シングルサインオン（SSO）とは
シングルサインオン（SSO）とは、一度のユーザー認証で複数のサービスや社内システムにログインできる仕組みです。「Single Sign-On」の頭文字を取り、SSOとも呼ばれます。
通常は、利用するサービスごとにIDやパスワードを入力して認証する必要があります。一方、シングルサインオンを利用すれば、最初に一度認証するだけで、連携している複数のサービスを利用できます。
クラウドサービスの利用が増えるなか、従業員が管理するID・パスワードの数も増加しています。SSOを導入することで、ログインの手間を減らすだけでなく、パスワードの使い回し防止や情報システム部門の管理負担軽減にもつながります。
シングルサインオン（SSO）の仕組み
シングルサインオンでは、ユーザーが各サービスで個別に本人確認を行うのではなく、認証を担うシステムで一度本人確認を行い、その認証結果を連携先のサービスへ伝えることでログインを実現します。
ただし、SSOを実現する方法には複数の種類があり、すべてのシステムが同じ仕組みで動作するわけではありません。まずは、代表的なフェデレーション方式を例に基本的な認証の流れを確認しましょう。
一度の認証で複数サービスにログインできる流れ
クラウドサービスなどで利用されるSSOでは、一般的に以下のような流れで認証が行われます。
- １．ユーザーが利用したいサービスにアクセスする
- ２．サービス側がユーザーを認証を行うIdPへ誘導する
- ３．ユーザーがIdPで本人認証を行う
- ４．IdPが認証済みであることを示す情報をサービス側へ送る
- ５．サービス側が認証情報を確認し、ログインを許可する
一度IdPで認証された状態になれば、次に別の連携サービスへアクセスした際も、その認証結果を利用できます。そのため、ユーザーはサービスを利用するたびにIDやパスワードを入力する必要がありません。
IdP・SP・認証情報の役割
シングルサインオンの仕組みを理解するうえでは、「IdP」「SP」と、認証結果を伝える情報の役割を押さえておくとわかりやすいでしょう。
| 用語 | 役割 |
|---|---|
| IdP（Identity Provider） | ユーザーの本人確認を行い、認証済みであることをサービス側へ伝える認証基盤 |
| SP（Service Provider） | ユーザーが利用するクラウドサービスやWebアプリケーション |
| 認証情報 | ユーザーが認証済みであることをIdPからSPへ伝える情報。方式によってSAMLアサーションやIDトークンなどが利用される |
ユーザーが複数のサービスへ同じパスワードを送信しているわけではありません。IdPが本人確認を担当し、「認証済みである」という情報を連携先へ受け渡すことで、一度のログインで複数サービスを利用できるのがSSOの基本的な考え方です。
SAML・OpenID ConnectとSSOの関係
IdPとサービス間で認証情報を安全にやり取りする際に利用される代表的な標準規格が、SAMLやOpenID Connectです。
SAML（Security Assertion Markup Language）は、企業向けクラウドサービスのSSOで広く利用されている規格です。IdPが発行する認証情報をSPへ渡し、ユーザーのログインを許可します。
OpenID Connect（OIDC）は、OAuth 2.0をベースにユーザー認証の仕組みを追加した規格です。Webサービスやモバイルアプリなど、さまざまなサービスの認証に利用されています。
なお、SAMLやOpenID ConnectはSSOそのものを指す言葉ではありません。SSOを実現するために利用される認証連携の仕組み・規格の一つです。
シングルサインオンを実現する５つの方式
シングルサインオンには、利用するシステムやネットワーク環境に応じて複数の実現方式があります。代表的なのは以下の５つです。
| 方式 | 主な仕組み | 特徴 |
|---|---|---|
| エージェント方式 | Webサーバに専用ソフトを導入して認証 | 対象システムごとの対応が必要 |
| リバースプロキシ方式 | 認証用のプロキシサーバを経由 | Webアプリ側の改修を抑えやすい |
| 代理認証方式 | システムがID・パスワードを代理入力 | SAMLなどに非対応のサービスにも利用しやすい |
| フェデレーション方式 | IdPとサービス間で認証情報を連携 | クラウドサービスとの連携に適している |
| 透過型方式 | 通信経路上で必要な認証情報を連携 | 既存環境を大きく変更せず導入しやすい |
エージェント方式
対象のWebアプリケーションが稼働するサーバに、SSO用のエージェントソフトをインストールする方式です。エージェントが認証サーバと連携し、ユーザーが認証済みかどうかを確認します。
ユーザーが一度認証すると、その情報をもとにほかの対象システムでもログインが成立するため、サービスごとにIDやパスワードを入力する必要がありません。
一方、対象となるWebアプリケーションごとにエージェントの導入や設定、アップデートが必要です。システムの仕様によっては導入できない場合もあります。
エージェント方式についてさらに詳しく知りたい方は、以下の記事も参考にしてください。
リバースプロキシ方式
ユーザーとWebアプリケーションの間にリバースプロキシサーバを設置し、認証を一元的に処理する方式です。
