新人と先輩の会話形式で理解しよう

新人

「先輩、認証と認可って似たような言葉に聞こえるんですけど、具体的にどう違うんですか？」

先輩

「確かに混乱しやすいけど、認証と認可は全く別の役割を持っているんだ。簡単な例を交えて説明するよ！」

新人

「お願いします！」

1. 認証とは？

認証とは、システムを利用する人が「本当に本人かどうか」を確認する仕組みのことです。例えば、ウェブサイトにログインするときに「ユーザー名」と「パスワード」を入力しますね。これは、入力された情報が正しいかどうかを確認するためです。つまり、認証は「あなたは誰ですか？」と聞かれたときに、きちんと「私は◯◯です」と答えるためのプロセスなんです。

例えば、社内のシステムにログインするとき、次のようにコードを書いて本人確認を行います。


@Controller
public class LoginController {
    public String login(String username, String password) {
        // 本人確認を行う認証処理
        if ("user1".equals(username) && "pass123".equals(password)) {
            return "認証成功";
        } else {
            return "認証失敗";
        }
    }
}

この例のように、認証はシステムが利用者の正しさを確認するために必須です。

2. 認可とは？

認可とは、認証が終わった後に「この人は何をしていいのか」を決める仕組みのことです。例えば、ログインした後に「管理者ページを見ても良い人」と「一般ユーザーだけのページしか見られない人」がいますよね。この差が認可です。

簡単な例を挙げると、次のようなコードでページへのアクセスを分けることができます。


@Controller
public class PageController {
    public String accessPage(String role) {
        // 役割（ロール）に応じてアクセス権限を確認
        if ("admin".equals(role)) {
            return "管理者ページへアクセス許可";
        } else {
            return "一般ページのみアクセス許可";
        }
    }
}

このように、認可は「その人が何を許されているか」を管理する仕組みです。認証だけでは利用者の身元しかわかりませんが、認可で初めて「どのページを見てもいいか」などが決まるんです。

3. 認証と認可が必要な理由

では、なぜ認証と認可の両方が必要なのでしょうか？実は、どちらか一方だけでは安全にシステムを運用することができないからです。認証がないと、そもそも誰か分からない人がシステムに入ってきます。逆に、認可がないと、誰でも好き勝手にページを見たり機能を使ったりできる状態になります。

例えば、会社のシステムをイメージしてみてください。ログインして認証が完了した後、管理者だけが使える社員情報の編集画面があるとします。もし認可がなかったら、全員がその編集画面を自由に使えるようになってしまいます。情報漏えいや改ざんのリスクが生まれるわけです。

実際にSpringの@Controllerを使って、認証と認可を組み合わせたサンプルコードは次のようになります。


@Controller
public class AuthExampleController {
    public String handleRequest(String username, String password, String role) {
        // 認証
        if (!"user1".equals(username) || !"pass123".equals(password)) {
            return "認証失敗";
        }

        // 認可
        if ("admin".equals(role)) {
            return "管理者ページへアクセス許可";
        } else {
            return "一般ページのみアクセス許可";
        }
    }
}

このように、認証で「本人確認」をしてから、認可で「利用できる機能やページ」を決めることが大切です。認証と認可の仕組みをしっかり理解することで、より安全なウェブアプリケーションを作ることができます。

4. 認証と認可の違いを具体的な例で解説

ここまでの説明で、認証と認可の基本的な意味は理解できたと思いますが、もう少し具体的な例を見てみましょう。例えば、社内の会議室予約システムを想像してください。このシステムでは、まずログイン画面があり、ユーザー名とパスワードを入力します。これが認証です。ログインが成功すれば、システムは「この人は確かに登録されている社員だ」と確認します。

認証が終わった後、管理者であればすべての会議室の予約状況を確認できたり、新しい会議室を追加したりする機能が使えます。しかし、一般社員は会議室の予約や状況確認しかできません。これが認可の仕組みです。つまり、認証は「社員かどうかを確認する」部分で、認可は「管理者として特別な機能を使えるかどうかを確認する」部分です。

このように、認証と認可はセットで機能することで、安全で便利なシステムを実現しています。

5. 認証と認可の仕組みをSpring Securityでどのように実現するか

ここまでで、認証と認可の意味や違いは理解できたと思います。それでは、実際の開発でよく使われるSpring Securityという仕組みを使って、どのように認証と認可を実現するのかを簡単に解説します。Spring Securityは、Springフレームワークと一緒に使われるセキュリティライブラリで、認証と認可を簡単に実装できます。

まず、Spring Securityでは、ユーザー名とパスワードを入力してログインするときに認証を行います。この部分はUsernamePasswordAuthenticationFilterなどが担当します。つまり、システムが「このユーザー名とパスワードは正しいか」をチェックしてくれるわけです。

その後、認可はAccessDecisionManagerなどが行います。たとえば、管理者ページにアクセスしようとしたときに、「この人は管理者権限を持っているか」を自動的に判断して、アクセスを許可するかどうかを決めてくれます。

Spring Securityでは、こうした仕組みを設定ファイルやアノテーションで簡単に使えるのが特徴です。例えば、次のようにコントローラにアノテーションを付けることで、認可のルールを設定できます。


@Controller
public class SecurityExampleController {

    @PreAuthorize("hasRole('ADMIN')")
    public String adminPage() {
        return "管理者ページにアクセス許可";
    }

    @PreAuthorize("hasRole('USER')")
    public String userPage() {
        return "ユーザーページにアクセス許可";
    }
}

この例では、hasRole('ADMIN')と書かれたメソッドは管理者だけが使えます。一方、hasRole('USER')と書かれたメソッドは一般ユーザーも使える機能です。Spring Securityを使えば、このように簡単に認証と認可の仕組みを取り入れることができます。

