AIに認証・認可の設計を相談するチェックリスト

① AIに相談する前に

• 「認証（誰か）」と「認可（何をしてよいか）」を、分けて書いているか
• 4点セットのうち「どのデータに対して」が埋まっているか
• 実際の顧客名・社内の権限データを貼らずに済む形になっているか
• いま決めたいのが設計案なのか、穴の洗い出しなのか、自分で分かっているか

② AIへの問いかけで

• 「設計して」ではなく「意図しない操作を挙げて」と頼んでいるか
• 他人のIDを直接指定した場合を、名指しで聞いているか
• 検索・CSV出力・一括操作・通知メール・外部連携を、名指しで聞いているか
• 退職・異動・案件終了・代理権限の期限切れを、名指しで聞いているか
• 返ってきた指摘を、自分たちで実際に起こせるか確かめたか

③ 実装に移る前に

• 認可の判断が、画面ではなくサーバ側で行われているか
• 一覧だけでなく、1件の取得・更新・削除・添付ファイルでも持ち主を確かめているか
• 判断が1か所に集まっていて、既定が「拒否」になっているか
• 権限を外す手順（退職・異動・期限切れ）が決まっているか
• 拒否されることのテストと、許可されることのテストが、同じくらい並んでいるか
• AIエージェントが操作する場合、それが誰の権限で動くか決まっているか