認証と承認の仕組みについて

質問

現在、認証と承認の仕組みに興味を持っており、色々と調べているところなのですが、イマイチ具体的に理解できないので質問させていただきます。

そもそも、認証はIDとパスワード等の組み合わせが正しいか、そうでないのか、で、本人であるかどうかを確認するプロセスのことだと理解しています。

承認は、認証されたユーザに対して、どの様な権限が与えられているのか、また、その与えられた権限を承認するのが、承認のプロセスだと理解しています。

それぞれ、認証と承認は別々のサービスとして存在する（例えば、認証はKerberos認証やNTLM認証、承認はLDAPやActiveDirectory）と認識しています。

ここで疑問なのですが、認証されたユーザと、そのユーザが持っている権限はどのように・どうやって関連づけられているのでしょうか？

例えば、
認証サーバAを設置し、LDAPやActiveDirectoryなどのディレクトリサービスを提供するサーバBを設置し、何らかのサービスを提供しているサーバCを設置している様な環境で、Cにログインするための認証を認証サーバAに問い合わせ、そのサービスに対する権限情報をサーバBから取得し、やっと、サーバCのサービスが利用できる、といった様な流れになるのでしょうか？

また、認証サーバAはどうやって、問い合わせのあったサービスを利用する権限をそのユーザが持っていて、またどの程度の権限がある、と言う様な判断はどうやって行われているのでしょうか。

よろしくお願い申し上げます。

回答No.1

Palikari

詳細と正確なところは後続の回答者におまかせして、以下概略です。

認証は記述の通り、ユーザ認証のことであり、
承認は記述の通り、アクセス権の確認のことで合っていると考えます。

また、認証では加えて、
ユーザと所属する組織／グループ等情報を関連付けます。

認証とアクセス権確認は別機能ではありますが、
別個のサービス(service)として起動していたかは不確かです。
なお、Kerberos認証やNTLM認証，LDAP，ActiveDirectory(AD)は全て認証側のものです。
LDAPやADは認証サーバ／ディレクトリサーバ，
Kerberos認証やNTLM認証は認証機構、Kerberos認証はADで、NTLM認証はNTで使われていたりします。

ファイルやフォルダのアクセス権などの情報は、
フォルダに記録されています。
＃UNIXはそう。Windowsも同じと思いますが未確認。

よって、
ログイン時に、ディレクトリサーバ等でユーザとパスワードのマッチングを確認、
かつユーザと所属組織／グループ等の情報が関連付けられ、
ファイル等アクセス時に、ファイル等の所持するアクセス権情報を確認して、アクセスが承認されます。

基本はこれで間違っていないはずなのですが、
すいません、裏づけのための確認をしていません。

補足

ご回答ありがとうございます。

補足で疑問点があるのですが、ACL等を利用した様な一元管理を行うような場合は、どういった流れで認証・承認がおこなわれるのでしょうか？

フォルダにアクセス権が記録されている場合は、なんとなくイメージしやすいのですが、各種リソースに対するアクセス権等はどうやって、どこの誰が管理しているのでしょうか？