流れ7の5語目 / 10

最小権限

セキュリティ

新しく担当するシステムのクラウド環境に、新人のアカウントを追加してもらうことになりました。管理者の権限があれば何でもできて便利そうです

「新人さんのアカウントには、必要な権限だけ渡しておくね」

「最小権限」って、何のことだろう…?

最小権限は、仕事に必要な権限だけを、必要な間だけ渡す考え方です。

できることを少なくしておけば、何かあったときの被害も少なくてすみます。

このページで分かること読む約2分・問題 2問

身近な例えで理解する

アルバイトには、お店の通用口とロッカーの鍵だけを渡します。金庫の鍵は店長だけが持っています。

Q1同期のひとこと

同期「とりあえず全員に管理者権限をつけておけば、問い合わせも減るよね」

この考えの問題は?

ここからは実際のしくみ

なぜ絞るのか

フィッシング(→63)やマルウェア(→64)でアカウントが乗っ取られると、相手はそのアカウントの権限で何でもできてしまいます。権限が少なければ、できることも少なくなります。うっかり消してしまう操作ミスも防げます

身近な例

Linuxでは、ふだんはrootで作業せず(→46 rootユーザー)、必要なコマンドだけsudoで実行します(→09 sudo)。クラウドでは、IAMで必要な操作と対象だけを許可します(→23 IAM)

最初から完ぺきでなくてよい

AWSでは、まず用意された権限のセットで始め、しばらくして実際に使った操作を確かめ、それだけに絞っていく進め方が紹介されています

見直す

異動や担当替えで使わなくなった権限は外します。権限は「足す」のは簡単でも、「外す」のは忘れやすいものです

先輩「新人さんのアカウントには、必要な権限だけ渡しておくね」

「新人さんを信用していないわけではなく、もしアカウントが乗っ取られたり、操作を間違えたりしても、被害が小さくすむように、今の仕事に必要なことだけできるようにしておくね。足りなければ、そのとき相談して」という意味です。

Q24択

最小権限の説明として正しいものは?

ご意見・ご感想・質問・間違いのご指摘など、何でもお気軽にお寄せください。「この言葉も例えで説明してほしい」「こんな例えなら分かりやすい」という声をもとに、新しいページや例えを作ります。

意見箱は準備中です。