SSOとは何ですか？

シングルサインオン（SSO）とは、ユーザーが1組の認証情報で1回ログインするだけで、そのセッション中にアクセス権限が与えられているすべてのアプリケーションに、その都度認証情報を再入力することなくアクセスできる認証モデルです。企業のSSOの多くは、IDプロバイダーと各接続サービスとの間で交換されるSAMLまたはOpenID Connectを用いて実装されています。

主なポイント

• 1回のログインで、そのセッション中に接続されているすべてのアプリケーションにアクセスできます。
• SAMLとOpenID Connectは、ほとんどのエンタープライズ向けSSOを支える2つの標準規格です。
• IDプロバイダーはユーザーを認証し、各サービスはその認証結果を信頼します。
• SSOフローは、サービスプロバイダー側か、IDプロバイダー側のいずれかから開始されます。
• Versa Director、Concerto、およびTitan ポータルは、いずれもSAMLまたはOpenIDベースのSSOに対応しています。

このページの内容： その重要性 ・ 仕組み ・ 種類 · SSO およびVersa · よくある質問

SSOはなぜ重要なのでしょうか？

SSOがなければ、ユーザーはアプリケーションごとに個別のパスワードを管理しなければならず、その結果、脆弱なパスワードや再利用されたパスワード、書き留められた認証情報が生じやすくなります。これらは、アカウント乗っ取りによる情報漏洩の主な原因となっています。SSOはこの負担を取り除きます。ユーザーは信頼できるIDプロバイダーに対して一度認証を行うだけで、接続されたすべてのアプリケーションがその認証を受け入れ、再度の認証を求めません。この単一の制御ポイントは、管理者にとっても重要です。 従業員が退職する際、1つのIDプロバイダーアカウントを無効化するだけで、すべての場所でのアクセス権が一括して取り消されます。これにより、IT部門が数十ものログイン情報を個別に追跡する必要がなくなります。

パスワードの数が減れば、フィッシング攻撃の対象となる範囲も縮小します。保護すべき認証情報は1つだけで済み、MFA（多要素認証）を適切に導入できるシステムに集中させることができ、MFAに対応していないシステムに分散させる必要がなくなります。Versa Directorのようなオンプレミスシステムに加え、数十ものSaaSツールを管理している組織にとって、SSOこそが集中管理型のアクセスポリシーを実現する唯一の手段なのです。

SSOとは何ですか？

SSOは、認証をそれを必要とするアプリケーションから分離することで機能します。Okta、Azure AD、ADFS、OneLogin、Ping Identityなどのアイデンティティプロバイダー（IdP）が、ユーザーの認証情報を保持し、ログイン処理を行います。 ユーザーがアクティブなセッションを持たない状態でアプリケーション（サービスプロバイダー）にアクセスすると、そのアプリケーションはユーザーをIdPにリダイレクトします。IdPはユーザーの身元を確認し、そのユーザーが誰であり、どのような役割を持っているかを確認する署名付きアサーションまたはトークンを発行します。サービスプロバイダーはそのアサーションを検証し、パスワードを閲覧することなくアクセスを許可します。

このトラフィックの大部分は、2つの標準規格によって担われています。SAMLは、ブラウザのSSO（シングルサインオン）のために構築されたXMLベースのプロトコルであり、IdPとサービスプロバイダーの間で署名付きアサーションを交換します。OpenID Connectは、OAuth 2.0を基盤とした、より新しいトークンベースのプロトコルです。両者とも、異なるメッセージ形式を通じて、「1回のログインで複数のアプリケーションを利用できる」という同じ目標を達成しています。

SSOの種類

SSOの導入形態は、フローがどのように開始されるか、およびどのプロトコルで処理されるかという2つの側面によって異なります。サービスプロバイダー主導型（SP主導型）SSOは、ユーザーがアプリケーションに直接アクセスしようとした時点で開始されます。ユーザーはIdPにリダイレクトされ、IdPが認証を行った後、ログイン応答を伴ってユーザーをアプリケーションへリダイレクトします。IDプロバイダー主導型（IdP主導型）のSSOは、IdPのポータルから開始されます。ユーザーはまずそこでログインし、その後、IdPが送信するSSOレスポンスを事前リダイレクトなしに信頼するアプリケーションを起動します。エンタープライズ向けIdPは通常、コネクタごとに選択可能な両方の方式をサポートしています。

