認可とは
ここでは、ユーザーに対してシステムやデータにアクセスする権限を与えることを指す。
認可は、認証が行われた上で、認証されたユーザーに対して、システムやデータの特定の機能にアクセスする権限を与えることで実現される。
認可で主に利用される方式
認可は、各ユーザーに対して細かく設定される場合が多い。
セキュリティのアクセス制御において認可を管理するために、主にロールベースアクセス制御（RBAC）や属性ベースアクセス制御（ABAC）といった方式が利用される。
これらの方式は、ユーザーに付与する認可を役割や属性に基づいて管理することで、柔軟なアクセス制御を実現している。
（参考：アクセス制御/用語集）
ロールベースアクセス制御（RBAC）
ロールベースアクセス制御（RBAC）は、ユーザーをグループに分けて、グループごとにアクセス権限を設定する方法である。グループには、組織内の部署や業務内容などに基づいた役割（ロール）が設定される。管理者は、各ロールに必要な権限を設定し、ユーザーはロールに割り当てられた権限を受け継ぐ。これにより、権限管理が効率的に行え、維持管理が容易になる。
属性ベースアクセス制御（ABAC）
属性ベースアクセス制御（ABAC）は、ユーザーやデータに関する属性（属性値）に基づいてアクセス権限を設定する方法である。属性は、ユーザーの職務や所属する組織、データの機密性などを表す。管理者は、各属性に必要な権限を設定し、ユーザーが持つ属性値に基づいてアクセス権限を付与する。これにより、柔軟な権限管理が可能になり、アクセス権限の付与が容易になる。
どちらの方式も、セキュリティのアクセス制御において柔軟な権限管理を実現し、情報漏えいや不正アクセスを防止するための重要な役割を担っている。ただし、認可の設定においては、ユーザーや属性の定義が正確であることや、セキュリティポリシーの適切な設計が必要であることに注意が必要である。
認可の管理
認可の管理には、セキュリティポリシーの策定や、アクセス制御リスト（ACL）やポリシーの作成が必要である。
セキュリティポリシーの策定
セキュリティポリシーとは、情報セキュリティを確保するために定められた規則のことで、セキュリティに関する方針や目的、運用方法、管理責任などが記載される。セキュリティポリシーを策定することにより、セキュリティに対する意識が統一され、アクセス制御の設計や実施が容易になる。
（参考：セキュリティポリシー/用語集）
アクセス制御リスト
アクセス制御リスト（ACL）とは、ネットワーク上のシステムやデータに対するアクセス権限を制御するためのリストのこと。ACLには、各ユーザーに付与される権限や、認可されるアクセスの範囲、禁止されるアクセスの範囲などが記載される。ACLは、ファイアウォールなどのネットワーク機器に設定されることが多く、不正アクセスや攻撃からシステムやデータを保護するために必要な要素の一つである。
（参考：アクセス制御リスト（ACL）/用語集）
（参考：ファイアウォール/用語集）
ポリシーの作成
ポリシーとは、ある目的や方針に基づいて定められたルールや手順のこと。アクセス制御においては、認可されるアクセス範囲や、アクセス時に必要な認証方式、アクセス制御リストの設定方法などを定めたポリシーが作成される。ポリシーに基づき、ユーザーのアクセス権限が設定されるため、正確かつ適切なポリシーの作成が、アクセス制御の実施において非常に重要である。
これらは、機密性の高いデータやシステムにアクセスするために必要な認可の範囲を明確にするために使用される。許可は、企業や組織の情報セキュリティにおいて、不正アクセスや攻撃からシステムやデータを保護するために欠かせない重要な要素の一つである。