Identity・認証・認可・テナント境界
23語
誰が・何に・どこまでアクセスできるかを決める、認証・認可とテナント境界の用語です。RBACやABAC、行・列単位のアクセス制御、サービスアカウント、委任された認可、SSOやOIDC、ゼロトラストなどを扱います。
この分野を読むポイント
AIに資料を検索させたり、ツールを使わせたりするときも、利用者本人の権限を超えた情報や操作に届かないことが前提です。AIへの指示で制限するのではなく、認可の仕組みで境界を守ります。
この分野に関連する記事
用語一覧
- Identity
- ユーザー、Agent、サービス等の操作主体を識別するための属性・識別情報。
- Authentication
- アクセスしようとしている主体が誰であるかを確認する認証処理。AI Agentが代理で動作する場合は、利用者本人とAgentのどちらとして認証されているかを区別する。
- Authorization
- 認証された主体に、どのデータ・機能・操作を許可するかを決める認可処理。
- Delegated Authorization
- ユーザー等の権限の一部を、範囲を限定してAgentや外部サービスへ委任する認可方式。
- Service Account
- 人間ではなくアプリケーションや自動処理が利用する機械用アカウント。過剰権限や共有利用に注意が必要。
- RBAC
- Role-Based Access Controlの略。役割に応じてアクセス権限を付与する方式。
- ABAC
- Attribute-Based Access Controlの略。部署、地域、案件、端末等の属性条件を使ってアクセス可否を判定する方式。
- ACL
- Access Control Listの略。対象ごとに誰がどの操作を許可されるかを定義するアクセス制御リスト。
- Row-Level Security
- データベース等でユーザーや条件に応じて閲覧・操作できる行を制限する仕組み。
- Column-Level Security
- データベース等でユーザーや条件に応じて閲覧・操作できる列を制限する仕組み。
- Multi-Tenancy
- 一つのシステム基盤を複数の顧客・組織・テナントで共有しつつデータや権限を分離する構成。
- Tenant Isolation
- マルチテナント環境で、あるテナントのデータ・設定・処理が別テナントへ漏れないよう分離すること。
- Cross-Tenant Data Leakage
- ある顧客・組織のデータが別テナントへ誤って表示・検索・生成される情報漏えい。
- Privilege Escalation
- 本来与えられていない高い権限を取得・利用できてしまう権限昇格。AI Agentでは、ツールの組み合わせや間接プロンプトインジェクションにより、利用者自身にない権限が行使される形でも起こり得る。
- Policy Enforcement Point
- 認可ポリシーの判定結果を実際のアクセス許可・拒否として強制するシステム上の実施点。
- Zero Trust
- ネットワーク内外を問わず暗黙に信頼せず、主体・端末・状況等を継続的に確認して最小権限でアクセスを許可するセキュリティ原則。
- MFA
- Multi-Factor Authenticationの略。知識、所持、生体等の異なる要素を複数組み合わせて本人確認を強化する認証方式。
- SSO
- Single Sign-Onの略。一度の認証で複数の関連サービスへアクセスできるようにする認証連携の仕組み。
- SAML
- Security Assertion Markup Languageの略。認証・属性情報を組織やサービス間で交換し、主に企業向けSSOで利用される標準。
- OIDC
- OpenID Connectの略。OAuth 2.0を基盤として、ユーザー認証とID情報の受け渡しを行う認証プロトコル。
- SCIM
- System for Cross-domain Identity Managementの略。ユーザーやグループの作成・更新・削除等をサービス間で自動連携する標準。
- 保存時暗号化 / 通信時暗号化
- 保存データをストレージ上で暗号化する対策と、ネットワーク通信中のデータをTLS等で暗号化する対策の区別。
- Workload Identity
- Application、Container、Agent等のWorkload自体をIdentityとして認証し、長期固定API Keyを持たせず一時Credential等でCloud・ServiceへAccessさせる仕組み。