変更要約: SC-900 第1章を AZ-900 基準まで深掘り（ゼロトラスト3原則＋多層防御の各層、責任共有モデル、CIA比較表、認証/認可の順序、認証3要素とMFA、暗号化(対称/非対称・保管時/転送時)とハッシュ比較表、シナリオ・FAQ・ひっかけ）。図2枚ja化
1.2認証・認可と暗号化
認証（AuthN）と認可（AuthZ）の違い、暗号化とハッシュの基本を理解します。
アクセス制御の土台は「誰か（認証）」と「何ができるか（認可）」の2段階です。必ず認証が先、認可が後で、この順序と違いを混同しないことが SC-900 で繰り返し問われます。さらに、データそのものを守る暗号化と、改ざん検知やパスワード保存に使うハッシュも、ここで基礎を押さえます。
1.2.1認証と認可
- 認証（Authentication, AuthN）：「あなたは誰か」を確認する（本人確認）。ログインの段階。
- 認可（Authorization, AuthZ）：認証された相手が「何をできるか」を決める（権限）。認証の後に行う。
認証で使う「証拠」は、大きく3種類の要素に分かれます。知識（パスワード・PIN など「知っているもの」）、所持（スマホ・トークンなど「持っているもの」）、生体（指紋・顔など「本人そのもの」）です。多要素認証（MFA） は、このうち異なる種類の要素を2つ以上組み合わせて認証を強化する仕組みで、パスワードが漏れても第2要素がなければ突破されにくくなります。MFA はゼロトラストの「明示的に検証する」を実現する代表的な手段です。
1.2.2暗号化とハッシュ
暗号化（encryption）は、データを鍵で変換し、許可された者だけが鍵で元に戻せる（復号）ようにする技術です。守る対象により、ディスク上の 保管時（at rest） と、通信中の 転送時（in transit） の2場面があります。方式は2つ：対称鍵（同じ鍵で暗号化・復号。高速だが鍵の共有が課題）と、非対称鍵（公開鍵で暗号化し秘密鍵で復号するペア。鍵配布が安全）。一方 ハッシュ（hashing）は元に戻せない一方向の変換で、同じ入力からは常に同じ値が出ます。改ざん検知や、復号する必要のないパスワードの保存に使われます。
| 項目 | 可逆性 | 主な用途 |
|---|---|---|
| 対称鍵暗号 | 鍵で復号可 | 高速な大量データの暗号化 |
| 非対称鍵暗号 | 秘密鍵で復号可 | 鍵交換・デジタル署名 |
| ハッシュ | 不可（一方向） | パスワード保存・改ざん検知 |
シナリオ：社内ポータルへのログイン。 社員がパスワード（知識）＋スマホの承認（所持）で MFA 認証＝本人確認（AuthN）。ログイン後、その人の役割（人事/経理など）に応じて閲覧できる画面が変わる＝認可（AuthZ）。パスワードはサーバーにハッシュ化して保存し、通信は 転送時の暗号化で保護。各仕組みが役割分担します。
混同に注意：
①認証（誰か）が先、認可（何ができるか）が後。順序を逆にしない。
②暗号化（鍵で復号できる）とハッシュ（元に戻せない一方向）は目的が別——パスワード保存はハッシュ。
③対称鍵（同じ鍵）と非対称鍵（公開/秘密のペア）を取り違えない。
④MFA は「同じ種類の要素を2つ」ではなく異なる種類を2つ以上。
Q. 認証と認可、どちらが先？ 必ず認証（本人確認）が先、認可（権限決定）が後です。Q. パスワードは暗号化？ハッシュ？ 復号する必要がないのでハッシュ化が標準。漏洩時も元のパスワードを復元しにくくなります。Q. 対称鍵と非対称鍵の使い分けは？ 大量データは高速な対称鍵、鍵交換や署名には非対称鍵、と組み合わせて使うのが一般的です。
「認証＝誰か（先）／認可＝何ができるか（後）」の区別と順序は頻出です。また 暗号化（鍵で復号できる）とハッシュ（元に戻せない一方向）、対称鍵と非対称鍵、MFA＝異なる種類の要素を2つ以上、保管時/転送時の暗号化も押さえましょう。
1.2.3この節のまとめ
- 認証（誰か）→ 認可（何ができるか） の2段階
- 暗号化（復号可）／ハッシュ（一方向）、対称鍵／非対称鍵
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 「あなたは誰か」を確認するプロセスはどれですか？
Q2. 認証された利用者が「何にアクセスできるか」を決めるのはどれですか？
Q3. パスワードの保存に適した、元に戻せない一方向の変換はどれですか？