Webアプリケーションにおけるアクセス制御ポリシーの簡略化

解答と解説:

与えられたブール式は次の通りです。 X = (U AND A) OR (U AND !R AND !M) OR (!R AND U) OR (!R AND !A AND !M)

この式を簡略化するために、ブール代数の法則を適用していきます。

ステップ 1: 項の順序を整理し、共通項を見つける まず、式を読みやすくするために項を少し並べ替えてみます。 X = (U AND A) OR (U AND !R AND !M) OR (U AND !R) OR (!A AND !M AND !R)

ステップ 2: 吸収律 (Y OR (Y AND Z)) = Y の適用 第2項 (U AND !R AND !M) は、第3項 (U AND !R) の一部です。 ここで、Y = (U AND !R) とおくと、(U AND !R) OR (U AND !R AND !M) は Y OR (Y AND !M) の形になります。 吸収律により、Y OR (Y AND !M) = Y と簡略化できます。 したがって、(U AND !R) OR (U AND !R AND !M) は (U AND !R) となります。

元の式に適用すると： X = (U AND A) OR (U AND !R) OR (!A AND !M AND !R)

ステップ 3: 分配律 Y AND (Z1 OR Z2) = (Y AND Z1) OR (Y AND Z2) の逆適用 残りの式で、第2項と第3項に !R が共通しています。 X = (U AND A) OR (!R AND U) OR (!R AND !A AND !M) X = (U AND A) OR (!R AND (U OR (!A AND !M)))

これ以上、一般的なブール代数の法則（吸収律、同一律、相補律、ド・モルガンの法則、結合律、分配律）を適用して簡略化することは難しいので、これが最も簡略化された形となります。

簡略化されたブール式: X = (U AND A) OR (!R AND (U OR (!A AND !M)))

簡略化された式の意味:

この簡略化されたブール式 X は、アクセスが許可される条件を次のように解釈できます。

1. ユーザーがシステムにログインしており (U)、かつ管理者権限を持っている (A) 場合: この場合、要求されたリソースが制限付きか公開リソースか、また操作が変更操作か非変更操作かに関わらず、常にアクセスが許可されます。

2. または、要求されたリソースが公開されている (!R) 場合、かつ以下のいずれかの条件を満たす場合:

   • ユーザーがシステムにログインしている (U): 公開リソースであれば、ログインしているだけでアクセスが許可されます。
   • ユーザーが管理者権限を持っておらず (!A)、かつ要求されたアクションが変更操作ではない (!M) 場合: 公開リソースであれば、ログインしていなくても、管理者権限がなくても、閲覧などの非変更操作であればアクセスが許可されます。

より自然な日本語でまとめると、このアクセス制御ポリシーは次のようになります。

「アクセスが許可されるのは、

1. ユーザーが管理者としてログインしている場合、 または
2. 要求されたリソースが公開リソースである場合（この場合、以下のいずれかの条件でアクセスが許可される）:
   • ユーザーがログインしている
   • ユーザーが管理者ではなく、かつ要求された操作が変更操作ではない 」