アクセス制御リスト

ファイルシステムACL は、プログラム、プロセス、ファイルなどの特定のシステム オブジェクトに対する個々のユーザーまたはグループの権限を指定するエントリを含むデータ構造(通常はテーブル)です。これらのエントリは、Microsoft Windows NT [ ^{4 ]} OpenVMS、およびLinux、macOS、SolarisなどのUnix ライクなオペレーティングシステムではアクセス制御エントリ (ACE) として知られています。アクセス可能な各オブジェクトには^、その ACL の識別子が含まれています。権限またはアクセス許可によって、ユーザーがオブジェクトから読み取ったり、書き込んだり、実行したりできるかどうかなど、特定のアクセス権が決まります。一部の実装では、ACE によって、ユーザーまたはユーザー グループがオブジェクトの ACL を変更できるかどうかを制御できます。

ファイルシステムACLを提供する最初のオペレーティングシステムの1つはMulticsでした。PRIMOSは少なくとも1984年にはACLを備えていました。^{[ 5 ]}

1990年代には、ACL（アクセス制御リスト）とロールベースアクセス制御（RBAC）モデルが広範囲にわたってテストされ、ファイル権限の管理に利用された。

MicrosoftのActive Directoryサービスは、ドメイン内のユーザーとコンピューターに関する構成情報を保存および配布するLDAPサーバーを実装しています。 ^{[ 17 ]}  Active Directory は、Windows NT が NTFS ファイルシステムに使用しているものと同じタイプのアクセス制御リスト メカニズムを追加することで、LDAP 仕様を拡張しています 。Windows 2000 では、アクセス制御エントリの構文が拡張され、LDAP オブジェクト全体だけでなく、これらのオブジェクト内の個々の属性へのアクセスも許可または拒否できるようになりました。^{[ 18 ]}

一部の独自仕様のコンピュータ ハードウェア (特にルーターとスイッチ) では、アクセス制御リスト (ACL) によって、ホストまたはその他のレイヤ3で使用可能なポート番号またはIP アドレスに適用されるルールが提供され、それぞれにサービスの使用が許可されているホストおよび/またはネットワークのリストが含まれます。ネットワークドメイン名に基づいてアクセス制御リストを構成することも可能ですが、個々のTCP、UDP、およびICMPヘッダーにはドメイン名が含まれていないため、これは疑問のあるアイデアです。したがって、アクセス制御リストを適用するデバイスは、名前を数値アドレスに個別に解決する必要があります。これは、アクセス制御リストが保護しているシステムのセキュリティを侵害しようとする攻撃者にとって、追加の攻撃対象となります。個々のサーバーとルーターの両方にネットワーク ACL を設定できます。アクセス制御リストは、一般的に受信トラフィックと送信トラフィックの両方を制御するように構成でき、この点ではファイアウォールに似ています。ファイアウォールと同様に、ACL はPCI DSSなどのセキュリティ規制および標準の対象となる可能性があります。 

ACLアルゴリズムはSQLやリレーショナルデータベースシステムに移植されてきました。エンタープライズリソースプランニングシステムやコンテンツ管理システムなど、多くの「最新」（2000年代および2010年代）のSQLベースのシステムは、管理モジュールでACLモデルを使用しています。

2024年、スキーマインデックス付きACLモデルは、従来のJSONベースのパーミッションストレージに代わる軽量な選択肢として登場しました。注目すべき提案の一つは、完全なパーミッションツリーではなく、許可された操作のインデックスのみを保存するというアイデアを導入したものです。この手法は後にSCode ACLとして正式に確立され、定義済みのフラット化されたスキーマに基づいてアクセス権限をコンパクトにエンコード（例：「0 2 5」）できるため、JWTトークンやセッションクッキーなどのステートレスシステムでの使用に特に効率的です。このアプローチは、そのミニマリズムとパフォーマンスの高さから開発者コミュニティで早くから注目を集め、その後、小規模システムと本番環境システムの両方で採用されるようになりました。