連機能