シリーズ「ネットワークの基本」の4回目です。「パソコンにログインする」「共有フォルダが開けない」。毎日の仕事の中で、私たちは何度も「あなたは誰ですか」「あなたは何をしてよいですか」という確認を受けています。この2つの確認には、それぞれ「認証」と「認可」という名前があります。言葉は似ていますが、役割はまったく別です。今回は、認証と認可の違いを、会社の受付と入館証のたとえで図解します。
認証は、相手が名乗ったとおりの本人かどうかを確かめることです。パスワードを入力してログインする操作が、その代表です。一方の認可は、本人だと分かった相手に「どこまで使ってよいか」を決めることです。同じ会社のパソコンにログインできても、経理のフォルダは経理担当者しか開けない、といった制限がこれにあたります。
順番は必ず「認証が先、認可が後」です。誰なのか分からない相手に、何をしてよいかは決められないからです。
大きなオフィスビルを思い浮かべてください。受付で社員証や名前を確かめてもらうのが「認証」です。受付を通ると入館証を渡されますが、その入館証で開けられる扉は人によって違います。来客用の入館証では会議室にしか入れず、社員の入館証なら執務室にも入れる。この「入館証ごとに入れる部屋が決まっている」状態が「認可」です。
受付を通れても、すべての部屋に入れるわけではありません。逆に、入館証がいくら立派でも、受付で本人確認をしていなければ意味がありません。ネットワークやパソコンの世界でも、この2つがそろって初めて安全に使えます。
本人を確かめる方法は、大きく3つの種類に分けられます。
パスワードだけの認証は、知られてしまえば他人でも通れてしまいます。そこで、種類の違う要素を2つ組み合わせる方法が広がっています。パスワードを入力したうえで、スマートフォンに届いた番号を入れる、という方式がその例です。同じ「知っているもの」を2つ重ねても、守りはあまり強くなりません。種類を変えることが大切です。
認可で大切なのは、仕事に必要な分だけの権限を渡すことです。全員にすべてのフォルダを開けるようにしておくと、設定は楽ですが、1人のパスワードが盗まれただけで会社中のデータが見られてしまいます。
権限を分けておけば、万一ある社員のアカウントが乗っ取られても、被害はその人が触れる範囲にとどまります。ウイルスに感染した場合も同じで、管理者の権限を持たないアカウントでは、パソコンの重要な設定を書き換えにくくなります。
Windowsのパソコンでは、ログインしているアカウントが「管理者」か「標準ユーザー」かで、できることが変わります。これはパソコンの中の「認可」の一例です。確かめ方は次のとおりです（Windows 11の場合）。
ほかの人のアカウントは、「アカウント」の中の「他のユーザー」で確認できます。表示される場所や名前は、Windowsの版によって異なる場合があります。
管理者のアカウントは、ソフトの導入やシステムの設定変更ができる強い権限を持っています。ふだんの仕事は標準ユーザーで行い、設定を変えるときだけ管理者の情報を入力する形にすると、うっかりした操作やウイルスによる被害を減らせます。
認証は「本人かどうか」を確かめること、認可は「何をしてよいか」を決めることです。認証が弱いと、誰でも受付を通れてしまいます。認可が甘いと、受付を通った人がどこにでも入れてしまいます。どちらか一方だけでは守れません。
通信の届け先の決まり方はIPアドレスの回で説明しましたが、届いた先で「誰が」「どこまで」使えるかを決めるのが、今回の認証と認可です。また、機器を買ったときのままのパスワードは、認証の大きな穴になります。コピー機・ルーターの初期パスワードのコラムもあわせてご覧ください。
エムズショップでは、名古屋の事務所を中心に、共有フォルダの権限の見直しやパソコンのアカウント設定、ネットワーク機器の設定まで、まとめてご相談をお受けしています。
ネットワークとセキュリティのご相談は、名古屋のエムズショップへ
セキュリティ機器・UTM
機器の選定から設置・運用・保守まで。補助金を使える場合もあります。
ネットワーク管理代行
社内のパソコン・ネットワークをまとめてお預かりします。窓口が1つで済みます。
創業20年、名古屋市北区清水に実店舗があります。名古屋市全16区と愛知県内に対応。ご相談・お見積りは無料です。
エムズショップのUTM（ウイルス・不正アクセス対策）
20名程度までの事務所は、レンタル月5,000円〜（税抜）で導入できます。機器・初期設定・保守・ライセンスまで月額に含みます。
