【決定版】「認証」と「認可」の違いを世界一わかりやすく解説

「認証（Authentication）」と「認可（Authorization）」。似ているようで全く違うこの2つの概念は、システム設計やセキュリティを考える上で避けては通れない、いわば「IT世界の関所」のような存在です。

この記事では、認証と認可それぞれの仕組みについてわかりやす例で解説します。

認証と認可の決定的な違い

認証と認可

認証と認可について「遊園地」を例に考えて解説します。

もう少しイメージしやすく解説すると

「パークの正規チケットを持って入園した（＝認証OK）」状態でも、一般チケットの人が関係者以外立ち入り禁止のバックヤードに入ろうとしたら「あなたはそこに入る権限がありません（＝認可NG）」と止められますよね。

これと全く同じことがシステムでも起こります。

IdPとSPの決定的な違い

「認証・認可」というセキュリティの基礎の土台を理解したところで、認証認可と関係の深い『IdP』と『SP』について次に解説していきます。

IdPとSPについて

認証認可の流れ

遊園地を例に出しましたが、あなたがシステムにログインしようとしたときの、裏の流れは以下のようになっています。

なぜIdPとSPが存在しているのか？

この「IdPとSPを分ける」という仕組みがなぜ重要なのかは「SSO（シングルサインオン）」という概念を理解するとそのメリットが鮮明になります。

SSO（シングルサインオン）： 1回の認証（ログイン）で、複数のアプリやサービスを利用できる仕組み。

もし、このSSOと呼ばれる仕組みがなければ、私たちが利用するサービス（AWS、Salesforce、Zoom、Slackなど）ごとに、それぞれ異なるIDとパスワードを設定し、ログインするたびに毎回入力しなければなりません。

これには、運用面でもセキュリティ面でも大きなリスクと無駄が潜んでいます。

そこで登場するのが、IdPでのユーザ一元管理であり、様々なメリットが存在します。

身近なところや、多くの企業で実際に使われている有名なIdP製品には、たとえば以下のようなものがあります。

EIAMとCIAMの違いについて

さらにIdPには２種類あります。

EIAM（従業員向け）は、自社の社員や組織メンバーを対象とした社内システム用の仕組みです。アカウントは管理者が作成・付与した特定の人物に限定され、組織の統制を目的としています。

一方、CIAM（顧客向け）は一般消費者を対象としており、ユーザー自身が自由に会員登録を行える「セルフサインアップ」を前提とした、サービス利用の入り口となる仕組みです。

遊園地の例では誰でも会員登録ができるので、CIAMのサービスを利用したものになります。

まとめ

最後にもう一度、この記事で出た重要な用語について整理します。

多くのエンジニアが最初は混同してしまうこれらの概念ですが、認証認可を理解することで、クラウド環境のセキュリティ設計やAPI連携の仕組みが驚くほど明確に見えてきます。

この役割分担があるからこそ、私たちは安全かつ快適に、一つのIDで複数のサービスを利用できるのです。認証・認可の仕組みで迷ったときは、ぜひこの記事を振り返って、その「役割の境界線」を確認してみてください。