HOME»ITパスポート用語辞典»テクノロジ系»アクセス制御

ITパスポート試験 用語辞典

アクセス制御あくせすせいぎょ
情報セキュリティ対策の1つで、システム内の情報資産に対して、誰がどんな権限でアクセスできるかをコントロールすること。一般的にはファイルやデータに対して、ユーザグループごとの閲覧権限や変更権限などを設定する方法で制御を行う。権限設定では常に必要最小限の権限のみ付与することを徹底し、管理者などが使用する特権アカウントの管理についても細心の注意が求められる。
分野：
テクノロジ系 » セキュリティ » 情報セキュリティ対策・実装技術
重要度：

(Wikipedia アクセス制御より)

アクセス制御（アクセスせいぎょ、Access Control）は、物理セキュリティ、コンピュータセキュリティ、ネットワークセキュリティなどにおいて各々下記の意味を持つ。

物理セキュリティのアクセス制御

物理セキュリティにおいては、敷地や建造物、部屋などの入り口で、許可された人だけに入場を制限することを指す。このような物理的アクセス制御は、警備員、用心棒、受付係などの人間によって、あるいは鍵と錠などの機械的手段、カードによるアクセスシステムなど技術的手段によって実現される。

コンピュータセキュリティのアクセス制御

コンピュータセキュリティにおけるアクセス制御とは、あるサブジェクト（能動体、人間やプロセス）が、どのオブジェクト（受動体、システムやファイル）に対して、どのアクセス（読み／書き／実行）ができるかを許可したり拒否したりする機能を指す。

コンピュータセキュリティによるアクセス制御は、認証 (authentication)、認可 (authorization)、監査 (audit) からなる。それらは、物理的機器による手段としてバイオメトリクス、金属錠、デジタル署名、暗号化、社会的障壁、人間や自動化システムによる監視などを含む。認可は、ロールベースアクセス制御、アクセス制御リスト、XACMLのようなポリシー言語などで実装される。

アクセス制御システムは、基本サービスとして、識別と認証 (identification & authentication、I&A)、認可 (authorization)、説明可能性 (accountability) を提供する。識別と認証はシステムにログインできる者を決定し、認可は認証された者ができることを決定し、説明可能性はそのユーザーが何をしたかを特定する。

識別と認証

識別と認証 (I&A) は、システムにログインできる者を決定する2段階の処理である。識別は、ユーザー自身が誰であるかをシステムに伝える方法を意味する（例えばユーザー名などを使う）。アクセス制御システムの識別機構は、ユーザー名やユーザーIDに基づいた比較的簡単な機構である。システムやプロセスの場合、識別は一般に次のような情報に基づく。

  • コンピュータ名
  • MACアドレス（Media Access Control）
  • IPアドレス
  • プロセスID (PID)

識別は次のような方針に基づいて行われる。

  • ユーザーを完全に個人として特定する。
  • ユーザーの地位や組織における重要性などで区別すべきでない（社長やCEOを特別扱いしない）。
  • 共有アカウントを使うのを避ける（root、admin、sysadminなど）。

共有アカウントは説明可能性を否定することにつながり、クラッカーからも狙われやすい。

認証はユーザーが主張する識別情報を照合する（例えば、入力されたパスワードとシステムに記憶されているパスワードとを比較する）。

認証は次の3つのいずれかに基づいて行われる。

  • 知識：パスワードや個人識別番号 (PIN) など。そのパスワードやPINを所有者以外は知らないことが前提となる。
  • 所有物：スマートカードやトークンなど。アカウントの所有者だけが必要なスマートカードやトークンを持っていることが前提となる。
  • 生体：指紋、声、網膜、虹彩の特徴など。

認可

認可（または確立; establishment）は、システム上のユーザーの権利と許可情報（パーミッション）を決定する。ユーザー（利用者やプロセス）が認証されると、認可機構によってそのユーザーがシステム上でできることが決定される。

最近のオペレーティングシステムは、以下の3種類の基本型を拡張した許可情報を定義している。

  • 読込み (R): ユーザーは
    • ファイルの内容を読むことができる
    • ディレクトリ内容をリスト表示できる
  • 書込み (W): ユーザーはファイルやディレクトリを次のような処理によって変更することができる:
    • 追記/追加
    • 生成/作成
    • 削除/消去
    • 改名
  • 実行 (X): ファイルがプログラムなら、ユーザーはそれを実行させることができる。ディレクトリならそこに入ることができる（カレントディレクトリ）。

これらの権利と許可の実装は、「任意アクセス制御」(DAC) を使うシステムと「強制アクセス制御」(MAC) を使うシステムとでは異なる。

説明可能性（accountability）

アクセス制御技法

アクセス制御技法は、任意アクセス制御と強制アクセス制御とに分類される。

任意アクセス制御

任意アクセス制御 (DAC) はファイル（あるいは他のリソース）の所有者がアクセス方針を決定する。所有者がアクセスを許可する人を決め、その人への認可（与えられる権利）も決定する。

