情報セキュリティにおける認可（AuthZ）とは？仕組みと認証との違いを解説

認可（オーソライゼーション）とは

認可（Authorization、略称：AuthZ）とは、特定のユーザーに対して何らかの操作やリソースへのアクセスを許可する手続きのことです。システムはこのプロセスを通じて、ユーザーが目的のリソースにアクセスする権限を持っているかどうかを判断し、どのデータや情報にアクセスできるのかを制御します。

認証との関係

認可は一般的に「認証（Authentication）」と連携して機能します。認証によって「誰が」システムにアクセスしているのかが確認され、その後の認可プロセスで「何ができるのか」が決定されます。つまり、認可とは、ユーザーやクライアントが持つ権限やアクセスレベルを、コンピュータプログラム、ファイル、サービス、データ、アプリケーション機能などのシステムリソースに関連付けて判断するためのセキュリティ機構です。

通常、認可は顧客の身元確認である認証の後に実行されます。また、システム管理者（SA）には、一部のシステムリソースや顧客リソースを対象とする権限レベルが割り当てられるのが一般的です。

認可の仕組み

認可のプロセスでは、システムが認証済みユーザーのアクセスルールをチェックし、リソースへのアクセスを許可または拒否します。現代のマルチユーザー対応オペレーティングシステムは、効率的に設計された認可プロセスに基づいており、アプリケーションの展開と管理を支えています。

認可設計の重要な要素

認可の設計においては、ユーザーの種類や数、検証が必要な資格情報、関連する操作や役割といった要素が重要になります。例えば、ロールベース（役割ベース）の認可では、特定のリソース追跡権限を必要とするユーザーグループごとに権限を割り当てることができます。

エンタープライズ認証基盤との統合

さらに、認可はActive Directory（AD）のような企業向け認証基盤と連携することで、セキュリティポリシーをシームレスに統合できます。例えば、ASP.NETはInternet Information Server（IIS）やMicrosoft Windowsと連携し、インターネットベースの.NETアプリケーションに対して認証・認可サービスを提供します。

Windowsでは、New Technology File System（NTFS）がAccess Control List（ACL、アクセス制御リスト）をサポートしており、リソースごとのアクセス権限を管理します。ACLはリソースアクセスに関する最終的な決定権限を持ちます。一方、.NET Frameworkは、認可をサポートするための代替手段として、ロールベースのセキュリティ方式を提供しています。

ロールベースセキュリティ

ロールベースセキュリティは動的なアプローチであり、サーバーアプリケーションに適しています。コードアクセスセキュリティのチェックと同様に、承認されたアプリケーションユーザーが役割に基づいて判定されます。

認可ポリシーの具体例

認可ポリシーとは、そのID（アイデンティティ）に何が許可されているかを定義したものです。例えば、銀行の顧客であれば誰でもID（ユーザー名など）を作成してオンラインバンキングサービスにログインできますが、銀行の認可ポリシーは、本人確認が完了した後に、そのユーザー自身の口座のみへアクセスできるよう保証しなければなりません。

より細かい粒度での認可

認可は、ウェブサイトや社内イントラネット単位にとどまらず、さらに細かいレベルで適用することが可能です。個々のIDは、共通の認可ポリシーを共有するID群の一部として管理されることもあります。

例えば、顧客の購入履歴と、顧客の個人情報およびクレジットカード情報の両方を含むデータベースを考えてみましょう。

ある販売業者は、このデータベースに対して認可ポリシーを作成し、マーケティングチームにはすべての顧客の購入履チームにはすべての顧客の購入履歴へのアクセスを許可する一方で、個人情報やクレジットカード情報へのアクセスは禁止することができます。これにより、マーケティングチームは人気商品を特定し、販売促進やセール対象の選定を適切に行うことが可能になります。