セッションベースドテストマネジメント (SBTM)

定義

**セッションベースドテストマネジメント (SBTM)**は、主体の本人性と許可された操作を要求ごとに確認する仕組みである。ここでの「SBTM」が対象範囲または成立条件を具体化する。

仕組みと具体例

署名済みtokenでもaud・iss・expと対象resourceへの権限を検証しなければ流用され得る。通常時だけでなく、境界値、失敗、並行実行、依存先の変化が結果へ及ぼす影響も追跡する。

実践と検証

既定拒否と最小権限を採用し、object-level認可をserver側で毎回検査する。期待結果を観測可能な条件で記述し、最小例から異常系へ広げる。

トレードオフ

適用により再現性や分離性が高まる一方、構成、抽象、運用対象が増える場合がある。解決するリスクと維持コストを比較し、例外には理由、期限、代替策を記録する。