認証と認可

認証と認可はどう違う?

ログインできたのに『権限がありません』と断られた経験はありませんか。入口を通ることと、その先で何をしてよいかは、別々に確かめられているのです。ビルなら、受付で身分証を見せるのが認証、通行証で入れる部屋が決まるのが認可です。

他人の申請書を開こうとすると？

AさんがURLのIDをBさんの申請書へ書き換えたとします。ログイン済みでも、Bさんの情報を読む権限はありません。サーバは本人と対象の閲覧権限を照合し、許可がなければ拒否します。

画面でボタンを隠しても、要求を直接送ることはできます。そのため認可は画面任せにせず、サーバ側で操作ごとに確かめます。

「見られる」と「承認できる」も分ける

申請システムでは、担当者は自分の申請を編集し、上司は担当範囲の申請を承認する、といった分担があります。全員に管理者権限を渡すと仕事は進めやすく見えますが、誤操作やアカウントの乗っ取りで影響する範囲も広がります。

必要な情報と操作を役割ごとに整理し、その業務に必要な最小限の権限だけを渡します。これが最小権限の原則です。異動や退職、臨時作業の終了に合わせて見直し、不要な権限を外すところまで運用に含めます。