6. 認証と認可の役割とそれぞれの重要性

最後に、改めて認証と認可の役割とそれぞれの重要性をまとめておきましょう。認証は、ユーザーが「誰なのか」を確認する仕組みで、システムを安全に使う第一歩です。これがなければ、外部の知らない人が勝手に社内システムに入ってくるかもしれません。

一方で、認可は「その人がどこまで利用していいか」を決める仕組みです。例えば、社内の書類管理システムでは、一般社員は自分が担当するプロジェクトの書類しか見られないけれど、管理者は全社の書類にアクセスできるようになっています。こうすることで、情報の流出や改ざんを防ぐことができるわけです。

つまり、認証と認可はお互いに役割が違うけれど、どちらもとても大切です。認証がないと「誰が使っているのか分からない」状態になり、認可がないと「みんなが何でもできる」状態になってしまいます。この2つを組み合わせることで、社内システムやウェブアプリケーションを安全に守ることができるんです。

Spring Securityを使えば、こうした認証と認可の仕組みをしっかり実装できるので、初心者の方も安心して開発に取り組めます。これから実際にアプリケーションを作っていくときに、ぜひ今回学んだ認証と認可の違いと役割を意識しながら進めてみてください。

7. 認証と認可の実装例（Spring Securityの設定例）

ここでは、実際にSpring Securityを使って認証と認可を設定する例を見てみましょう。pleiadesを使ってプロジェクトを作成し、Gradleで依存関係を管理する場合、まずbuild.gradleにSpring Securityの依存関係を追加します。これはpleiadesの依存関係追加画面からも簡単に設定できます。


// build.gradle
dependencies {
    implementation 'org.springframework.boot:spring-boot-starter-security'
}

次に、セキュリティ設定を行うJavaクラスを作成します。Spring SecurityではWebSecurityConfigurerAdapterを拡張して設定クラスを作ります。以下は認証と認可を設定する例です。


@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/admin/**").hasRole("ADMIN") // 管理者のみアクセス可能
                .antMatchers("/user/**").hasAnyRole("USER", "ADMIN") // 一般ユーザーと管理者がアクセス可能
                .anyRequest().authenticated() // 他のリクエストは認証のみ必要
            .and()
            .formLogin() // フォームログインの設定
                .loginPage("/login") // ログインページのURL
                .permitAll() // ログインページは誰でもアクセス可能
            .and()
            .logout() // ログアウト設定
                .permitAll();
    }
}

この例では、/admin/**にアクセスできるのは管理者だけ、/user/**は一般ユーザーと管理者がアクセス可能です。それ以外のページは認証が必要です。ログインページは/loginに設定されています。

次に、認証情報（ユーザー名・パスワード・ロール）をメモリ上に用意しておく例です。


@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.inMemoryAuthentication()
        .withUser("admin").password("{noop}adminpass").roles("ADMIN")
        .and()
        .withUser("user").password("{noop}userpass").roles("USER");
}

この設定では、管理者と一般ユーザーをメモリ上に用意し、adminはパスワードadminpassで管理者権限、userはパスワードuserpassで一般ユーザー権限を持っています。{noop}はパスワードの暗号化を行わない設定です。こうしてSpring Securityを使うことで、簡単に認証と認可を実装できます。

8. 認証と認可を理解することで得られるメリット

認証と認可をしっかり理解し、実際に実装できるようになると、様々なメリットがあります。まず第一に、システムの安全性が格段に向上します。誰がシステムを使っているのかを正確に確認できるだけでなく、権限に応じてアクセスを制御できるため、情報漏えいや不正利用を防げます。

また、開発するアプリケーションの品質が高まります。認証と認可を正しく実装することで、安心して使えるシステムをユーザーに提供できます。社内のシステムであっても、重要なデータや機密情報を扱うことが多いため、セキュリティを軽視せずに、しっかりと管理することが必要です。

さらに、Spring Securityのようなフレームワークを活用すると、複雑な仕組みを一から作る必要がなく、設定やアノテーションだけで高いセキュリティを実現できます。これは開発者にとって大きな負担軽減につながりますし、将来的な保守や運用の際にも安心です。

認証と認可の概念を理解することは、今後の開発スキルを磨くうえでも非常に大切です。どんなウェブアプリケーションを作るときでも、セキュリティを無視できることはありません。今のうちに認証と認可の役割や仕組みをしっかり理解しておくことで、将来必ず役立ちます。

9. まとめと今後の学びのステップ

ここまで、認証と認可の違いや仕組み、Spring Securityを使った実装方法を見てきました。認証は「誰なのかを確認する」仕組みで、認可は「その人が何をして良いのかを決める」仕組みです。両方がそろって初めて、安全で信頼できるシステムが作れます。

実際にSpring Securityを使って認証と認可を実装する際には、設定ファイルやアノテーションの使い方をさらに詳しく学んでいくことが大切です。例えば、データベースと連携してユーザー情報を管理する方法や、OAuth2など外部サービスを使った認証連携も、今後の大きな学びのテーマになります。

また、今回の例ではメモリ上のユーザー情報を使いましたが、実際のシステムではデータベースからユーザー情報を取得して認証することが多いです。Spring Securityには、そうした実践的な機能も豊富に備わっています。ぜひ次のステップとして、データベースを使った認証方法も試してみてください。

認証と認可は最初は難しく感じるかもしれませんが、基本を理解できれば応用もどんどん身につきます。安全なアプリケーション開発のために、少しずつステップアップしていきましょう。

この記事を読んだ人からの質問

認証と認可の違いを初心者向けにわかりやすく解説！