認証は「誰であるか」を確認し、認可は「何をしてよいか」を判断します。ログインに成功したことと、すべての情報を閲覧・変更できることは別です。
認証と認可の違い
| 比較 | 認証 | 認可 |
|---|---|---|
| 英語 | Authentication | Authorization |
| 判断 | 主張された本人・主体であるか | 対象の操作を許可するか |
| 例 | パスワードや認証器でログイン | 閲覧・編集・削除の権限を確認 |
例：同じシステムでもできる操作が違う
一般社員と管理者が、それぞれ自分のアカウントでログインしたとします。本人確認は認証です。その後、一般社員は自分のデータを閲覧でき、管理者は許可された管理操作も実行できる、という判断が認可です。データの種類や所属なども権限判断の条件になります。
認証の3要素と多要素認証
| 要素 | 例 |
|---|---|
| 知識情報 | パスワード・PIN |
| 所持情報 | 認証器・ICカード・セキュリティキー |
| 生体情報 | 指紋・顔など |
多要素認証は異なる種類の要素を組み合わせます。パスワードと別のPINは、どちらも知識情報なので、それだけで二要素認証にはなりません。ワンタイムパスワードも、文字列が一度限りであることだけでは要素を分類できず、その生成・受取りの仕組みを確認します。
認証の後も認可を確認する
保護された情報を利用する場面では、一般に認証後に権限を判断します。認可はログイン時の1回だけではなく、対象データや操作へのアクセス要求ごとに必要です。一方、公開ページを匿名の利用者へ許可するなど、認証なしのアクセスを規則で認める場合もあります。「認可は必ずログイン後だけ」と限定しないでください。
SSOでもサービスごとの権限は別
SSO（シングルサインオン）は、認証を複数サービスで利用する仕組みです。認証を共有できても、すべてのサービスに同じ権限が付くわけではありません。誰に何を許可するかは、各サービスの規則で判断します。
確認問題
利用者がパスワードでログインした後、他部署の資料の閲覧を拒否されました。ログイン時の本人確認と、閲覧可否の判断はそれぞれ何でしょうか？
解答・解説を見る
本人確認は認証、資料の閲覧可否は認可です。認証の成功だけで、すべての資料へのアクセスが許されるわけではありません。
認証の基礎をnoteで復習
関連noteでは、多要素認証・二要素認証と二段階認証・パスワード攻撃を解説しています。認可との違いを理解した後は、本人確認を支える仕組みを復習できます。
ほかの教材は資格・目的別のnote教材ナビから選べます。
コメント