SAMLとは何ですか？

セキュリティアサーションマークアップ言語（SAML）は、IDプロバイダーとサービスプロバイダーの間で認証および認可データを交換するための、XMLベースのオープンな標準規格です。これにより、ユーザーは一度認証を行うだけで、認証情報を再入力することなく複数のアプリケーションにアクセスできるようになります。これは、多くの企業向けWebベースのシングルサインオンを支える仕組みです。

主なポイント

• SAMLでは、IDプロバイダーとサービスプロバイダーの間で、署名付きXMLアサーションがやり取りされます。
• シングルサインオンを実現します。一度認証すれば、多数のアプリケーションにアクセスできます。
• Okta、Microsoft Entra ID、ADFS、およびOneLoginは、一般的なIDプロバイダーです。
• Versa のSSEゲートウェイは、SPエンティティIDによって識別されるサービスプロバイダーとして機能します。
• SAMLは、より強力な保証を実現するために、デバイス証明書やユーザー証明書と組み合わせて使用することができます。

このページの内容： その重要性 ・ 仕組み ・ 種類 · SAML およびVersa · よくある質問

SAMLはなぜ重要なのでしょうか？

フェデレーテッドIDの標準規格が登場する前は、各アプリケーションが独自のパスワード管理機能を保持していたため、ユーザーはアプリケーションごとに個別に認証を行う必要がありました。SAMLはこの問題を解決し、1つの信頼できるIDプロバイダーが、任意の数のサービスプロバイダーに対してユーザーの身元を保証できるようにしました。これにより、1回のログインで、Salesforce、Microsoft 365、Slack、あるいはプライベートアプリケーションゲートウェイなどに、再度の認証を求められることなくアクセスできるようになりました。

この単一の認証ポイントは、同時に単一の管理ポイントでもあります。ユーザーが会社を退職した場合や認証情報が漏洩した場合などに、IDプロバイダーでそのユーザーの権限を無効化すれば、管理者がアプリケーションを一つずつ確認してアクセス権を無効にする必要がなく、すべての場所でのアクセス権が一括して取り消されます。SAMLはオープンでベンダー中立であるため、企業はIDプロバイダー（IdP）とサービスプロバイダー（SP）を独立して選択でき、それらの相互運用性を信頼することができます。これが、SAMLが依然として企業のWeb SSOにおけるデファクトスタンダードであり続けている理由です。

SAMLとは何ですか？

SAMLのやり取りには、2つの役割が関わっています。アイデンティティプロバイダー（IdP）――Okta、Microsoft Entra ID、ADFS、またはPing Identityなど――は、通常、パスワードと多要素認証の手順を用いてユーザーを認証し、そのユーザーの身元に関する正式な記録を保持します。サービスプロバイダー（SP）は、ユーザーがアクセスしようとするアプリケーションまたはゲートウェイであり、自らユーザーを認証するのではなく、IdPが発行したアサーションを信頼します。

ユーザーが保護されたリソースにアクセスしようとすると、SPはユーザーをIdPにリダイレクトします。IdPはユーザーを認証した後、SAMLアサーションを返します。これは、ユーザーの身元（NameID）や、メールアドレス、役割、グループメンバーシップなどの属性を記載した、署名付きのXMLドキュメントです。SPは署名を検証し、署名が有効であると確認された場合、セッションを確立し、該当するアクセスポリシーを適用します。

SAMLの種類

2つの開始パターンが存在します。SP主導型SSOは、ユーザーがサービスプロバイダーにアクセスしようとした時点で開始されます。SPはユーザーをIdPにリダイレクトし、IdPがユーザーを認証してアサーションをSPに返送します。IdP主導型SSOは、アイデンティティプロバイダーのアプリケーションポータルから開始されます。ユーザーがアプリを選択すると、初期のリダイレクトを経ることなく、アサーションがSPに送信されます。

また、このやり取りには、SPエンティティID（サービスプロバイダーを識別するURI）、アサーションコンシューマーサービス（ACS）のURL（IdPがアサーションを投稿する先）、および属性ステートメント（認証に使用されるロール、組織、グループのクレーム）といった、いくつかの恒常的な構成要素が用いられています。グループ属性ステートメントにより、SPはIdPからグループのメンバーシップをインポートできるため、ポリシーは個別のユーザーリストではなく、IdPのグループを対象とすることができます。

SAML &Versa

Versa のSSEゲートウェイは、SAMLサービスプロバイダーとして機能します。管理者は、「Configure」>「Security Service Edge」>「User and Device Authentication」>「Profiles」の下で、SAML認証プロファイルを作成します。その際、IDプロバイダー – Okta、Microsoft Entra ID、または汎用 SAML IdP – のプリセットを選択し、シングルサインオン URL、SP および IdP のエンティティ ID、IdP の署名証明書を入力します。これらの値は、SSE ゲートウェイでの認証プロファイルの設定で説明されているように、セットアップ時に IdP ポータルに表示されるものです。 このプロファイルは、個々のユーザーまたはIdPグループに適用範囲を限定することができ、これにより、Secure Accessルールが、アサーション内のグループメンバーシップに基づいて、インターネット保護やプライベートアプリ保護などのポリシーを適用できるようになります。

公開され、Secure Access Clientルールに適用されると、ゲートウェイはログインを構成済みのIdPにリダイレクトし、返されたアサーションを検証し、成功した場合はセッションを確立します。イベントは、Concertoの[View] > [Dashboard] > [Secure Access] > [Logs] > [Authentication] > [Events] に記録されます。また、ステップバイステップの設定ガイドに従って、SAMLと証明書認証を組み合わせて、ゼロトラスト方式の認証を行うことも可能です。

よくある質問

SAML認証とLDAP認証の違いは何ですか？

LDAPでは、Versa ゲートウェイがディレクトリサーバーに直接クエリを送信し、認証情報やグループ属性を取得します。一方、SAMLでは、ユーザーを外部のIDプロバイダーにリダイレクトし、そこで認証が行われた後、署名付きのアサーションが返されます。

SAMLアサーションとは何ですか？

IDプロバイダーがユーザーの認証を行った後に発行する、署名付きのXMLドキュメント。これにはユーザーの識別情報（NameID）が記載されており、サービスプロバイダーがアクセスポリシーの策定に利用する、役割やグループの所属などの属性を含むことができる。

SAMLは、証明書ベースの認証と組み合わせることはできますか？

はい。Versa のSSEゲートウェイでは、SAMLログインの前または同時に、デバイスまたはユーザーの証明書検証を要求することができ、これによりエンドポイントとユーザーの身元の両方が確認されます。これは、規制対象環境やゼロトラスト環境では一般的な仕組みです。

SP主導型SSOとIdP主導型SSOの違いは何ですか？

SP主導型SSOは、ユーザーがサービスプロバイダーにアクセスを試みた時点で開始され、サービスプロバイダーはユーザーを認証ページへリダイレクトします。IdP主導型SSOは、アイデンティティプロバイダーのアプリポータルで開始され、ユーザーがアプリケーションを選択すると、アサーションがサービスプロバイダーに直接送信されます。

VersaのSAML実装では、どのIDプロバイダーが利用できますか？

Versa SSEゲートウェイは、専用のプリセット、あるいは任意のIdPの実体ID、SSO URL、および証明書を受け入れる汎用プロファイルを通じて、Okta、Microsoft Entra ID、およびその他の標準に準拠したSAML 2.0 IDプロバイダーに対応しています。

SAMLに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

SAMLについて調べているなら、次はこれらをチェックしてみる価値があります。