ABACの意味

ABACはAttribute-Based Access Controlの略称で、主体、対象、要求された操作、環境などに付いた属性とポリシーを評価してアクセスを決める認可モデルです。NISTは、利用者や対象オブジェクトの属性、環境条件、許可される操作を定めるルールの組み合わせによって、要求を許可または拒否する方式として定義しています。たとえば部署、役職、データの機密度、端末の状態、接続元、時刻などを条件にできます。ユーザーを固定的な役割へ割り当てるRBACと比べ、状況に応じた細粒度の判断や組織をまたぐポリシーを表現しやすい一方、属性の正確性、ポリシーの競合、評価点、監査ログ、失敗時のデフォルト拒否を設計しなければなりません。実装ではポリシーを中央管理するか、各サービスで評価するか、評価不能時に拒否するかも決めます。ABACを導入しても認証やID管理が不要になるわけではなく、属性を誰が発行・更新・検証するかが重要です。読み方は「エーバック」です。

NIST資料が扱うABACの背景は、利用者・対象・操作・環境など複数の属性を組み合わせて認可を判断することです。役割だけでは表しにくい条件をポリシーに置く点が、この用語を理解する手掛かりになります。

ABACは属性とポリシーでアクセス条件を細かく判断するため、認証やRBACとは役割を分けて確認します。