Authentication vs. Authorization（認証 vs. 承認）

要約

認証と認可は、アイデンティティおよびアクセス管理（IAM）における、それぞれ独立しつつも相互に補完し合う2つの柱です。認証は、パスワード、生体認証、ワンタイムPINなどを用いてユーザーの本人確認を行うのに対し、認可は、認証されたユーザーに許可されている操作を決定します。これらが連携することで、組織のリソースを保護し、システム全体で役割に応じた安全なアクセスを可能にします。

認証とは？

認証とは、ユーザーが本人の主張どおりの人物であることを検証する行為です。これは、セキュリティプロセスの最初のステップです。

次のいずれかの方法で認証プロセスを完了します:

• パスワードユーザー名とパスワードは、最も一般的な 認証要素 です。ユーザーが正しいデータを入力すると、システムはそのアイデンティティが有効であるとみなし、アクセス権を付与します。
• ワンタイムPIN. 1つのセッションまたはトランザクションに対してのみアクセス権を付与します。
• 認証アプリアクセス権を付与するサードパーティ経由でセキュリティコードを生成します。
• バイオメトリクス。ユーザーは、指紋または網膜スキャンを使用して認証、システムにアクセスします。

システムによっては、アクセス権を付与する前に、複数の要素の検証を完了する必要があります。多くの場合、パスワード単体の機能を超えてセキュリティを強化するために、この多要素認証（MFA）要件がデプロイされます。

承認とは？

システムセキュリティにおける認可とは、特定のresourceまたは機能へのアクセス許可をユーザーに与えるプロセスです。この用語は、アクセス制御やクライアント特権と同じ意味でしばしば使用されます。

サーバー上の特定のファイルをダウンロードする許可を誰かに与えたり、個々のユーザーにアプリケーションへの管理者アクセスを提供したりすることは、認可の良い例です。

安全な環境では、承認は必ず認証の後に行われます。最初にユーザーが自分のアイデンティティが本物であることを証明し、その後に組織の管理者が要求されたリソースへのアクセス権を付与します。

認証と認可の違いは何ですか？

認証は、ユーザーが本人の主張どおりの人物であることを確認します。承認（認可）は、そのユーザーにリソースへのアクセス許可を与えます。

認証と認可は似ているように聞こえるかもしれませんが、IDおよびアクセス管理（IAM）の世界では、それぞれ異なるセキュリティプロセスです。

似たような用語ですが、認証と承認（認可）はログインプロセスにおける個別のステップです。IAMソリューションを正常に実装するためには、2つの用語の違いを理解することが重要です。

違いを理解するための、現実世界での例え話

認証と承認（認可）の違いをわかりやすくするため、例えを使って説明します。

ある家族が休暇で留守の間、その家のペットを世話するために訪れた人が、施錠されたドアの前に立っている状況を考えてみましょう。この人物には、以下が必要です。

• 認証（キーの形式）。施錠されたドアは、正しい鍵を持つ人だけが開けることができます。これは、システムが正しい資格情報を持つユーザーにのみアクセス権を付与する認証と同じことです。
• 認可（権限の形式）。家の中では、キッチンに入り、ペットフードを保管している食器棚を開けることができます。しかし、昼寝のために寝室に入る許可（認可）は与えられないでしょう。

この例では、認証と承認が連携しています。ペットシッターは家に入る権利を得ており（認証）、家の中では特定のエリアにアクセスできます（承認）。

IAM管理者が両方の概念を適用する方法

システムはこれらの概念を同じ方法で実装するため、IAM管理者が両方の活用方法を理解することが極めて重要です。

• 認証。選択した認証要件に応じて適切な資格情報を提供する場合、すべてのスタッフメンバーがワークプレイスシステムにアクセスできるようにします。
• 認可。部門固有のファイルへのアクセス許可を付与し、必要に応じて財務情報などの機密データへのアクセスを確保します。従業員が業務に必要なファイルに確実にアクセスできるようにします。

認証と承認（認可）の違いを理解し、両方を強力にサポートするIAMソリューションを実装します。データ侵害から組織を保護しながら、従業員の生産性を高めることができます。

Oktaを使用してアクセス許可を付与

Oktaライフサイクル管理は、ユーザーのアクセス許可を一目で把握できます。つまり、システムやツールに対するアクセス権の付与/取り消しを必要に応じて簡単に実行できます。一方、OktaアダプティブMFAを使用すると、選択した認証要素を支えるインフラストラクチャを保護できます。

