アクセス制御（access control）とは、情報システムにおいて、利用者を識別し、あらかじめ設定された権限に基づいて対象へのアクセスや操作を許可または禁止する仕組みです。
この仕組みは、情報のセキュリティを確保し、データやシステムの不正利用を防ぐために不可欠です。
本記事では、アクセス制御の基本概念、プロセス、および主要なモデルについて詳しく解説します。
アクセス制御の基本概念
1. アクセス制御の定義
アクセス制御は、特定の主体（人間、機器、ソフトウェアなど）がシステム内の対象（装置、データ、プログラムなど）に対して、どのような操作が許可されているかを管理するプロセスです。
例えば、ファイルシステムでは、各ユーザーに対して読み込み、書き込み、削除、実行といった権限が設定され、これに基づいてアクセスが許可または拒否されます。
2. アクセス制御のプロセス
アクセス制御は主に以下の三つのプロセスから成り立っています：
- 認証（Authentication）: 利用者を識別し、本物であることを確認するプロセス。
- アカウント名やパスワードを用いて確認します。
- 認可（Authorization）: 権限に基づいて操作の可否を判断するプロセス。
- 管理者が設定したポリシーやアクセス制御リスト（ACL）を参照し、対象者が行おうとしている操作を許可または拒否します。
- 監査（Audit）: 認証や認可の履歴を記録し、誰がいつ何を試みたかを管理者が追跡できるようにするプロセスです。
- これにより不正アクセスや不審な行為を検知することができます。
アクセス制御のモデル
1. 任意アクセス制御（DAC）
最も一般的なモデルで、オブジェクトの所有者がアクセス権を指定する仕組みです。
一般的なOSのセキュリティ機能でよく採用されています。
2. 強制アクセス制御（MAC）
管理者やシステムが権限を設定し、所有者がこれを変更できない仕組みです。
軍用システムなど、高度なセキュリティが求められる環境で利用されます。
3. ロールベースアクセス制御（RBAC）
利用者の役割ごとに権限を設定するモデルです。役割に応じた権限付与が可能なため、管理が容易です。
4. 属性ベースアクセス制御（ABAC）
ユーザーや対象の属性情報に基づいてアクセスを制御する方法です。
どの属性のユーザーが、どの環境でどの対象にアクセス可能かを詳細に設定できます。
まとめ
アクセス制御は、情報システムの安全性を高めるために欠かせない仕組みです。
認証、認可、監査の三つのプロセスを通じて、適切な権限管理が行われます。
また、さまざまなアクセス制御モデルが存在し、システムのニーズに応じて選択することが可能です。
セキュリティの観点から、アクセス制御を適切に実装することが、情報漏洩や不正アクセスを防ぐ鍵となります。
さらに参考してください。