Slide 1
Slide 1 text
アクセス制御の新時代
OpenFGAできめ細かなアクセ
ス制御(FGA)に⼊⾨してみた
2024.7.23
産業⽀援グループゲームソリューション部 新屋 司
Slide 2
Slide 2 text
Xへの投稿の際は、
ハッシュタグ
#cm_odyssey
でお願いいたします。
2
お願い
Slide 3
Slide 3 text
⾃⼰紹介
新屋 司
クラスメソッド株式会社
ゲームソリューション部
福岡（北九州）
業務効率化⽀援（認証‧認可）
3
Slide 4
Slide 4 text
OpenFGA
4
Slide 5
Slide 5 text
Googleドライブのような、きめ細
かいアクセス制御を実装できる
認可ソリューション
5
Slide 6
Slide 6 text
Googleドライブのようなものとは？
きめ細かいアクセス制御とは？
そもそも認可とは？
Slide 7
Slide 7 text
前提知識
7
Slide 8
Slide 8 text
認証/認可
8
Slide 9
Slide 9 text
認証/認可
● 認証はユーザーが本⼈であることを確認する。
● 認可はリソースにアクセスする権限を確認する。
9
Slide 10
Slide 10 text
アクセス制御
10
Slide 11
Slide 11 text
ロールベースアクセス制御
ユーザーには「管理者」や「編集者」などのロールが
割り当てられ 、各ロールには特定の権限が関連付け
られる。
11
RBAC
Slide 12
Slide 12 text
ロールベースアクセス制御
● 強み
○ シンプル
■ RBACは、開発者とエンドユーザーの両⽅にとってシンプルで使い慣
れたソリューションを提供する。
● 弱み
○ 限られた柔軟性
■ アクセス制御はロールによってのみ定義されるため、システムがス
ケールすることによる、きめ細かいアクセス制御要件が出現すると、
RBACのシステムはすぐに不⼗分になる可能性がある。
12
Slide 13
Slide 13 text
属性ベースアクセス制御
属性（ユーザー、リソース、アクション、条
件）に基づいたアクセス制御を⾏う。
13
ABAC
Slide 14
Slide 14 text
S3バケットポリシー 14
Slide 15
Slide 15 text
属性ベースアクセス制御
● 強み
○ きめ細かさ
■ ABACは、属性を使⽤して⾮常にきめ細かなアクセス制御ポリ
シーを作成する機能を提供する。
● 弱み
○ 複雑さ
■ ABACの実装、管理、保守は⼤きな課題となる可能性があり、
設計が⾮常に複雑で時間がかかるだけでなく、システム更改
のたびに⾒直すなど、継続的なメンテナンスが必要。
15
Slide 16
Slide 16 text
認可って
なんか⼤変そう...
16
Slide 17
Slide 17 text
ReBAC登場
17
Slide 18
Slide 18 text
ReBACとは
Relationship-Based Access Control
リソース間の関係性に焦点を当てたアクセス制御モデ
ル
18
ReBAC
Slide 19
Slide 19 text
関係性？
Slide 20
Slide 20 text
関係ベースアクセス制御 20
Root
Folder
File
Folder
Folder
File
File File
?
?
?
?
?
太郎
Slide 21
Slide 21 text
関係ベースアクセス制御 21
Root
Folder
File
Folder
Folder
File
File File
?
parent
parent
parent
parent
太郎
Slide 22
Slide 22 text
関係ベースアクセス制御 22
Root
Folder
File
Folder
Folder
File
File File
owner
parent
parent
parent
parent
太郎
Slide 23
Slide 23 text
関係ベースアクセス制御 23
Root
Folder
File
Folder
Folder
File
File File
owner
parent
parent
parent
parent
editor
viewer
太郎
健太郎
花⼦
Slide 24
Slide 24 text
関係ベースアクセス制御 24
Group
Folder
Folder
editor
member
member
太郎
健太郎
花⼦
editor
viewer
Slide 25
Slide 25 text
RBACやABACで同じことが出来ないの？
Slide 26
Slide 26 text
ロールベースアクセス制御 26
Folder
Folder
editor
special_viewer
owner
edit
太郎
健太郎
花⼦
view
edit
Slide 27
Slide 27 text
属性ベースアクセス制御 27
Folder
Folder
owner.太郎
editor.太郎
viewer.太郎
editor.健太郎
viewer.健太郎
太郎
健太郎
花⼦
owner.太郎
editor.太郎
viewer.太郎
editor.健太郎
viewer.健太郎
viewer.花⼦
if (user.name == folder.owner) …
if (user.name == folder.editor) …
if (user.name == folder.viewer) …
Slide 28
Slide 28 text
関係ベースアクセス制御
● 強み
○ 複雑な階層の処理
■ ReBACは階層とネストされた関係を表すように設計されている。
■ ReBACを使⽤すると、チームやグループを使⽤してリソースごとに個
別に 権限を定義するのではなく、⼀括して権限を定義できる。
● 弱み
○ パフォーマンス
■ 複雑な関係を処理するために多くの計算リソースを必要とするため、
⼤規模なシステムではパフォーマンスが低下する可能性がある。
28
Slide 29
Slide 29 text
RBAC/ABAC/ReBACはなんとなく分かったけど
OpenFGAとの関係は？
Slide 30
Slide 30 text
OpenFGA
ReBACは、RBACやABACの機能を含む柔軟なアクセス制御
モデルであり、OpenFGAはこれ（ReBAC）を利⽤して⾼度
なアクセス制御シナリオをサポートします。
30
https://openfga.dev/
Slide 31
Slide 31 text
実践編
31
Slide 32
Slide 32 text
認可モデル
32
Slide 33
Slide 33 text
認可モデル 33
Slide 34
Slide 34 text
認可モデル 34
対象
主体
関係
Slide 35
Slide 35 text
関係タプル
35
Slide 36
Slide 36 text
関係タプル 36
Slide 37
Slide 37 text
認可モデルの例
37
Slide 38
Slide 38 text
Direct Access 38
Slide 39
Slide 39 text
Roles and Permissions 39
Slide 40
Slide 40 text
User Groups 40
Slide 41
Slide 41 text
Parent-Child Objects 41
Slide 42
Slide 42 text
実装編
42
Slide 43
Slide 43 text
さいごに
43
Slide 44
Slide 44 text
OpenFGAの使いどころ
● Google Driveのような階層構造を持つドキュメント管理アプリ
○ フォルダーとファイルの階層構造に対して、柔軟なアクセス制御
が可能。
● Githubのような組織（グループ）を持つアプリ
○ リポジトリや組織の管理権限を動的に設定できる。
● X（旧Twitter）やYouTubeのようなシェア機能を持つアプリ
○ 特定の投稿や動画に対して、⼀時的なアクセス権を付与すること
が可能。
44
Slide 45
Slide 45 text
No content