ユーザーがWebアプリケーションへアクセスすると、リバースプロキシが認証状況を確認します。認証済みであればそのまま対象システムへのアクセスが許可されるため、アプリケーションごとに認証する必要がありません。
エージェント方式と異なり、個々のWebアプリケーションへの専用ソフト導入を抑えられる点がメリットです。一方、対象サービスへのアクセスをリバースプロキシ経由にする必要があるため、構成によっては負荷分散や冗長化への対応が必要です。
リバースプロキシ方式をさらに詳しく知りたい方は、以下の記事もあわせてご覧ください。
代理認証方式
あらかじめ登録したID・パスワードを利用し、システムがユーザーの代わりにログイン情報を入力する方式です。
対象サービスがSAMLやOpenID Connectなどの認証連携に対応していなくても、ログイン画面への入力を自動化することでSSOを実現できる場合があります。そのため、既存システムや古いWebサービスなどにも適用しやすい点が特徴です。
一方、ログイン画面の仕様変更によって設定変更が必要になったり、サービスによっては代理認証を利用できなかったりする場合があります。
代理認証方式についてさらに詳しく知りたい方は、以下の記事もあわせてご覧ください。
フェデレーション方式
IdPとクラウドサービスなどのSPとの間で認証情報をやり取りし、ログインを実現する方式です。SAMLやOpenID Connectなどの標準規格が利用されます。
ユーザーがIdPで認証を済ませると、IdPが「認証済み」であることを示す情報をSPへ送信します。SPがその情報を確認することで、ユーザーは改めてID・パスワードを入力せずにサービスを利用できます。
サービス間でパスワードそのものを共有する必要がなく、クラウドサービスを中心としたSSOで利用されています。ただし、連携先のサービスが利用する認証規格に対応している必要があります。
SAMLを利用したSSOの仕組み
SAMLは「Security Assertion Markup Language」の略で、異なるシステム間で認証情報をやり取りするための標準規格です。
SAMLを利用したSSOでは、一般的に以下のような流れで認証が行われます。
- １．ユーザーがSPへアクセスする
- ２．SPからIdPへ認証を要求する
- ３．ユーザーがIdPで認証する
- ４．IdPがSAMLアサーションをSPへ送信する
- ５．SPが内容を検証し、ユーザーのログインを許可する
また、SAMLで受け渡すユーザー属性をもとに、サービス側でアクセス権限の制御などに活用できる場合もあります。
フェデレーション方式についてさらに詳しく知りたい方は、以下の記事もあわせてご覧ください。
透過型方式
ユーザーの通信を監視し、ログインが必要な場面でSSOシステムが必要な認証情報を連携する方式です。
対象サービス側に専用のエージェントを導入せずに利用できる場合があり、オンプレミスとクラウドが混在した環境にも対応しやすい点が特徴です。
一方、SSOを実現するための専用サーバやネットワーク上の仕組みが必要になる場合があります。対応可能なシステムや構成は製品によって異なるため、導入前に確認しましょう。
透過型方式について詳しく知りたい方は、以下の記事をあわせてご覧ください。
シングルサインオン（SSO）が求められる理由
企業では複数のクラウドサービスや業務システムを利用することが一般的になり、従業員が管理するID・パスワードも増えています。その結果、以下のような課題が発生します。
- サービスごとのログインに時間がかかる
- ID・パスワードの管理が煩雑になる
- パスワード忘れやアカウントロックへの対応が増える
- 同じパスワードの使い回しによるセキュリティリスクが高まる
シングルサインオンを導入すれば、ユーザーが覚える認証情報を減らし、ログイン作業を効率化できます。また、多要素認証やアクセス制御などと組み合わせることで、利便性とセキュリティを両立しやすくなります。
ITトレンドでは、利用しているクラウドサービスやアプリケーションと連携してSSO環境を実装できる「シングルサインオンシステム」を数多く取り扱っています。さっそく各社製品の資料を取り寄せ比較したい方は、下のボタンから一括資料請求（無料）をご利用ください。
シングルサインオン（SSO）のメリット
シングルサインオンの導入によって得られるメリットは、大きく以下の3つです。
| メリット | 内容 |
|---|---|
| ユーザーの利便性が向上する | サービスごとにIDとパスワードを入力する手間がなくなります。顧客向けサービスの認証に使えば、利用時のストレスを減らせます。 |
| セキュリティが高まる | 覚えるパスワードが1つで済むため、長い文字列を設定しやすくなります。使い回しを防げるため、不正アクセスやなりすましのリスクを抑えられます。 |
| パスワード管理作業が軽減する | 従業員がパスワードを忘れる場面が減り、管理者の対応負担も軽くなります。本人にパスワードを知らせずに運用できる製品もあります。 |
ユーザーの利便性が向上する
各サービスにログインするたびに、IDやパスワードを入力する負担は小さくありません。日々、複数のサービスにログインを繰り返すのは一苦労です。
シングルサインオンを活用すれば、従業員のID・パスワード管理負担が減り、各サービスの利便性が向上します。また、顧客向けサービスのログイン認証に活用すれば、ユーザビリティが向上し、売上の増加につながるでしょう。
セキュリティが高まる
