認可

認証によって本人と確認された利用者やプログラムに対し、どの資源にどの操作を許すかを決めて権限を与えること。認証が「誰か」を確かめるのに対し、認可は「何をしてよいか」を決める。OAuthは、利用者の同意に基づいて認可の情報をサービス間で受け渡す仕組みである。

認証で本人と確かめた利用者やプログラムに対して、どの資源にどの操作を許すかを決め、アクセスの権限を与えること。認証が「誰であるか」を確かめるのに対し、認可は「何をしてよいか」を決める。Webサービスの間で、利用者の同意に基づいて資源へのアクセス権限を委譲する仕組みにOAuthがある。

認証されたユーザに対して、リソースや機能へのアクセス権限を付与・制御するプロセス。RBAC（ロールベースアクセス制御）、ABAC（属性ベースアクセス制御）などのモデルがある。認証と認可は別のプロセス。

利用者やプログラムが、ファイルやシステムなどの資源に対して行うことを許された操作の範囲。読取り、書込み、実行、削除などの種類があり、業務上の必要性に応じて付与し、異動や退職の際には速やかに変更・削除する。

利用者、プログラム、プロセスに対して、業務や処理を行うのに必要な最小限の権限だけを与えるという原則。最小権限の原則ともいう。権限の乱用や、アカウントの乗っ取り、脆弱性を突かれたときの被害の範囲を小さくでき、管理者権限を常用しない運用などで実践する。

ユーザーやシステムの身元を確認するプロセス。知識情報（パスワード）、所持情報（ICカード、トークン）、生体情報（指紋、虹彩）の3要素（認証の3要素）があり、複数を組み合わせた多要素認証により安全性を高める。

知識（パスワード等）、所有（ICカード、スマートフォン等）、生体（指紋、虹彩等）の3つの認証要素のうち、2つ以上を組み合わせて認証を行う方式。単一要素の認証に比べてセキュリティが大幅に向上し、パスワード漏洩だけでは不正アクセスされない。

利用者やプログラムに対して、業務遂行に必要な最小限の権限のみを付与するセキュリティの原則。過剰な権限付与によるリスク（不正利用、操作ミスによる被害拡大）を防止する。need-to-know（知る必要性）の原則とも関連する。

ネットワークの内外を問わず、全てのアクセスを信頼せずに検証するセキュリティの考え方。従来の境界型防御と異なり、ユーザー、デバイス、アプリケーションごとに認証・認可を行う。「Never Trust, Always Verify」を原則とする。