たとえば、製造指示へのアクセスを特定のユーザーのみに許可し、続いてそのユーザーが企業の資格情報と音声認識の両方を使用して認証するように要求できます。

組織でIAMを合理化する機会は無限にあります。Oktaが企業と従業員の安全を維持する方法をご確認ください。

よくある質問（FAQ）

認証と認可の主な違いは何ですか？

認証は、ユーザーが本人の主張どおりの人物であることを確認するのに対し、承認（認可）は、そのユーザーにリソースへのアクセス許可を与えます。 認証はアイデンティティを検証する最初のステップであり、その後に続く認可では、検証されたユーザーに許可される操作を決定します。

ユーザーを認証するには、どのような方法がありますか？

一般的な認証方法には、パスワード（ユーザー名とパスワード）、1回のセッションまたはトランザクションのアクセスを許可するワンタイムPIN、外部の第三者を介してセキュリティコードを生成する認証アプリ、指紋や目のスキャンなどの生体認証があります。

認可は認証の前に行われますか、それとも後に行われますか？

認可は常に認証の後に行う必要があります。最初にユーザーが自分のアイデンティティが本物であることを証明し、その後に組織の管理者が要求されたリソースへのアクセス権を付与します。

ユーザーは自分自身の認可設定を変更できますか？

いいえ。認可設定はユーザーが変更することはできず、セキュリティチームが管理します。ユーザーは一部の認証要素を部分的に制御できますが、認可の権限は管理者が管理します。

多要素認証とは何ですか？なぜ使用されるのですか？

多要素認証（MFA）では、アクセスを許可する前に、複数の要素の認証に成功する必要があります。パスワードだけでは実現できない高度なセキュリティを確保するために導入されるのが一般的です。

認証と認可は、実際にはどのように連携して機能するのでしょうか？

認証と認可は連携して機能し、システムのセキュリティを確保します。たとえば、ペットシッターは家に入る権利を得ており（認証）、家の中では特定のエリアにのみアクセスできます（承認）。 組織という文脈では、スタッフは適切な認証情報で認証を行い、その後、各自の役割に関連するファイルやリソースにのみアクセスする権限が与えられます。

Authentication vs. Authorization（認証 vs. 承認）

似たような用語ですが、認証と承認（認可）はログインプロセスにおける個別のステップです。IAMソリューションを正常に実装するためには、2つの用語の違いを理解することが重要です。

認証と承認（認可）の違いをわかりやすくするため、例えを使って説明します。

ある家族が休暇で留守の間、その家のペットを世話するために訪れた人が、施錠されたドアの前に立っている状況を考えてみましょう。この人物には、以下が必要です。

• 認証（キーの形式）。施錠されたドアは、正しい鍵を持つ人だけが開けることができます。これは、システムが正しい資格情報を持つユーザーにのみアクセス権を付与する認証と同じことです。
• 認可（権限の形式）。家の中では、キッチンに入り、ペットフードを保管している食器棚を開けることができます。しかし、昼寝のために寝室に入る許可（認可）は与えられないでしょう。

この例では、認証と承認が連携しています。ペットシッターは家に入る権利を得ており（認証）、家の中では特定のエリアにアクセスできます（承認）。

システムは、これらの概念を同じ方法で実装します。したがって、IAM管理者が両方の活用方法を理解することが重要となります。

• 認証。選択した認証要件に応じて適切な資格情報を提供する場合、すべてのスタッフメンバーがワークプレイスシステムにアクセスできるようにします。
• 認可。部門固有のファイルへのアクセス許可を付与し、必要に応じて財務情報などの機密データへのアクセスを確保します。従業員が業務に必要なファイルに確実にアクセスできるようにします。

認証と承認（認可）の違いを理解し、両方を強力にサポートするIAMソリューションを実装します。データ侵害から組織を保護しながら、従業員の生産性を高めることができます。

Oktaを使用してアクセス許可を付与

Oktaライフサイクル管理は、ユーザーのアクセス許可を一目で把握できます。つまり、システムやツールに対するアクセス権の付与/取り消しを必要に応じて簡単に実行できます。一方、OktaアダプティブMFAを使用すると、選択した認証要素を支えるインフラストラクチャを保護できます。

たとえば、製造指示へのアクセスを特定のユーザーのみに許可し、続いてそのユーザーが企業の資格情報と音声認識の両方を使用して認証するように要求できます。

組織でIAMを合理化する機会は無限にあります。Oktaが企業と従業員の安全を維持する方法をご確認ください。