Discord の最小権限の原則

各メンバーと各ボットには、必要なものだけ、それ以上は与えないを与えます。Discord では、「管理者」権限をむやみに配らず、ロールごとに細かく分けた権限（メッセージの管理、キック、チャンネルの管理など）を選び、明確なロール階層を保つことを意味します。

ヌークの大半は、特権アカウントから起きます。（盗まれたトークンやフィッシングで）乗っ取られた運営メンバーのアカウントや、権限を与えすぎた悪意のあるボットです。誰も必要以上の権限を持たなければ、乗っ取られたアカウントでもすべてを破壊することはできません。最小権限は、被害の範囲を狭めます。

• 「管理者」は、信頼できるごく少数の人にだけ与えましょう。
• 全体の管理者権限ではなく、ロールごとの細かい権限を選びましょう。
• 不要なボットからは管理者権限を外しましょう。乗っ取られたボットひとつでヌークを起こせます。
• モデレーションに必要な 2FA を有効にしましょう。
• 誰がどの権限を持っているかを定期的に確認しましょう。RaidProtect のセキュリティ監査が、リスクのある権限を見つけます。

最小権限は、強力なアカウントの数を減らしますが、それでもそのアカウントは格好の標的です。そこで RaidProtect の Authentification Manager の出番です。

Authentification Managerは、確かな本人確認（パスキー、PIN コード、OTP）で、機密性の高いロールへのアクセスを守ります。ロールを取得するには、/authで認証が必要です。さらに重要なのは、アクセスは有効期限のある一時的なセッションで付与され、その後、機密性の高いロールは自動で外されることです。

結果として、運営メンバーのアカウントが乗っ取られても、攻撃者は恒久的な管理者アクセスを得られません。認証も突破しなければならず、アクセスできる時間も限られています。これは「誰に」だけでなく、「どのくらいの間」にも適用された最小権限です。