アクセス制御リスト（ACL）

アクセス制御リストとは、ファイルやフォルダ、システムの機能ごとに、「誰が」「何をしてよいか」を書き並べた一覧のことです。 Access Control Listの略で、ACLと表記されます。

別表記：アクセス制御リスト／ACL／アクセス権一覧／アクセス権設定／権限リスト／Access Control List

どういうものか

共有フォルダを右クリックして「プロパティ」を開くと、「セキュリティ」や「アクセス権」といった項目があり、誰が読めて、誰が書けて、誰が削除できるかが一覧で表示されます。あれがアクセス制御リストです。

一つのフォルダに対して、「営業部：読み取りと書き込み」「経理部：読み取りのみ」「山田さん：フルコントロール」といった行が並びます。システムは、誰かがそのフォルダに触ろうとするたびに、この一覧を見て、許可するかどうかを決めます。

どこにあるのか

アクセス制御リストは、守る対象の側に付いています。フォルダにはフォルダの一覧、データベースの表には表の一覧、クラウドのサービスにはそのサービスの一覧があります。

これが、権限の設定が「実際にどこで効いているか」の答えです。IDを管理する仕組みが「この人は営業部です」と決め、各フォルダのアクセス制御リストが「営業部は読み書きできる」と決める。両方が揃って、初めて「この人はこのフォルダを読み書きできる」が成り立ちます。

役割で管理する方法との関係

一人ひとりの名前を一覧に書いていくと、人が増えるほど管理しきれなくなります。異動のたびに、関係するすべてのフォルダの一覧を書き換えなければなりません。

そこで、名前ではなく「営業部」「課長」といった役割を一覧に書き、人には役割を割り当てる、という方法が取られます。異動したら役割を変えるだけで、フォルダ側の一覧は触らなくて済みます。これがロールベースのアクセス制御（RBAC）で、アクセス制御リストの運用を楽にするための考え方です。

アクセス制御リストが「何にどんな権限があるか」の実体で、役割による管理は「誰にどの権限を割り当てるか」を整理する方法、という関係です。

緩くなりやすい理由

アクセス制御リストは、増えることはあっても減ることが少ないという性質があります。

プロジェクトのために一時的に権限を付けた。プロジェクトが終わっても、誰も外さない。異動した人の古い権限が残っている。退職者のIDは止めたが、一覧には名前が残ったまま。こうして、本来より広い権限が積み重なっていきます。

一覧は対象の数だけあるので、全部を見て回ることが現実的ではない、ということも理由です。定期的に棚卸しをする運用が必要になります。

AIエージェントとの関係

AIエージェントが共有フォルダを読めるかどうかを最終的に決めているのは、そのフォルダのアクセス制御リストです。AIにどんな指示を出しても、一覧に「このAIは読める」とあれば読め、なければ読めません。これは「受け付ける側で判断する」仕組みそのもので、AIの判断に左右されません。

ただ、アクセス制御リストには限界があります。

一覧に書けるのは「このID」か「この役割」までで、「誰の委任で動いているか」は書けません。AIエージェントのIDに権限を付ければ、そのAIが誰の指示で動いていても、同じ権限で動けます。

一覧は、そのフォルダやシステムの中に閉じています。別のシステム、別の組織のフォルダには、こちらの一覧は届きません。AIが環境をまたいで動くと、行った先の一覧には何も書かれていません。

VC（Verifiable Credentials）は、この二つを補います。「誰の委任で、何をどこまで」を証明書としてAIに持たせ、受け付ける側がそれを見て判断する。アクセス制御リストが「このIDは読める」と決めるのに対し、VCは「このIDは、この人の委任で、この業務のために、今日中なら読める」まで表せます。環境をまたいでも、証明書は一緒に移動します。

アクセス制御リストが無くなるわけではなく、その判断材料に、委任の情報が加わる、という関係です。

よくある誤解

IDを止めれば、権限はすべて消えるのか。 ログインはできなくなります。ただ、各フォルダの一覧にはそのIDの行が残ったままになることがあり、IDが復活したり、同じ名前で再作成されたりしたときに、古い権限がそのまま効くことがあります。

アクセス制御リストを厳しくすれば、AIエージェントは安全か。 範囲の外には出られなくなるので、大きな前進です。ただ、範囲の内側でAIが何をするかは、一覧では制御できません。読んでよいフォルダの中身を、送ってよい相手に、不適切な形で送ることは起こり得ます。

クラウドのサービスにもアクセス制御リストはあるのか。 あります。名前や画面の見た目は違いますが、「誰が何をしてよいか」の一覧は、どのサービスにも存在します。管理画面で「権限」「共有設定」「ロール」などと表示されているものが、それにあたります。

一覧に戻る