認証と認可を定義する

  • 12 分

デジタル リソースへのアクセスをセキュリティで保護するには、アクセスを要求しているユーザーを確認してから、そのユーザー、デバイス、またはアプリケーションが許可される内容を決定するという、2 つの異なる関連プロセスが必要です。 これら 2 つのプロセス (認証 と 承認) は、ID とアクセスの管理の基礎となります。 最新の組織のすべてのアクセスの決定は両方に依存するため、それらの違いを理解することが不可欠です。

認証と承認の詳細については、次のビデオをご覧ください。

認証

認証 とは、自分が自分であると言うユーザーであることを証明するプロセスです。 アプリケーションにサインインしたり、電話のロックを解除したり、会社のシステムにアクセスしたりするたびに、認証が行われます。 システムでは、ID の証明を提供し、その証明を検証してから、アクセスを許可するかどうかを決定する必要があります。 認証は質問に答えます: あなたは誰ですか?

認証には 資格情報 (ID を検証する証拠) が必要です。 ユーザー名だけでは ID は証明されません。他のユーザーが知ったり推測したりすることはできます。 パスワードを追加すると、基本的なレベルの検証が提供されますが、パスワードは盗まれたり、推測されたり、フィッシングされたりする可能性があります。パスワードは、自分で最も脆弱な認証形式の 1 つです。 生体認証や物理デバイスなど、より強力な要素を追加すると、信頼度が大幅に高くなります。

認証方法は、 認証要素と呼ばれる 3 つの種類の証明に基づいて構築されています。

  • **あなたが知っているもの - パスワード、PIN、またはセキュリティの質問
  • 持っているもの—モバイルデバイス、ハードウェアセキュリティキー、またはスマートカード
  • **あなたが何か— 指紋や顔のスキャンのような生体認証特性

1 つの要素 (パスワードのみなど) のみを使用することは、 単一要素認証と呼ばれます。 単一要素認証は一般的ですが、脆弱です。 その 1 つの要素が侵害された場合 (たとえば、フィッシング詐欺によってパスワードが盗まれた場合)、攻撃者はユーザーを偽装するために必要なすべてのものを持っています。

多要素認証 (MFA) は 、異なるカテゴリの 2 つ以上の要素を必要とすることで認証を強化します。 たとえば、パスワードを使用してサインインし (知っているもの)、電話で通知を承認します (持っているもの)。 攻撃者は複数の独立した資格情報を侵害する必要があるため、MFA によってアカウントの引き継ぎのリスクが大幅に軽減されます。

システムが資格情報を評価した後、認証は成功または失敗します。 認証が成功すると、ID が確認され、プロセスを続行できます。 失敗した認証では、リソースが公開される前にアクセスが拒否されます。 ただし、認証だけでは何ができるかが決まらないので、自分が誰であるかを確認するだけです。 ここで承認が行われます。

認可

承認 とは、認証された ID で許可される処理を決定するプロセスです。 認証によって ID が確認されると、承認によってアクセス許可が評価され、特定のリソース (アプリケーション、ファイル、データ、またはシステム機能) へのアクセスを許可するか拒否するかを決定します。 承認は質問に答えます: あなたは何をすることが許可されていますか?

承認の決定は、通常、ロール (従業員、マネージャー、管理者など)、アクセス許可 (読み取り、書き込み、または削除)、属性 (部門、場所、または職務) に基づいています。 システムは、アクセス要求ごとにこれらの規則を評価し、それに応じてアクセスを許可または制限します。

主要な承認の概念は 、最小限の特権の原則です。ユーザーは、ジョブを実行するために必要な最小限のアクセス権のみを持つ必要があり、それ以上は必要ありません。 アクセスを制限することで、侵害されたアカウントによる潜在的な損害を軽減し、偶発的なデータ損失のリスクを最小限に抑え、組織がセキュリティとコンプライアンスの要件を満たすのに役立ちます。

認証と承認の連携のしくみ

認証と承認は個別のプロセスですが、リソースを保護するために連携します。 これらは常に特定の順序で行われます。認証は最初に行われ、サインイン時に行われ、自分が誰であるかを確立します。 承認は認証後に行われ、アクセスできる内容が決まります。

ホテルにチェックインするのと同じように考えてください。 フロントで ID を提示すると、受付担当者が自分の認証を確認します。 その後、あなたの客室とフィットネスセンターを開けるキーカードが渡されますが、他のゲストの部屋やスタッフエリアには入れません。これが認可されたアクセスです。

承認は、認証が成功した後にのみ行うことができます。 最初に自分の身元を確認しないと、誰かが何を許可されているかを判断することはできません。 また、アクセス許可を確認せずに ID のみを確認すると、リソースが公開されます。 認証と承認を組み合わせることで、適切な ID が適切なアクセス権を取得し、それ以上アクセスできないようにします。