認可 とは？

認証が『あなたは誰？』なら、認可は『あなたは何ができる？』を決めることだよ。たとえば遊園地に例えると、入場ゲートでチケットを見せるのが認証。フリーパスかどうかで乗れるアトラクションが変わるのが認可。本人確認と権限確認は別の話なんだ。

身近な例だと、会社の共有ドライブ。ログインするのは認証だけど、あるフォルダは閲覧のみ、別のフォルダは編集もOK、機密フォルダはアクセス不可……というのが認可だよ。WebサービスでもSNSの管理者だけが投稿を削除できるとか、一般ユーザーは自分の投稿しか編集できないとか、全部認可の仕組みなんだ。

Role-Based Access Control（ロールベースアクセス制御）の略だよ。ユーザー一人ひとりに権限を設定するんじゃなくて、『管理者』『編集者』『閲覧者』のような役割（ロール）を作って、ロールに権限を紐づける方式。ユーザーにはロールを割り当てるだけだから、大人数でも管理しやすいんだ。

それは危険な考え方だね！セキュリティでは『最小権限の原則』が大事。必要最低限の権限だけを付与するのがベストプラクティスなんだ。全員に管理者権限を与えたら、誰かがうっかりデータを消したり、アカウントが乗っ取られたときの被害が大きくなってしまうよ。

本来アクセスできないはずの情報が見えてしまったり、権限のない操作ができてしまったりする。実際に、URLを少し変えるだけで他人のデータが見えてしまうという脆弱性は珍しくないんだ。認可は地味だけど、セキュリティを支える超重要な仕組みだよ。