アクセス制御

アクセス制御とは、コンピュータ システム等のリソースに対し、誰がどのリソースを利用できるのかを定め、それに基づいてアクセスの許可や拒否を行うことを意味します。コンピュータ システムにおけるアクセス制御は、認証（Authentication）、認可（Authorization）、監査（Audit）で構成されています。

認証は、システムにログイン（サインオン）できるユーザを識別し、ログインの許可や拒否を行うことです。ユーザの識別方法としては、ユーザIDとパスワードの入力、指紋等の生体的特徴、ユーザが保有するもの（例えばアクセスに使用するPCに格納されているクライアント証明書）等が利用されます。

認可は、システム内部で「アクセス コントロール リスト（ACL）」を設定し、これにもとづいて実施するのが一般的です。

監査は、実際に行われた認証や認可に関する処理をログとして記録し、後で検証できるようにすることです。

アクセス制御は、情報漏えい防止等のセキュリティを確保する上で、重要な役割を果たします。インターネットからアクセスできるWebシステムの場合には、その重要性がさらに高まります。悪意のある第三者が不正アクセスを試みる危険性があるからです。しかしWebシステムでは、認証や認可、監査が個々のWebサーバやWebアプリケーションで実行されている場合があり、システム全体で統一されたポリシーで集中管理されていないケースも少なくありません。このような運用はセキュリティ ホールを生みやすいと言えます。

Webシステムのアクセス制御を徹底するには、システムのフロント エンドにADC（Application Delivery Controller）を配置し、ここで集中管理を行うのが効果的です。F5はこのようなADC製品として「F5 BIG-IP」を提供しています。