基礎概念

最小権限の原則

Principle of Least Privilege

定義

最小権限の原則とは「ユーザー・プロセス・サービスアカウントには、与えられたタスクを遂行するために必要な最低限の権限のみを付与する」というセキュリティ設計の基本原則です。Webサーバープロセスがrootで動作していると、アプリの脆弱性が突かれた瞬間に攻撃者はシステム全体を掌握できてしまいます。最小権限を徹底することで、侵害が発生しても攻撃者の行動範囲を限定でき、ラテラルムーブメント（横展開）の抑制と被害の局所化が期待できます。実装にはRBACやABACによる細粒度な権限設計・不要になった権限の即時剥奪・Just-In-Time（JIT）アクセス（必要なときだけ昇格された権限を付与する）が有効です。クラウド環境（AWS IAM・Azure RBAC・GCP IAM）では「過剰な権限を持つサービスアカウント」が最もよく発見されるセキュリティ設定ミスの一つです。