必要な人に必要な権限だけ

愛知の自動車部品メーカーで、入社 1 週間の方が生産管理システムを触っていました。

設定が面倒だったので、新人にも管理者の権限が渡されていました。ボタンを押し間違え、翌週の生産計画がまるごと消えてしまいました。

この方は、実績を入力できれば十分でした。権限をどう渡せばよかったのでしょうか。

最小権限の原則は、仕事に必要な権限だけを渡すという考え方です。

権限が少なければ、押し間違えても壊せるものは少なくなります。パスワードを盗まれた場合も、攻撃者にできることは限られます。

冒頭の新人に必要だったのは「見る」と「実績を入力」だけでした。

社員が 500 人いると、一人ずつ権限を設定するのは大変です。間違いも起きやすくなります。

そこで、仕事ごとに権限をまとめた役割を作ります。人には役割を一つ割り当てるだけです。

役割の中身を変えれば、その役割の全員に一度で反映されます。

# 生産管理システムの役割と、できること
roles = {
    "閲覧者": ["見る"],
    "作業者": ["見る", "実績を入力"],
    "管理者": ["見る", "実績を入力", "計画を変更", "利用者を追加"],
}

# だれがどの役割か
staff = {"伊藤": "作業者", "加藤": "閲覧者", "小林": "管理者"}


def allowed(name, action):
    role = staff[name]
    return action in roles[role]


print("伊藤さんは計画を変更できるか:", allowed("伊藤", "計画を変更"))
print("小林さんは計画を変更できるか:", allowed("小林", "計画を変更"))

# 加藤さんを "作業者" に変えて、実績を入力できるか確かめてください。

権限は、渡したあとも見直しが必要です。

部署を異動した人に、前の部署の権限が残っていることがよくあります。退職した人のアカウントが使えるままになっていることもあります。

月に一度など、決まった時期に棚卸しをします。使われていない権限とアカウントは止めます。