ITトレンドがおすすめする製品・サービス
- ■連携方式別
- SAML連携対応：HENNGE One Identity Edition、GMOトラスト・ログイン、IIJ IDサービス、CloudGate UNO、Gluegent Gate（グルージェント ゲート）、SeciossLink（セシオスリンク）、Secioss Access Manager Enterprise（SAME）、SmartHR、OneLogin、LOCKED MSO、IDFederation
- OIDC連携対応：IIJ IDサービス、Gluegent Gate（グルージェント ゲート）、SeciossLink（セシオスリンク）、Secioss Access Manager Enterprise（SAME）、OneLogin、IDFederation
- SCIMでのアカウント自動連携対応：IDFederation
- アカウントの自動作成・停止（プロビジョニング）対応：Okta Workforce Identity、CloudGate UNO、Gluegent Gate（グルージェント ゲート）、SeciossLink（セシオスリンク）、OneLogin
- ■管理で重視したい点別
- ログイン履歴やアクセス状況の把握：Okta Workforce Identity、CloudGate UNO、SeciossLink（セシオスリンク）、Secioss Access Manager Enterprise（SAME）、LOCKED MSO、TrustBind/Federation Manager
- AIエージェントなど人以外のIDも管理：Okta Workforce Identity
生成AIツールにシングルサインオンが求められる理由
生成AIツールは部署や個人の判断で使い始められるため、IDの管理が後回しになりがちです。ここでは、シングルサインオンなしでAIツールを利用した場合に起こりうる問題を3つに分けて整理します。
個人アカウントでの利用による情報管理の難しさ
社員が個人のメールアドレスで生成AIに登録すると、入力した業務情報が会社の管理外のアカウントに残ります。会話履歴やアップロードしたファイルを会社として確認・削除できないため、情報管理のルールを守れているか判断できません。
会社が契約するAIサービスをSSOと連携すれば、従業員は会社のIDでログインできます。ただし、個人アカウントによる利用を防ぐには、AIサービス側でのログイン制限なども必要です。会話履歴の保存やAI学習への利用可否についても、サービスの契約内容と管理機能を確認しましょう。
退職者や異動者のアクセスが残るリスク
AIツールごとにIDとパスワードを発行していると、退職時にすべてのアカウントを止める作業が必要です。停止漏れがあると、退職後もAIツールのワークスペースや共有された会話にアクセスできる状態が続くおそれがあります。
SSOでは、IdP（ID情報を一元管理して認証を行う基盤）側でIDを無効にすれば、連携先へ新たにログインできなくなります。ただし、すでに発行済みのセッションやトークンが期限まで残る場合もあるため、連携先側の停止方法も確認しておきましょう。
管理者が利用状況を把握できない問題
パスワード認証で個別に使われているAIツールは、誰がいつ使っているかを情報システム部門が把握しにくくなります。ライセンス数が実際の利用者数とずれ、費用の無駄や不足が起きる原因にもなります。
SSOを経由させると、IdPにAIツールへのログイン履歴を残せます。ただし、ログイン履歴だけでは実際の利用回数や機能の使用状況まではわかりません。ライセンスの利用状況を詳しく確認する場合は、AIサービス側の管理画面や利用レポートと組み合わせて判断しましょう。
AIツールをSSOにつなぐ仕組みと連携方式
AIツールとSSOの連携には、標準化された認証プロトコルが使われます。方式によって設定方法や対応できることが異なるため、代表的な3つの規格の役割を押さえておくと、製品の資料を読み比べる際に役立ちます。
SAMLとOIDCの役割の違い
SAML（Security Assertion Markup Language）は、IdPが「この人は認証済み」という情報をXML形式で連携先に渡す規格です。企業向けのWebサービスで広く採用されており、法人向けAIツールでも対応例があります。
OIDC（OpenID Connect）は、OAuth 2.0という認可の仕組みに認証の機能を加えた規格です。IDトークンと呼ばれるJSON形式のデータで利用者の情報を渡し、Webサービスだけでなくスマートフォンアプリとの連携にも使われます。AIツールがどちらに対応しているかを事前に確認しましょう。
