---
title: 管理者権限の付与
lede: 管理者の権限を与える操作は、一度通ると、その権限で次の操作が続きます。誰が・誰に・どの権限を与えたかを、署名の記録として残す方法をまとめます。
shelf: operations
desk: security
legal: true
use_case: generic.sign
edition: 2
source: 個人情報の保護に関する法律についてのガイドライン（通則編）10-6 技術的安全管理措置 | https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/ | 2026-10-10
source: 個人情報の保護に関する法律 第23条 | https://laws.e-gov.go.jp/law/415AC0000000057 | 2026-10-10
source: Regulation (EU) 2016/679（GDPR）第32条 | https://eur-lex.europa.eu/eli/reg/2016/679/oj | 2026-10-10
source: UK GDPR 第32条 | https://www.legislation.gov.uk/eur/2016/679/article/32 | 2026-10-10
source: 16 CFR 314.4（Safeguards Rule） | https://www.ecfr.gov/current/title-16/chapter-I/subchapter-C/part-314/section-314.4 | 2026-10-10
source: MITRE ATT&CK T1098 Account Manipulation | https://attack.mitre.org/techniques/T1098/ | 2026-10-10
---

## 起きること

権限を与える操作そのものは、何も壊しません。けれども、与えた権限で次の操作がいくらでも続くので、侵入した攻撃者が最初に狙う操作の一つです[^6]。

- 盗まれたセッションから、攻撃者が自分のアカウントに管理者の権限を与えます。
- 招待のリンクや承認の画面が差し替えられ、意図しない相手に権限が渡ります。
- 権限を与えたあとで、操作の記録が書き換えられたり、消されたりします。
- 監査で「この権限は誰が与えたか」を問われ、どのセッションから操作されたかしか示せません。

## 問われること

権限の付与は、多くの法域で「アクセスを誰に許すか」の管理として扱われます。方式を一つに定める規則は少なく、リスクに見合った措置を講じることが求められます。

| 法域 | 求められること |
|---|---|
| JP | 個人データを扱う事業者は、安全管理のための措置を講じます[^2]。ガイドラインは、担当者と扱う範囲を限るアクセス制御と、使う人が正当なアクセス権を持つことを識別したうえで認証することを挙げています[^1]。 |
| EEA | リスクに見合った技術的・組織的な措置で、処理の安全を確保します[^3]。 |
| UK | 同じ規定を、英国の規則が引き継いでいます[^4]。 |
| US | 一般の法令は無く、分野ごとの規則があります。金融機関には、アクセスの制御を定期的に見直すことを求める規則があります[^5]。 |

争いになったときの署名の扱いは、[パスキーの署名は、証拠として何になるか](/ja/notes/passkey-evidence) にまとめています。

## 残す記録

署名の対象（ハッシュ）に、次を含めます。

- 権限を受け取る人の識別子
- 与える権限（役割の名前）と、その範囲（組織・プロジェクトなど）
- 期限を付けるなら、その期限
- 依頼の番号

```json
"payload": {
  "purpose": "generic.sign",
  "message_digest": "<受け取る人・役割・範囲・期限・依頼番号の SHA-256>",
  "display_hint": "管理者権限の付与"
}
```

権限を与える直前に、手元の内容からハッシュを計算し直し、署名のハッシュと一致することを確かめてから与えます。署名の結果は、権限の変更の記録と一緒に保管します。

二人の承認を求めたいときは、自社のサービスが二人それぞれに署名を依頼し、二つの署名がそろってから権限を与えます。そろったかどうかの判定は、自社のサービスが行います。

## 署名だけでは足りないこと

- 署名した人が、その権限を与えてよい立場にあるかは、自社のサービスが判定します。署名はその判定の記録を残すだけです。
- 権限を外す操作は、急いで行う必要があることがあります。外すことを先にし、記録をあとから残す設計もありえます。
- 署名は、与えた権限がその後どう使われたかを示しません。権限で行った操作の記録は、別に残します。

## 次の一手

- [署名の手順](https://docs.clavis.nexus/signature)：依頼の登録から結果の受け取りまで
- [「ログイン済みだから本人だろう」で通してよい操作、よくない操作](/ja/notes/logged-in-is-not-consent)