1.3アクセス管理の原則

アクセス管理の目的は、「正しい人に、必要な範囲だけ、記録を残しながら使わせる」ことに尽きます。誰でも入れる部屋に金庫を置いても意味がないのと同じで、どんなに堅牢なシステムも入口の管理が甘ければ守れません。この節では、その入口を体系立てる3つの問い——「あなたは誰か」（認証）／「あなたは何をしてよいか」（認可）／「あなたは何をしたか」（記録）——を担うAAAを土台に、認証を集中管理するRADIUS、複数の要素で本人性を確かめる多要素認証（MFA）、そして安全なパスワードポリシーを、入門レベルの判断として整理します。

1.3.1AAAの3本柱とRADIUS

• 認証（Authentication）＝「あなたは本当にその人か」を確かめる段階（ID/パスワード、生体、証明書など）。認可（Authorization）＝認証済みの相手に「どこまで許すか」を与える段階（読み取りだけ、管理者権限など）。アカウンティング（Accounting）＝「いつ・誰が・何をしたか」を記録する段階（監査ログ）。
• この3つをまとめてAAAと呼ぶ。順序は認証→認可→アカウンティングで、「本人確認」と「権限付与」と「記録」は別々の段階であることが要点。ログインできること（認証）と、ある操作を許されること（認可）は別で、混同しない。
• RADIUS＝多数の機器やユーザの認証を1か所に集約するプロトコル（集中認証）。各機器が個別にパスワードを持つのではなく、認証サーバへ問い合わせて可否を得るため、アカウント管理やログが一元化でき、無線LANやVPNの認証（802.1Xなど）で広く使われる。

1.3.2多要素認証とパスワードポリシー

• 多要素認証（MFA）＝種類の異なる複数の要素で本人性を確かめる仕組み。要素は3種：知識（パスワード・PIN＝知っているもの）、所持（スマホ・トークン・ICカード＝持っているもの）、生体（指紋・顔＝その人自身）。パスワードが漏れても、別種の要素がもう一つ必要なので突破が難しくなる。
• 「パスワード＋秘密の質問」のように同じ知識要素を2つ重ねてもMFAとは言えない（どちらも「知っているもの」）。真のMFAは異なる種類を組み合わせる点が肝心。パスワード＋スマホのワンタイムコードは知識＋所持で正しいMFA。
• パスワードポリシー＝推測や総当たり・使い回しを防ぐ運用ルール：十分な長さ・複雑さ、使い回し禁止、定期または漏えい時の変更、辞書語や既知漏えいパスワードの禁止など。長く覚えやすいパスフレーズや、多数の強固なパスワードを安全に保管するパスワードマネージャも有効。

あなたが社内システムの管理を任され、「営業部の派遣スタッフが顧客リストを閲覧できるようにしてほしい」という依頼を受けたとします。ここで「ログインできるアカウントを渡せば済む」と考えるのは、アクセス管理の段階を取り違えた判断です。ログインできること＝認証（あなたは誰か）が通ることに過ぎず、そのスタッフが顧客リストのどこまでを扱ってよいか＝認可は別に設計しなければなりません。閲覧だけでよいなら書き込みや削除の権限は与えず、最小権限の原則で「必要な範囲だけ」を許可します。さらに、後から「誰がいつどのデータを見たか」を追えるようアカウンティング（監査ログ）を残す設定にしておけば、万一の不正閲覧も検知・追跡できます。認証の強度も見直しましょう。派遣スタッフのアカウントがパスワードだけなら、それが漏れた瞬間に突破されます。多要素認証（MFA）を有効にし、パスワード（知識）に加えてスマホのワンタイムコード（所持）を求めれば、パスワードが漏れても侵入を大きく防げます。ここで「パスワードと秘密の質問の2つにすればMFAだ」と考えるのは誤りで、どちらも知識要素なので異なる種類にはならず、MFAの効果は得られません。加えて、社内の多数の機器がそれぞれ別々にアカウントを持つと管理が破綻するので、認証をRADIUSで集中管理すれば、アカウントの追加・停止やログの確認を一元化できます。ここで大切なのは、「入れる（認証）」と「何をしてよいか（認可）」と「何をしたか（記録）」を分けて設計し、認証自体もMFAとパスワードポリシーで強くするという段階的な考え方です。入門段階では、この段階の切り分けを正しく持つことが、過剰な権限付与や監査漏れといったよくある事故を防ぎます。

1.3.3この節のまとめ

• AAAは認証（誰か）→認可（何をしてよいか）→アカウンティング（何をしたか記録）の別々の段階。認証と認可を混同しない
• RADIUSは認証を集中管理し、無線LANやVPNで広く使われる
• MFAは知識/所持/生体の異なる種類を2つ以上（同種の重ねは不可）。パスワードポリシーは長さ・複雑さ・使い回し禁止が基本