RBACとは

詳細な図解

RBACを読むときの前提

RBAC（Role-Based Access Control）は、役割ごとに権限をまとめ、利用者やグループへ割り当てるアクセス制御です。クラウド、SaaS、社内システム、管理画面で使われます。

実務では、職務、ロール、権限、グループ、継承、職務分掌、最小権限、例外、期限、承認、棚卸し、監査ログを確認します。

証跡には、ロール一覧、権限内容、割当対象、付与理由、承認者、期限、利用実績、例外、変更履歴、レビュー結果を残します。

職務からロールを作る

RBACでは、個人ごとに権限を積み上げるのではなく、業務上の役割からロールを設計します。営業、運用、監査、管理者などの職務と操作を対応付けます。

ロールが粗すぎると過剰権限になり、細かすぎると運用できません。標準ロールと例外ロールを分けて管理します。

• 職務と操作を対応付ける。
• 標準ロールを優先する。
• 例外ロールを少なくする。

職務分掌と過剰権限を見る

同じ利用者が申請、承認、実行、監査をすべてできると、不正や誤操作に気づきにくくなります。RBACでは職務分掌も確認します。

管理者ロール、所有者ロール、全件閲覧、削除、エクスポートは強い権限です。必要な期間と対象だけに絞ります。

• 強権限ロールを抽出する。
• 申請者と承認者を分ける。
• 一時権限に期限を付ける。

棚卸しで実態に合わせる

組織変更や異動があると、割り当てたロールが実態とずれます。定期的に利用実績、最終ログイン、所属、承認者を確認します。

使われていない権限、退職者、長期休職者、委託終了者、期限切れ例外を削除します。削除前に業務影響を確認します。

• 利用実績を確認する。
• 不要ロールを削除する。
• 削除前後の影響を記録する。

変更証跡と引き継ぎ

RBAC変更は、業務停止と情報漏えいの両方に影響します。権限追加は理由と期限を残し、権限削除は影響確認を残します。

引き継ぎでは、システム所有者、権限承認者、監査担当、関連語としてIAM、認可、棚卸し、権限継承を残すと確認しやすくなります。

• ロール変更理由を残す。
• 承認者を記録する。
• レビュー結果を保管する。

関連語

同じ主要カテゴリの用語

セキュリティ・認証の学習順

同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。

InfraEngKit内の関連機能