フェデレーションとSSOの違いとは？仕組みやメリット・デメリットを解説

フェデレーションとSSOの違い

フェデレーションとSSOの違いは、フェデレーションが「認証情報をサービス間で連携する仕組み」、SSOが「一度の認証で複数サービスを利用できる状態」を指す点です。

例えば、従業員が社内の認証基盤に一度ログインし、Microsoft 365やGoogle Workspace、Salesforceなどを追加のパスワード入力なしで利用するケースを考えてみましょう。

このとき、複数サービスへログインできる状態が「SSO」であり、社内の認証基盤から各クラウドサービスへ認証結果を伝える仕組みが「フェデレーション」です。

フェデレーション方式のSSOとは

フェデレーション方式のSSOとは、IDプロバイダーとクラウドサービスの間で認証情報を連携し、複数サービスへのログインを可能にする方式です。

IdPとSPの間で認証結果を連携する

フェデレーション方式では、ユーザーを認証する「IdP（Identity Provider）」と、ユーザーが利用する「SP（Service Provider）」が連携します。

一般的なログインの流れは以下のとおりです。

• ●ユーザーがクラウドサービスへアクセスする
• ●クラウドサービスがユーザーをIdPの認証画面へ転送する
• ●IdPがID・パスワードや多要素認証などで本人確認を行う
• ●IdPが認証結果をトークンやアサーションとしてクラウドサービスへ送信する
• ●クラウドサービスが認証結果を確認し、ユーザーの利用を許可する

サービス側へパスワードそのものを渡すのではなく、IdPが発行した認証結果をやり取りするのが特徴です。各サービスに同じパスワードを保存する必要がなくなり、認証情報を一元的に管理しやすくなります。

異なるドメインや組織間でも利用できる

WebブラウザのCookieは、原則として異なるドメイン間では共有できません。そのため、通常のセッション管理だけでは、異なる事業者が提供するクラウドサービスを横断したSSOを実現できません。

フェデレーション方式では、あらかじめIdPと各サービスの間で信頼関係を設定し、標準プロトコルを使って認証結果を連携します。これにより、ドメインや運営組織が異なるサービス間でもSSOを実現できます。

フェデレーション方式のメリット・デメリット

フェデレーション方式のメリットやデメリットは以下のとおりです。

【メリット】

• ■フェデレーションに対応しているクラウドサービスで、シングルサインオンを実現しやすい
• ■メジャーな海外のクラウドサービスは対応していることが多い
• ■標準のプロトコルに対応すればシングルサインオンを実現できる

【デメリット】

• ■Webシステムが標準のプロトコルに対応していないと使えない
• ■既存システムが対応していない場合は、改修や別方式との併用が必要になることがある
• ■サービスによって対応状況が異なる

フェデレーション方式が最適なケース

フェデレーション方式は標準のプロトコルに対応する必要があります。つまり、SAMLやOpenID Connectなどの標準プロトコルに対応したクラウドサービスを利用する場合に適しているといえるでしょう。

また、現在ではGoogle WorkspaceやGoogleアカウントのようなサービスを使う機会も増えています。このようなサービスを利用するときにフェデレーション方式を活用すると良いでしょう。

社内にWebシステムがなくパブリッククラウドを利用している小規模事業者との相性も良いです。一般的にメジャーなクラウドサービスはフェデレーション方式を使用します。そして、それ以外は代理認証方式との組み合わせが好まれます。

シングルサインオンの製品の導入を検討しよう！

シングルサインオンのフェデレーション方式は、標準プロトコルに対応した多くのクラウドサービスで利用されている方式です。基本的な仕組みは各クラウドサービス間で認証されたユーザー情報を共有して認証します。

国産クラウドサービスには対応していないことが多く、自社のWebシステムも改修しなければ使えません。複数のクラウドサービスを利用し、認証を一元化したい企業に適しています。

シングルサインオンの方式の特徴を知り導入を検討しましょう。