承認とは？

認可とは、リソースにアクセスする権利をユーザーに付与するか付与しないかを決定するプロセスです。認可は、あらかじめ定義されたルールとポリシーに従って処理されます。これらのルールは、通常、アクセス制御システムによって管理され、組織のコンプライアンス要件に基づいて権限が確立されます。ユーザーがリソースへのアクセスを試みる際、認可システムがアクセスを許可する前にユーザーの権限と組織が定義したポリシーを審査します。

認可と認証の違い

認証は、ユーザーが本人であることを確認するプロセスです。一方、認可は、リソースへのアクセス付与のプロセスであり、ユーザーがそれらのリソースを使用して実行できるアクションに関係します。ユーザーが自分の認証情報を使用して認証された後、システムは認可プロセスを実行します。

認可と認証は連携して機能し、組織のセキュリティと整合性を維持しながら、ユーザーが必要なリソースにアクセスできるようにします。

認可の重要性

強力な認可プロセスがなければ、組織のガバナンスは貧弱なものになります。その結果、メンバーのアクティビティに対する可視性と制御が欠如することになり、不正アクセスのリスクが高まります。認可がこのような懸念にどのように対処できるのでしょうか。

最小権限の原則 (PoLP) に従う: 最小権限の原則とは、サイバーセキュリティの概念で、ユーザーが業務を遂行するために必要なリソースにのみアクセスを付与することを指します。この原則に従うと、組織の攻撃対象領域が減少するため、特権に対するセキュリティと制御が強化されます。認可により最低限のアクセス権を付与することで不正アクセスが制限されるため、この原則が堅持されることになります。
一元的なアクセスコントロール: 認可により、1箇所でユーザーのアクセス権限の定義、管理、更新が可能となります。これにより、特定のアクセス権限が各ユーザーやロールに応じて適用されるようにします。

認可モデルの種類

以下は、組織がリソースへのアクセスを確保するために使用する5種類の認可モデルとなります。

役割 (ロール) に基づくアクセス制御 (RBAC)

ロールに基づくベースのアクセス制御では、組織内のユーザーの役割と職務に基づいてアクセス権を設定します。例えば、権限レベルが低いメンバーは、特権ユーザーがアクセスできる機密性の高い情報やシステムにアクセスすることはできません。ユーザーがリソースにアクセスしようとすると、システムがユーザーの役割を調べ、そのリソースがユーザーの職務に関連しているかどうかを判断します。

関係性に基づくアクセス制御 (ReBAC)

関係性に基づくアクセス制御では、ユーザーとリソースとの関係に重点を置きます。Googleドライブを例に考えてみます。ドキュメントの所有者はそのドキュメントを閲覧、編集、共有する権限を持っています。同じチームのメンバーの中には、ドキュメントを閲覧する権限のみが与えられている人もいれば、ドキュメントを閲覧および編集する権限が与えられている人もいる場合があります。

属性に基づくアクセス制御 (ABAC)

属性に基づくアクセス制御では、ユーザーに関連する属性を評価し、リソースへのアクセスを付与するかどうかが判断されます。この認可モデルでは、対象、リソース、アクション、環境が考慮されるため、よりきめ細かいアクセス制御方式となります。属性に基づくアクセス制御では、これらの特性に関連する特定のリソースへのアクセスが付与されます。

裁量アクセス制御 (DAC)

裁量アクセス制御では、リソースの所有者がリソースをどのように共有するかを決定する責任を負います。例えば、あるユーザーが特定のドキュメントへのアクセスを希望しているとします。最終的にはそのユーザーにアクセス権を付与するかどうかは、ドキュメントの所有者の裁量に任されます。リソースの所有者が特定のユーザーにより高い特権を与える場合もあります。これらの特権には他のユーザーのアクセス権を管理したり変更する権限が含まれている場合があります。

強制アクセス制御 (MAC)

強制アクセス制御では、リソースの機密性やユーザーのセキュリティレベルに基づいてアクセス権を管理します。ユーザーがリソースへのアクセスしようとすると、システムはユーザーのセキュリティレベルとリソースのセキュリティ分類を比較します。ユーザーのセキュリティレベルがリソースの分類と同等またはそれを上回る場合、ユーザーにアクセスが付与されます。強制アクセス制御は、主に最高レベルのセキュリティが求められる政府機関や軍事機関で使用されています。