認証と認可の違い。「本人か」と「何をしてよいか」を分けて考える

結論

認証は「使おうとしている人が本人かどうか」を確かめること、認可は「本人と確かめた人に、何をしてよいか」を決めることです。ログインできたことと、すべての操作をしてよいことは別の話です。安全に使うには、認証を強くすることと、認可（権限）を必要な分に絞ることの両方が要ります。

二つは何が違う？

ビルの入館にたとえると分かりやすくなります。受付で社員証を見せて入館するのが認証、社員証で開けられる部屋が決まっているのが認可です。

順番は、認証が先で認可が後です。ただし、認可が認証の結果だけで決まるわけではありません。同じ人でも、担当する仕事によって許される範囲は変わります。

身近な場面で分けてみる

例えば、次のような場面です。

• ログイン：IDとパスワードを入れるのは認証です。ログイン後に経理のデータが見られるか、見られないかは認可です。
• 2段階認証：パスワードのあとに確認コードを入れるのは、認証を強くするための仕組みです。権限が広がるわけではありません。
• 共有リンク：「リンクを知っている人は閲覧可」のような設定は、サービスによっては、ログインなしで閲覧を許すことがあります。認証を省いて認可だけを渡している状態に近いので、渡す相手と期限を確かめます。
• アプリへの許可：「このアプリにカレンダーの閲覧を許可しますか」という確認画面は、主に認可の話です。許した範囲と、あとで取り消せるかを見ます。

認証を強くする：多要素認証

総務省の「国民のためのサイバーセキュリティサイト」は、多要素認証を、認証の3要素である知識情報・所持情報・生体情報のうち2つ以上を組み合わせて認証すること、と説明しています。パスワード（知っているもの）に、スマートフォンに届くコード（持っているもの）を足す、といった形です。同じページでは、利用するシステムで設定できる場合は積極的に利用するよう勧めています。

設定の名前や手順はサービスごとに違います。使っているサービスのヘルプで確かめてください。

認可を見直す：権限は必要な分だけ

同じサイトの「アクセス制御・管理」のページは、すべての利用者にすべての権限を与えるのではなく、必要な人に必要最低限のアクセスを許可することが大切だとしています。人事異動や退職のたびに見直し、定期的に棚卸しをすることも挙げています。

認証をどれだけ強くしても、ログインした人が何でもできる設定のままでは、乗っ取られたときの被害は広くなります。逆に権限を絞っていても、パスワードだけの弱い認証では入口が守れません。二つは役割の違う対策です。役割ごとの権限の分け方は、関連記事の「最小権限」の記事で詳しく説明しています。

まとめ