「認可（Authorization）」とは、認証によって本人確認が完了したユーザーに対して、どのデータや機能へのアクセスを許可するかを制御する仕組みです。認証が「誰であるか」を確認するのに対し、認可は「何ができるか」を決定します。

たとえ正当なユーザーであっても、すべての情報にアクセスできるわけではありません。役職や業務内容に応じて権限を分離し、必要な範囲のみを許可することで、情報漏洩や誤操作のリスクを低減できます。

認可設計において重要な考え方が「最小権限の原則」です。各ユーザーには業務に必要な最低限の権限のみを付与し、過剰な権限を与えないことで、セキュリティを強化します。近年では、利用端末や場所、時間帯などの条件を組み合わせた動的な認可制御も普及しています。