アクセス制御と最小権限を理解する

アクセス制御は、誰が、どの情報や機能に、何をしてよいかを決める仕組みです。業務に必要な権限を与える一方、不要な閲覧・更新・削除を防ぎます。本人確認の後にも操作ごとの判断が必要です。

この単元で学ぶこと

何を許可するかアクセス制御は主体、資源、操作、必要なら時刻などの条件で考えます。主体は人や自動処理、資源は文書・データベース・機能など、操作は閲覧・追加・更新・削除などです。認証は主体を確かめ、認可はその要求を許すか判断します。

最小権限担当業務に必要な範囲だけを許可します。会計データを読むだけの人に削除まで渡すと、誤操作やアカウント侵害時の影響が広がります。最小とは何もできない状態ではなく、業務に必要な操作を把握して過不足なく限定することです。

役割へまとめる RBACでは閲覧担当、編集担当、承認担当などの役割へ権限をまとめ、利用者へ割り当てます。人ごとにばらばらな設定を増やす負担を減らせますが、一人が多すぎる役割を持つと過剰権限になります。異動時には旧役割が不要かを確認します。

資源と属性の条件アクセス制御リストは資源に対する主体と操作の対応を列挙する考え方です。属性を利用するABACでは、所属、文書の区分、端末状態などの条件から判断します。役割も属性として扱えるため現実の方式は組み合わせられます。名前を暗記するだけでなく、何を条件としているかを読みます。

既定で拒否する許可の根拠がない要求は拒否し、必要な操作を確認して許可します。設定を忘れた対象が無条件に公開されることを減らせます。ただし業務が止まらないよう必要な権限を事前に設計し、許可と拒否の双方を試験します。

職務を分離する申請と承認、操作と監査などを分け、一人で不正や誤りを完結しにくくします。役割名を二つ作っても同じ人が両方使えるなら分離の効果は弱くなります。共謀や権限の誤設定までは自動で防げないため、記録と確認も組み合わせます。

権限のライフサイクル採用・担当変更・委託開始に合わせて申請と承認に基づき付与し、異動・退職・契約終了に合わせて変更や失効を行います。期間限定の作業には期限を付けます。過去に承認された権限も、定期的に現在の業務と照合する棚卸しが必要です。

実効権限と証跡個別設定、所属グループ、継承などを合わせた実効権限を確認します。利用者IDを個別にし、操作ログを記録・保護すると追跡しやすくなります。ただしログを取るだけでは不適切な操作を拒否できません。画面表示だけでなく、実処理を行うサーバー側でも毎回必要な権限を検証します。

教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。

確認問題の出題・採点や学習履歴の保存にはログインが必要です。