認可（Authorization）
認可（Authorization）とは、利用者やシステムに対して「どの情報に、どの操作を許可するか」を判断することです。たとえば、共有フォルダを閲覧できても編集はできない、担当者は申請できても承認はできない、といった制御が該当します。本人確認を行う「認証」とは役割が異なります。
認証と認可は何が違う？
認証が確認するのは「その主体は誰か」、認可が判断するのは「その主体に何を許すか」です。社員としてログインできても、人事担当者以外には給与情報の閲覧を許さない、と考えると違いが分かります。ログイン前に公開記事の閲覧を許可する場合もあり、認可が常に認証後だけに行われるわけではありません。
アカウントを区別する段階については、識別（Identification）の解説も参照してください。
業務でよくある認可の例
文書管理：閲覧、編集、削除、外部共有を個別に許可する。
経費精算：本人は申請、上長は担当部門の承認、経理は支払処理を行う。
クラウド管理：監視担当者にはログの閲覧を許可し、利用者追加や設定変更は管理者に限定する。
権限は役職だけで決まるとは限りません。部署、対象データの所有者、所属組織なども条件になります。同じ「管理者」であっても、別の顧客企業のデータにアクセスできてはいけません。
安全な認可設計で押さえること
最小権限：業務に必要な操作だけを許可します。
原則拒否：明示した許可条件に合わない操作は拒否します。
リクエストごとの確認：画面でボタンを隠すだけで済ませず、サーバー側でも対象と操作の権限を確認します。
定期的な棚卸し：異動や退職後に不要な権限が残っていないか見直します。
これらはOWASPの認可設計ガイドでも整理されています。
権限設定とログ監視を組み合わせる
設計時には「別の利用者の文書IDに変えてもアクセスを拒否するか」「承認権限を外した直後に操作できなくなるか」など、許可されない操作も確認します。運用では権限変更やアクセス拒否の記録を残し、想定外の利用がないか調査できる状態にします。
ログの集約・分析を検討する場合は、ヤグラ AI SIEMをご覧ください。ログ監視は認可の設定や実装を補う取り組みであり、アクセス制御そのものの代わりにはなりません。