DACにおける重要な概念は、次の2つである。

  • ファイルとデータの所有権：システム内の全オブジェクトに所有者が設定される。このアクセス方針はリソース（ファイル、ディレクトリ、データ、システム資源、デバイスなど）の所有者が決定する。理論的には所有者のいないオブジェクトは保護されない。通常、リソースの所有者はそのリソースの作成者である（ファイルやディレクトリの場合）。
  • アクセス権と許可情報：これらは、所有者が特定のリソースについて個々のユーザーまたはユーザーのグループに割り当てることができる制御情報である。

任意アクセス制御は次のような技術によって適用される。

  • アクセス制御リスト (ACL) は、与えられたオブジェクトについてサブジェクトごとに権利と許可を割り当てる。ACLは任意アクセス制御を実現する柔軟な手法である。

オブジェクトのアクセス権と許可情報は、任意のグループや個人に割り当てられる。個人は複数のグループに属することができる。個人が属する複数のグループの許可情報の論理和を許す「いずれかのグループで許可が与えられていれば許可する」という場合もあるし、その逆（論理積）である「属する全グループで許可が与えられていないと拒否する」という場合もある。

強制アクセス制御

強制アクセス制御 (MAC) は所有者ではなくシステムが決定するアクセス方針である。MACが使われるのは政府や軍の情報のような機密データを扱う多重レベルシステムである。多重レベルシステムとは、サブジェクトやオブジェクトを複数のレベルにクラス分けするコンピュータシステムを意味する。

  • 機密ラベル (sensitivity label)：MACに基づくシステムでは、全サブジェクトと全オブジェクトにラベルが割り当てられる。サブジェクトの機密ラベルはその信頼度を表す。オブジェクトの機密ラベルはアクセスに要求される機密ラベルを示している。あるオブジェクトにアクセスするには、サブジェクトはオブジェクトが要求する機密ラベルかそれ以上のラベルをもっていなければならない。
  • データのインポートとエクスポート：他のシステムからの情報のインポート（輸入）と他のシステムへの情報のエクスポート（輸出、プリンタを含む）はMACベースシステムの最も危険な部分である。そのような外界とのやり取りにおいても機密ラベルが正しく働くよう日常からメンテナンスを欠かさないようにし、常に機密情報を保護しなければならない。

強制アクセス制御は次のような技術によって適用される。

  • ルールに基づくアクセス制御：このタイプの制御では特定の条件下でのオブジェクトへのアクセスについて規定する。すべてのMACに基づくシステムは何らかの形でルールに基づくアクセス制御を実装し、次の二つの照合によってアクセスを許可するかどうかを決定する。
    • オブジェクトの機密ラベル
    • サブジェクトの機密ラベル（クリアランス）
  • ラティス（束）に基づくアクセス制御：複数のオブジェクトや複数のサブジェクトが関わる複雑なアクセス制御に使用される。ラティスモデルとは数学的構造であり、オブジェクトとサブジェクトの組合せの集合から最大の下限値と最小の上限値を定義するものである。
ロールベースアクセス制御

ロールベースアクセス制御

ロールベースアクセス制御 (RBAC) は、強制アクセス制御 (MAC) や任意アクセス制御 (DAC) の代替となる新たな手法である。

「ロール（役割）」とは職務上の機能を表す。ある操作の許可は、特定のロールに対して割り当てられる。各従業者にはロールが割り当てられ、それによって特定のシステム機能を実行する許可が得られる。

通信におけるアクセス制御

アメリカ合衆国規格 (Federal Standard 1037C) では、通信におけるアクセス制御は以下のような意味をもつと定義している。
  1. 通信システムの構成要素の使用を許可するかしないかを指定されるサービス機能／技術（例えば電話の各種サービスをユーザーが使えるか使えないかなど）
  2. 個人またはアプリケーションプログラムが記憶装置からデータを得るかまたは書込む権利を定義または制限する技術。これには、ロールベースアクセス制御、強制アクセス制御、任意アクセス制御がある。
  3. 個人またはアプリケーションプログラムが記憶装置からデータを得るかまたは書込む権利の定義または制限
  4. 情報処理システム (automated information system, AIS) のリソースにアクセスできるユーザー、プログラム、プロセスなどを制限する処理
  5. ユーザー要求に対してシステムのリソースを割り当てるリソース割当て機 (resource allocator) の機?/li>

公共政策のアクセス制御

公共政策において、システムへのアクセスを制限（認可）し、システム内の行動を監視記録（説明可能性）するアクセス制御は、セキュリティや社会統制のための信頼できるシステムで実装される機能である。

「情報セキュリティ対策・実装技術」に属する用語
「セキュリティ」の他の分野
「テクノロジ系」の他のカテゴリ
クリエイティブ・コモンズ・ライセンス

このページのWikipediaよりの記事は、ウィキペディアの「アクセス制御」(改訂履歴)の記事を複製、再配布したものにあたり、このページ内の該当部分はクリエイティブ・コモンズ 表示 - 継承 3.0 非移植 ライセンスの下 に提供されています。

© 2009-2024　ITパスポート試験ドットコム　All Rights Reserved.
▲
Pagetop