特権とは

他人のデータに触れられる、取り消せない操作ができる、といった強い権限を特権と呼びます。強いほど狙われやすく、間違えたときの被害も大きくなります。だから、普通の権限と同じ扱いにしません。

代理ログイン

管理者が会員として入り、その人の画面をそのまま見る機能を代理ログインと呼びます。「画面がおかしい」という問い合わせを調べるときに便利で、naminori にもあります。

便利な反面、管理者が本人になれる機能です。naminori では次のように区切っています。

後から困ること① 代理ログインを「ただのログイン」として作る

代理ログインを、本人のログインと同じ状態として作ったとします。記録の上では、管理者の操作が本人の操作に見えます。本人から「こんな操作はしていない」と言われても、区別できません。

代理中であることを状態として持ち、記録には「本人として」と「実際に操作した管理者」の両方を残せるようにしておきます。

後から困ること② 代理中に何でもできる

代理中でも何でもできる作りにすると、本人しかするべきでない操作 ― パスワードや二段階認証の変更、外部アプリへの接続の許可、退会 ― が見つかるたびに、1つずつ塞ぐことになります。最初から「代理中は使えないもの」の一覧を持っておくと、機能を足すたびにその一覧と照らせます。

後から困ること③ 強い操作を、いつもの権限に混ぜる

削除や一括の変更のような取り消せない操作を、普段の編集と同じ権限に入れると、ちょっとした間違いがそのまま大きな事故になります。naminori の管理用の AI 接続では、次のようにしています。

• 削除できる段階を、作成・更新とは別の段階にする
• 削除や件数の多い変更は、いったん対象と件数を返し、確認の値を取り直してから実行する
• 編集以上の段階の接続を出せるのは、発行を任された管理者だけにする

講座31の第7回では、これを「AIエージェントに渡す権限」として見ました。ここでは、AI に限らず人間の管理者にも同じ考え方が当てはまることを押さえてください。

管理者は短く

第1回で見たとおり、naminori の管理者は、一定時間操作が無いと自動でログアウトします。開きっぱなしの管理画面は、それだけで特権の置き忘れです。

• 特権を普通の権限と分ける理由
• 代理ログインで naminori が見せない・させないもの
• 代理ログインを「ただのログイン」にすると後から困ること
• 取り消せない操作は別の段階にし、確認を挟む