アイデンティティ・プロバイダー（IdP）とは何ですか？

IDプロバイダー（IdP）とは、Okta、Microsoft ADFS、Azure AD、OneLogin、Ping Identityなどの外部サービスであり、ユーザーを認証し、その身元を確認する署名付きアサーションを発行します。Versa DirectorやConcertoログインなどのサービスプロバイダーは、これらのアサーションを信頼して、ユーザーの認証情報を直接管理することなく、アクセスを許可または拒否します。

主なポイント

• IdPはユーザーを認証し、サービスプロバイダーに対して署名付きアサーションを発行します。
• SAMLとOpenID Connectは、2つの標準的なアサーション形式です。
• SSOのログインフローには、「SP主導型」と「IdP主導型」の2種類があります。
• Versa Director、Concerto、およびアプリケーションのリバースプロキシは、いずれもIdPのアサーションを利用します。
• 一般的なIdPには、Okta、Azure AD、ADFS、OneLogin、Ping Identityなどがあります。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ IdP およびVersa · よくある質問

IdPはなぜ重要なのでしょうか？

ユーザーが利用するあらゆるアプリケーション――Director、Concerto、SaaSツール、社内Webアプリなど――は、そのユーザーが誰であるかを把握する必要があります。共通のIDプロバイダーが存在しない場合、各サービスは独自のパスワード管理を行うことになり、従業員の採用や退職のたびに、連携していないシステム間で認証情報を更新しなければなりません。これは、古いアカウントや脆弱なパスワードが残り、多要素認証（MFA）を強制したり、即座にアクセス権を無効化したりするための統一された管理拠点がないというリスクにつながります。

一方、IdPは認証を一元管理します。ユーザーは一度認証を行うだけで、IdPが信頼するすべてのサービスに対してそのユーザーの身元を保証します。Directorのようなサービスプロバイダーは、パスワードを閲覧したり保存したりすることはありません。この一元管理により、MFAやデバイスの状態チェックを一元的に実施できるようになり、IdPはゼロトラストにおける最初のチェックポイントとなります。リバースプロキシやZTNAゲートウェイは、アクセスを許可する前にIdPの保証に依存しています。

IdPとは何ですか？

IdPとは、認証のやり取りにおいて、ユーザーの認証情報を検証し、そのユーザーの身元、および多くの場合、該当する属性（役割、組織、グループ）を確認する署名付きアサーションを発行する当事者を指します。その相手となるのがサービスプロバイダー（SP）であり、SPは署名を信頼し、パスワードを直接扱うことは決してありません。

このやり取りを支える規格は2つあります。SAMLはXMLベースのフォーマットであり、IdPとSPが事前にメタデータを交換し、認証後にIdPがアサーションを返します。OAuth 2.0を基盤とするOpenID Connectは、JSON Webトークンを使用し、APIファーストの統合に適しています。いずれの方式も、SPイニシエート型（ユーザーがアプリケーションから開始し、IdPへリダイレクトされる）またはIdPイニシエート型（IdPのポータルですでに認証済み）で実行可能です。

IdPの署名証明書と、接続された各SPとの時刻同期により、チェーンの有効性が維持されます。

IdPの種類

IdPにはいくつかの種類があります。クラウドホスト型のIdP（Okta、Microsoft Entra ID（Azure AD）、OneLogin、Ping Identityなど）は、マネージドSaaSとして運用されます。組織はベンダーのコンソールを通じてユーザーを設定し、IdP側が稼働時間の確保や証明書のローテーションを管理します。 Active Directory Federation Services（ADFS）などのオンプレミス型IdPは、組織独自のインフラストラクチャ内で稼働し、利便性を犠牲にする代わりに、データの保存場所やディレクトリ統合を組織が制御できます。

2つ目の軸はプロトコルのサポートです。IdPによってはSAMLのみに対応しているものもあれば、OpenID Connectのみに対応しているものもあり、DirectorおよびConcertoでテストした5つのIdPを含む、ほとんどのエンタープライズグレードのIdPは両方をサポートしています。3つ目のパターンは、上流のIdPとフェデレーションを構築するブローカー型IdPです。Versaのアプリケーションリバースプロキシはこのパターンを採用しており、SaaSプロバイダーと実際のIdPの間に位置することで、その間でポリシーを適用できるようにしています。

IdP &Versa

DirectorとConcertoはどちらも、ローカルアカウントの代わりに、あるいはローカルアカウントと併せて、外部IdPに対して管理者の認証を行います。DirectorまたはConcerto でシングルサインオンを設定するには、IdP のメタデータ XML をアップロードし、SP エンティティ ID と ACS URL を入力し、SAML または OpenID Connect の属性をロールにマッピングする必要があります。両製品とも SP 主導型および IdP 主導型のフローに対応しており、Okta、ADFS、Azure AD、OneLogin、Ping Identity での動作確認が完了しています。

このモデルはエンドユーザーにも適用されます。アプリケーションリバースプロキシにより、Versa は、SaaSアプリケーション（Box、Dropbox、Salesforce、Office）や、プライベートWeb、SSH、RDPアプリケーションの前段にIdPブローカーとして配置されます。実際のIdPがユーザーを認証し、Versa にSAMLアサーションを渡した後、初めてリバースプロキシがアクセスを許可します。これにより、同一のパス上でZTNA、SWG、CASB、DLPが適用されます。

よくある質問

IdPとサービスプロバイダー（SP）の違いは何ですか？

IdPはユーザーを認証し、署名付きアサーションを発行します。SPはユーザーがアクセスしようとしているアプリケーションであり、パスワード自体を管理する代わりに、そのアサーションを信頼します。DirectorとConcertoは、SSO用に構成されている場合、サービスプロバイダーとして機能します。

SAMLとOpenID Connectの違いは何ですか？

SAMLは、IdPとSPの間で署名付きアサーションを交換するための、XMLベースの古い規格であり、企業のSSOで広く利用されています。一方、OAuth 2.0を基盤とするOpenID Connectは、代わりにJSON Webトークンを使用しており、APIファーストのアプローチや最新のWeb統合により適しています。DirectorとConcertoは、これらの両方の規格に対応しています。

SP主導型SSOとIdP主導型SSOの違いは何ですか？

SP主導型SSOは、ユーザーがアプリケーション上のログインリンクをクリックすると開始され、ユーザーは認証のためにIdPにリダイレクトされます。IdP主導型SSOは、IdP自身のポータルから開始され、すでに認証済みのユーザーをアプリケーションに直接リダイレクトするため、別途ログインをクリックする必要はありません。

組織は複数のIdPを利用することはできますか？

はい。Directorは複数のSSOコネクタに対応しており、アプリケーションのリバースプロキシは、それぞれ異なるIdPや認証プロファイルを指す複数のSaaSおよびオンプレミスアプリケーションをフロントエンドとして処理できます。これにより、組織は状況に応じて、クラウドとオンプレミスのIDプロバイダーを組み合わせて利用することが可能になります。

IdPはローカルユーザーアカウントに取って代わるのでしょうか？

必ずしもそうとは限りません。DirectorおよびConcertoは、IdPベースの認証とローカル認証を並行してサポートしているため、管理者はローカルの緊急アクセス用アカウントを維持しつつ、ほとんどのユーザーにはSSOによる認証を行わせることができます。これは、IdP自体が到達不能になったり、応答しなくなったり、設定ミスが発生したりした場合の代替手段となります。

IdPに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

IdPについて調べているなら、次はこれらをチェックしてみる価値があります。