利用サービスのセキュリティを強化するには、サービスごとに異なるパスワードの設定が理想的です。また、パスワードの文字列は長いほど望ましいとされています。
しかし、多くのパスワードを記憶・管理するのは簡単ではありません。そのため、パスワードの使いまわしや覚えやすいパスワードを設定するケースが増え、不正アクセスの被害やなりすましのリスクが高まります。
シングルサインオンを導入すれば、複数のパスワードを記憶する必要がありません。長い文字列のパスワードを設定しても覚える負担が少なく、同時にセキュリティ強化も実現します。また、IDとパスワードの使い回しを防ぐことで、不正アクセスやなりすましのリスクも軽減されます。
パスワード管理作業が軽減する
シングルサインオンシステムの導入は、管理者の負担軽減につながります。従業員がパスワードを忘れるリスクが減り、システム管理者はそれらの対応に手間を取られずに済むためです。
また、シングルサインオンシステムによっては、従業員本人にパスワードを知らせずに運用できる製品もあります。情報漏えいのリスクをさらに低減できます。
シングルサインオンを活用するメリットについてさらに詳しく知りたい方は、以下の記事をご覧ください。導入におけるデメリットも解説しています。
シングルサインオン（SSO）の注意点・デメリット
シングルサインオンには多くのメリットがある一方、導入・運用時には以下の点に注意が必要です。
- 認証基盤に障害が起きると、複数サービスにログインできなくなる可能性がある
- 認証情報が第三者に突破された場合、複数サービスへ不正アクセスされるおそれがある
- 利用中のすべてのシステムが同じSSO方式に対応しているとは限らない
そのため、認証基盤の冗長化や多要素認証、アクセス制御などのセキュリティ対策が重要です。また、導入前には既存のクラウドサービスや社内システムと連携できるか確認しましょう。
シングルサインオン（SSO）の費用相場
SSOの費用相場は、１ユーザーあたり月額300円～1,000円程度が一般的です。多くのクラウド型サービスでは、ユーザー数に応じたID単価制が採用されており、初期費用は無料または数万円程度に抑えられるケースもあります。
一方で、オンプレミス型の場合は数十万円～数百万円以上の初期費用が発生することもあり、導入形態によってコストは大きく変動します。
SSOの費用を左右するポイント
シングルサインオンの費用は、以下のような要素によって変動します。
- 連携するクラウドサービスや社内システムの数
- 利用するユーザー数（アカウント数）
- 多要素認証（MFA）の有無
- SAMLやOpenID Connectなどの対応範囲
- 導入支援やサポート体制の有無
特に、連携可能なサービス数や認証機能の充実度は、料金プランに大きく影響します。初期費用が安くても、必要な機能が不足している場合は、追加費用が発生する可能性もあるため注意が必要です。
「実際にどの製品が候補になるか知りたい」「自社の状況に当てはめて整理したい」という方向けの無料診断ページもあります。
シングルサインオン（SSO）システムの選び方
SSO導入を検討する際は、企業ニーズにあわせた製品選びが肝心です。ここでは、システム選びのポイントを解説します。
- ■クラウド（SaaS）サービスやアプリケーションに実装したい場合
- Microsoft 365やGoogle Workspaceなど、定番SaaSと連携可能なシステムは多い。一方、専門性の高いアプリケーションやサービスと認証連携できるかどうかは、製品によって異なるため、事前の確認が必要。
- ■オンプレミス環境のシステムやアプリケーションにも実装したい企業
- オンプレミスの社内システムや、SaaSとオンプレミスの両方と連携させたい場合は、SAMLやOpenID Connectへの対応に加え、代理認証方式やリバースプロキシ方式など、自社環境に適した連携方式を利用できるか確認する。
- ■多要素認証によるセキュリティ強化を重視したい企業
- シングルサインオンシステムでは、キャリア認証やFIDO認証、生体認証などの多要素認証と連携可能。ただし、設定できる多要素認証はシステムによって異なるため、自社のセキュリティレベルにあうかがポイント。
以下の記事では、シングルサインオンシステムの選び方をさらに詳しく解説しています。最新システムの価格や認証方法などを詳しく比較しているので、製品導入を検討したい方はぜひ参考にしてください。
シングルサインオン（SSO）の要点まとめ
シングルサインオンは、一度のログインで複数のサービスにアクセスできる仕組みです。ID・パスワード管理の手間を削減し、情報漏えいリスクの軽減にもつながることから、多くの企業で導入が進んでいます。
この記事で紹介したシングルサインオンの要点を、以下にあらためて整理します。
- ●ユーザーは一度の認証で、複数のクラウドサービスや社内システムにログイン可能
- ●ID・パスワードの使い回しを防ぎ、不正アクセスやなりすましのリスクを軽減
- ●従業員・管理者のパスワード管理負担を削減し、業務効率化を実現
- ●導入にあたっては、クラウド・オンプレミス双方の対応可否や認証方式の確認が重要
クラウドサービスや社内システムを数多く利用している企業は、この機会にシングルサインオンシステムの導入を検討してみてはいかがでしょうか。
下のボタンから一括資料請求（無料）が可能です。シングルサインオンシステムとはどのようなものかを知るために、まずは資料請求からはじめましょう。