プロトコル自体は、署名付きXMLアサーションを使用するSAMLベースのものもあれば、OAuth 2.0トークンを使用するOpenID Connectベースのものもあります。OktaやAzure ADなどのIdPを標準として採用している組織では、通常、両方をサポートしており、アプリケーションごとに選択しています。

SSO &Versa

Versa Director、Concerto、およびTitan ポータルは、それぞれローカルのユーザー名/パスワードによるログインに代わる手段としてSSOをサポートしています。Directorは、SAMLおよびOpenID ConnectベースのSSOの両方をサポートしており、ADFS、Okta、OneLogin、Ping Identityに対してテスト済みです。SP主導およびIdP主導の両方のフロー、ならびにIdPからDirectorへのロールマッピングに対応しています。Concertoも同様にこれら2つのプロトコルをサポートしており、ADFS、Azure、Okta、Ping Identityでの動作確認が行われており、システムユーザーとテナントユーザー向けに別々のフローが用意されています。Titan Versa の再販業者向けポータルであるPortalは、SAMLベースのSSOをサポートしており、ADFS、Azure AD、G-Suite、Okta、およびOneLoginでの動作確認が行われています。認証済みのIdPユーザーをすべて受け入れるか、またはローカルで既にプロビジョニング済みのユーザーのみを受け入れるかのいずれかを選択可能です。SSOは、二要素認証と併用するのではなく、その代わりに有効化されます。

よくある質問

SSOと多要素認証の違いは何ですか？

SSOとMFAは、それぞれ異なる課題を解決します。SSOは、ユーザーがログインする回数を減らします。つまり、1回のログインで複数のアプリケーションにアクセスできるようになります。一方、MFAは、パスワード以外の第2の認証要素を用いて、各ログインのセキュリティを強化します。これら2つは相互に補完し合う関係にあります。SSOは認証処理をIDプロバイダーに集約するため、個々のアプリケーションごとにMFAを適用するよりも、IDプロバイダー側でMFAを容易に実施できるようになります。

SSOとフェデレーテッド・アイデンティティの違いは何ですか？

SSOとは通常、組織内のアプリケーション間で単一のログインを行うことを指します。フェデレーテッドIDは、この概念を異なる組織間へと拡張したものです。例えば、自社のIDプロバイダーを信頼の基盤として、パートナー企業のポータルにログインする場合などが挙げられます。フェデレーションこそが、組織をまたぐSSOを可能にする仕組みです。

SP主導型SSOとIdP主導型SSOの違いは何ですか？

SP主導型SSOは、ユーザーがアプリケーションを直接起動し、認証のためにIDプロバイダーにリダイレクトされた時点で開始されます。IdP主導型SSOは、IDプロバイダーのポータルから開始され、ユーザーは事前のリダイレクトなしに、すでに信頼されているアプリケーションを起動します。ほとんどのエンタープライズ向けIDプロバイダーは、この両方をサポートしています。

SSOを利用している場合、パスワードが漏洩するとアカウントのリスクは高まるのでしょうか？

その可能性はあります。なぜなら、1つのIDプロバイダーの認証情報が侵害されると、接続されているすべてのアプリケーションへのアクセスが許可されてしまう恐れがあるからです。そのため、SSOの導入にあたっては、IDプロバイダー側で強力なMFAを併用する必要があります。認証を一か所に集約することは、その場所が十分に保護されている場合にのみ、より安全になるのです。

Versa のDirectorとConcertoは、同じSSOプロトコルをサポートしていますか？

はい。いずれも、SAMLおよびOpenID ConnectベースのSSOに対応しており、証明書やエンドポイントURLなどのIdPメタデータを使用してコネクタとして設定されます。Titan ポータル（Versaが運営する独立したリセラー向けポータル）は、SAMLベースのSSOのみに対応しています。これら3つすべてについて、Okta、ADFS、Azure AD、Ping IdentityなどのIdPとの互換性テストが実施されています。

SSOに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

SSOについて調べているなら、次はこれらをチェックしてみる価値があります。