認証とアクセス制御

イントロ

認証と認可、識別と権限を比較する

認証は本人かを確認すること、認可はその人に何を許すかを決めることで、アクセス制御は権限に基づいて利用を制限する。ログイン、権限、本人確認は多くのITサービスで使われ、認証と認可の混同が多いからです。

定義

教科書では: 認証は本人かを確認すること、認可はその人に何を許すかを決めることで、アクセス制御は権限に基づいて利用を制限する。
言いかえると: 認証は本人かを確認すること、認可はその人に何を許すかを決めることで、アクセス制御は権限に基づいて利用を制限する。ここでは認証、認可、ID、パスワード、多要素認証、生体認証、アクセス制御、最小権限を扱います。認証プロトコル詳細、ID基盤設計、権限設計実務までは追わず、認証と認可を分けます。仕事で見かけたときは、認証の目的を先に言えるか確認します。

比較

見る点	押さえる内容	注意する混同
目的	認証の目的と役割を見る	用語名だけで選ばない
判断軸	「誰か確認する」なら認証、「何を許すか」なら認可を見る	ログインできれば、すべてのデータを見られると思う
範囲	認証、認可、ID、パスワード、多要素認証、生体認証、アクセス制御	認証プロトコル詳細、ID基盤設計、権限設計実務

見る点目的

見る点判断軸

見る点範囲

認証とアクセス制御は、似た用語を丸暗記するより、目的・対象・判断軸を分けると理解しやすくなります。

例

場面: 社員IDとMFAで本人確認し、経理部だけが支払データを見られる例
順に考えると: この場面では、まず認証が何を助けるかを確認します。次に認可との違いを見て、「誰か確認する」なら認証、「何を許すか」なら認可を見る。認証プロトコル詳細、ID基盤設計、権限設計実務までは追わず、役割を一文で説明できれば十分です。この確認をすると、似た用語が並んだ問題でも目的から選びやすくなります。
ここが結論: 認証と認可を分けると、「誰か確認する」なら認証、「何を許すか」なら認可を見る。

注意

確認

Q1

認証とアクセス制御で最も大切な見方はどれですか。

まとめ

暗号化は内容を読めない形にし、電子署名は改ざん検知や本人性の確認に使われ、PKIは公開鍵と本人を結び付ける仕組みである。