CyberGlossary

ID とアクセス

認可

別称: AuthZ, アクセス制御

定義

認証済みの ID が、どのリソースに対してどの操作を、どの条件下で実行できるかを判断するプロセス。

認可 (AuthZ) は認証の次の段階で、ユーザー・サービス・端末が身元を証明した後、その ID が特定のリソースに対して要求された操作を行えるかを判断します。判定は、ロール (RBAC)、属性とポリシー (ABAC)、機密区分 (MAC)、所有者の裁量 (DAC) などに基づき、ポリシーエンジンが主体・リソース・操作・コンテキストを評価して実施します。現代のシステムでは OAuth 2.0 のスコープ、OpenID Connect のクレーム、XACML、Rego/OPA などでポリシーを外部化することが一般的です。認可の不備や過剰権限は侵害の主因の一つで、IDOR・権限昇格・confused deputy などの形で現れます。

例

  • サポート担当に顧客チケットへの読み取り権限のみを付与し、請求情報は不可とする。
  • 「orders:read」のような限定スコープを持つ OAuth 2.0 アクセストークンを発行する。

関連用語