セキュリティ
認可
Authorization
読み：にんか
確認した利用者や処理に対し、対象の情報や操作を利用してよいかを判断することです。
01初心者向け
まず意味をつかむ
ログインできた人でも、他人の情報や管理機能を使ってよいとは限りません。誰がどこまで操作できるかを、その対象ごとに確かめます。
02実務者向け
仕事でどう使うか
役割、担当範囲、データの所有関係などから許可条件を決めます。画面表示だけでなく、サーバー側でも操作ごとに判定し、権限の変更や失効を管理します。
03専門家向け
判断を一段深める
一度の認証結果や見えないボタンだけに依存すると、別の経路から操作される可能性があります。対象と行為の組合せ、委任、期間、例外を明示し、意図しない権限の引継ぎも確認します。
IN PRACTICE
具体例で考える
架空の研修サイトで、担当企業の申込だけ閲覧できるようにし、URLを書き換えても他社の情報が返らないことを試験します。
理解を助けるための架空の例です。確認された主体
対象・行為・条件
許可または拒否
認可判断の関係を示します。画面上の表示制御だけではありません。
ここは誤解しやすい
認証と認可を同じものとして扱わず、相手の確認と利用許可の判断を分けます。
この知識を、組織の力へ。