役割管理（Role Management）

基礎

用語：User / Role / Permission / Policy / Resource / Scope

基本

PHP: ロール/権限チェック

Copyfunction has_role(string $role): bool {
  return current_role() === $role;
}
function can(string $permission) : bool {
  global $ROLE_PERMISSIONS;
  $role = current_role();
  if (!$role) return false;
  return in_array($permission, $ROLE_PERMISSIONS[$role] ?? [], true);
}
// 使い方
if (has_role('admin')) {
  // 管理メニュー表示
}
if (can('content.publish')) {
  // 公開ボタンを有効化
}

フロントエンドでのUI制御

DOM要素に data-requires="admin" のように付けるだけで、JSが自動で表示/非表示を切り替えます。

導入

1. ロール/権限 の命名規則を定義（例：resource.action）
2. システム境界（フロント/バック/API/DB）の責務とチェック箇所を決める
3. 監査ログ（誰が・いつ・何を）を最低限入れる
4. 最小権限の原則（不要な権限を付けない）
5. ロール設計の棚卸しサイクルを決める（四半期など）

開発現場

Copyfunction requirePermission(string $perm, callable $handler) {
  if (!can($perm)) {
    http_response_code(403);
    echo json_encode(['error'=>'forbidden','need'=>$perm]);
    return;
  }
  $handler();
}
requirePermission('user.write', function() {
  // ユーザー作成処理…
});

CopyCREATE TABLE users(
  id BIGINT PRIMARY KEY AUTO_INCREMENT,
  username VARCHAR(64) UNIQUE,
  display_name VARCHAR(128)
);
CREATE TABLE roles(
  id BIGINT PRIMARY KEY AUTO_INCREMENT,
  name VARCHAR(64) UNIQUE
);
CREATE TABLE permissions(
  id BIGINT PRIMARY KEY AUTO_INCREMENT,
  name VARCHAR(128) UNIQUE
);
CREATE TABLE user_roles(
  user_id BIGINT, role_id BIGINT,
  PRIMARY KEY(user_id, role_id)
);
CREATE TABLE role_permissions(
  role_id BIGINT, permission_id BIGINT,
  PRIMARY KEY(role_id, permission_id)
);

最新情報

実運用では、IdP（例：Keycloak / Auth0）やゲートウェイ、ポリシーエンジン（例：Casbin / OPA）との連携情報をここに集約しましょう。

• 監査ログのダッシュボード（失敗した認可を含む）
• ロール棚卸しレポート（過剰権限の検知）
• 特権操作のワークフロー（申請・承認）

応用

ABACの導入

ユーザー属性（部署/雇用形態）、リソース属性（機密度/オーナー組織）、環境属性（アクセス元IP/曜日/時間帯）を加味したルールにします。

Copy// 疑似: ABACポリシー
$ctx = [
  'user' => ['dept'=>'sales', 'employment'=>'fulltime'],
  'resource' => ['owner_dept'=>'sales', 'classification'=>'internal'],
  'env' => ['ip'=>'203.0.113.10', 'time'=>'09:10']
];
function abac_allow(array $ctx): bool {
  // 例: 部署一致 & 勤務時間(9-18) 内のみ許可
  $hour = intval(substr($ctx['env']['time'],0,2));
  return $ctx['user']['dept'] === $ctx['resource']['owner_dept']
      && $hour >= 9 && $hour < 18;
}

発展

• マルチテナントでのロール分離（tenant_id 付与）
• 権限の階層化（role の継承 / permission の名前空間）
• 監査やSoD（職務分離）のルール強化
• OPA/RegoやCasbinモデルでの宣言的ポリシー

例

Copy<?php if (can('content.publish')): ?>
  <button class="btn">公開する</button>
<?php else: ?>
  <button class="btn warn" disabled>公開権限がありません</button>
<?php endif; ?>

おすすめツール

関連リンク

• セキュリティ入門（当サイト）
• Web API と認可の基礎（当サイト）
• デザインパターン：責務分離（当サイト）