認可

認証によって本人と確認された利用者やプログラムに対し、どの資源にどの操作を許すかを決めて権限を与えること。認証が「誰か」を確かめるのに対し、認可は「何をしてよいか」を決める。OAuthは、利用者の同意に基づいて認可の情報をサービス間で受け渡す仕組みである。

認証で本人と確かめた利用者やプログラムに対して、どの資源にどの操作を許すかを決め、アクセスの権限を与えること。認証が「誰であるか」を確かめるのに対し、認可は「何をしてよいか」を決める。Webサービスの間で、利用者の同意に基づいて資源へのアクセス権限を委譲する仕組みにOAuthがある。

認証で本人と確かめた利用者やプログラムに対して、どの資源にどの操作を許すかを決め、アクセスの権限を与えること。認証が「誰であるか」を確かめるのに対し、認可は「何をしてよいか」を決める。最小権限の原則に従って与え、Webサービスの間で資源へのアクセス権限を委譲するにはOAuth 2.0のアクセストークンを使う。

クライアント端末にはOS等の最低限の機能のみを持たせ、アプリケーションの実行やデータ管理をサーバ側で行うシステム構成方式。セキュリティの向上、端末管理の簡素化、情報漏洩リスクの低減が利点。VDI等で実現する。

ユーザやシステムの身元を確認するプロセス。知識認証（パスワード）、所有物認証（トークン）、生体認証（指紋等）の3要素があり、多要素認証（MFA）でセキュリティを強化する。OAuth、SAMLなどの標準プロトコルがある。

第三者アプリケーションにリソースへのアクセスを委任するための認可フレームワーク。アクセストークンを用いてリソースサーバにアクセスする。認可コードフロー、クライアントクレデンシャルフローなど複数の認可フローがある。

システムの企画・設計段階からセキュリティを組み込む考え方。後付けでセキュリティ対策を追加するのではなく、アーキテクチャレベルでセキュリティを考慮する。脅威モデリングが重要な活動の一つ。

ネットワークの内外を問わず、すべてのアクセスを信頼せず検証するセキュリティモデル。「信頼しない、常に検証する」を原則とし、マイクロセグメンテーション、継続的認証、最小権限の原則などを組み合わせて実現する。

DevOpsの開発ライフサイクル全体にセキュリティを統合するアプローチ。開発の初期段階からセキュリティテストや脆弱性チェックを自動化し、セキュリティをチーム全員の責任とする。シフトレフトの考え方を適用する。