ぞうログ「認証（Authentication）」は相手が主張どおりの本人であることを確認する仕組み、「アクセス制御（Access Control）」は認証された利用者に対して何を許可し何を許可しないかを決める仕組みである。両者は連続する別の工程であり、混同しないよう区別して理解しておく必要がある。試験では、認証の3要素、多要素認証、最小権限の原則、代表的なアクセス制御モデルが繰り返し問われる。
認証の3要素
本人確認に使われる情報は、性質によって次の3つの要素に分類される。
- 記憶（知識）要素：本人の頭の中にしかない情報。パスワード、PINコード、秘密の質問など。
- 所持要素：本人だけが持っている物。ICカード、スマートフォンの認証アプリ、USBトークン、SMSで届くワンタイムコードなど。
- 生体（生体的）要素：本人の身体的・行動的特徴。指紋、虹彩、静脈、声紋など。
多要素認証とシングルサインオン
異なる種類の要素を2つ以上組み合わせて本人確認を行う方式を、多要素認証（MFA：Multi-Factor Authentication）と呼ぶ。パスワード（記憶要素）に加えてスマートフォンの認証アプリ（所持要素）を要求する仕組みなどが典型例である。
パスワードを入力した後にもう一度別のパスワードを入力させるような、同じ種類の要素を繰り返し使う方式は多要素認証には該当しない。あくまで「異なる種類」の要素を組み合わせているかどうかが判定の基準になる。
一方、シングルサインオン（SSO：Single Sign-On）は、一度の認証を行うだけで、連携する複数のシステムやサービスにログインし直すことなくアクセスできるようにする仕組みである。認証の回数を減らして利便性を高める仕組みであり、認証要素を増やして安全性を高める多要素認証とは目的が異なる。
最小権限の原則
最小権限の原則（Principle of Least Privilege）とは、利用者やプロセスに対して、業務の遂行に必要な最小限の権限のみを付与するという考え方である。必要以上の権限を与えないことで、アカウントの乗っ取りや誤操作が発生した際の被害範囲（影響範囲）を最小限に抑えることができる。
アクセス制御モデル
誰に、どのリソースへの、どのような操作を許可するかを決める枠組みには、いくつかの代表的なモデルがある。
- 任意アクセス制御（DAC：Discretionary Access Control）：リソースの所有者が、自らの裁量で他の利用者へのアクセス権限を設定できる方式。柔軟だが、設定ミスによる権限の過剰付与が起こりやすい。
- 強制アクセス制御（MAC：Mandatory Access Control）：システム側があらかじめ定めたポリシーに従ってアクセス可否が決まり、利用者や所有者が個別に権限を変更できない方式。機密性の高い環境で採用される。
- ロールベースアクセス制御（RBAC：Role-Based Access Control）：利用者に直接権限を割り当てるのではなく、「役割（ロール）」に権限をまとめて割り当て、利用者にロールを付与することで間接的に権限を管理する方式。組織のように利用者が多い環境で管理コストを抑えやすい。
DAC・MAC・RBACは「誰が権限を決めるか」で整理する。DACは所有者本人、MACはシステムのポリシー、RBACは個人ではなく「役割（ロール）」が判断の基準になる点を軸に区別しておこう。
試験では、「多要素認証と二段階認証（多段階認証）の違い」「シングルサインオンは何のための仕組みか」「DAC・MAC・RBACのうち、誰が権限を決めるか」といった、似た用語の違いを問う問題が頻出する。「誰が権限を設定するのか」「何のために使われる仕組みなのか」を軸に整理しておくとよい。