SCIMによるアカウントの自動作成と削除
SCIM（System for Cross-domain Identity Management）は、ユーザー情報の作成や更新、削除をシステム間で自動的に反映するための規格です。SAMLやOIDCがログインの仕組みであるのに対し、SCIMはアカウントそのものを管理する仕組みです。
IdPとAIツールをSCIMで連携すると、入社時のアカウント作成や退職時の無効化が連携先にも反映されます。SSOだけではAIツール側にアカウントが残る場合があるため、両方に対応しているかを確認するとよいでしょう。
SSO対応の有無と提供プランの確認
AIツールのなかには、SSOやSCIMを法人向けの上位プランでのみ提供しているサービスもあります。個人向けや少人数向けのプランでは、会社のIDでログインする設定自体ができない場合があります。
そのため、AIツールの導入を検討する段階で、SSOの対応方式と対象プラン、追加費用の有無をあわせて確認することが大切です。シングルサインオン製品側でも、連携先として設定手順が用意されているかを調べておくと導入がスムーズです。
SSOだけでは防げないシャドーAIへの備え
シャドーAIとは、会社が把握・許可していないAIサービスを社員が業務で使うことです。SSOで管理できるのは連携済みのサービスに限られるため、未連携のAI利用を見つけて抑える仕組みも必要です。
未連携のAIサービスを把握する方法
SSOのログに残るのは、IdPと連携しているサービスへのログインだけです。社員が個人アカウントで使っているAIサービスは、SSOの管理画面からは見えません。
未連携の利用を把握するには、Webプロキシやファイアウォールの通信記録、CASB（クラウドサービスの利用を可視化・制御する仕組み）の活用が選択肢です。見つかったサービスは、許可してSSOに連携するか、利用を制限するかを個別に判断します。
利用ルールと申請フローの整備
技術的な制限だけでは、業務に必要なAIツールまで使えなくなり、かえって未許可の利用を招く場合があります。どのAIサービスを許可するか、どの情報を入力してよいかを社内ルールとして明文化することが大切です。
あわせて、新しいAIツールを使いたい部署が申請できる窓口と審査の流れを用意しましょう。審査を通ったツールはSSOに連携してから利用を始める、という手順を決めておくと、管理対象を少しずつ広げられます。
APIキーやブラウザ拡張機能の管理
AIサービスはWeb画面からのログインだけでなく、APIキーやブラウザ拡張機能を通じて使われることもあります。APIキーはSSOを経由せずに利用できるため、IdPでIDを止めても有効なまま残るケースがあります。
APIキーは発行者と用途を台帳で管理し、定期的な更新と不要なキーの削除を行いましょう。ブラウザ拡張機能は、管理者が許可した拡張だけを使えるようにブラウザの設定で制御する方法があります。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でシングルサインオンの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
AIエージェントの接続にもSSOの考え方を広げる
AIエージェントは、人の指示を受けて社内システムやSaaSを自動で操作するAIです。人と同じようにシステムへアクセスするため、そのIDと権限も会社の管理下に置く必要があります。
人以外のIDとして登録して管理する
AIエージェントには、人とは別のサービスアカウントや専用のIDを割り当て、管理責任者を決めておくことが重要です。接続にはAPIトークンなどを利用する場合もあるため、SSOだけでなく、認証情報の発行・更新・失効を管理する仕組みも確認しましょう。人以外のIDを管理できる範囲は製品によって異なります。
権限を業務上必要な範囲へ絞る
AIエージェントは自動で多くの操作を行うため、権限が広すぎると誤った指示や不正な入力によって想定外の処理が実行されるおそれがあります。読み取りだけでよい業務に書き込み権限を与えないなど、必要な範囲に絞ることが基本です。
OAuth 2.0では、アクセストークンに許可する操作の範囲をスコープとして指定できます。トークンの有効期限を短めに設定し、不要になった連携は管理画面から取り消せるようにしておくと安心です。
操作ログで指示した人をたどれるようにする
エージェントが行った操作に問題があった場合、どの社員の指示で、どのシステムに何をしたのかを確認できなければ原因を調べられません。エージェントのIDと指示した社員の情報をログ上で結び付けておくことが大切です。
IdPのログと各システムの操作ログを照合できるよう、ログの形式や保存先を事前に決めておきましょう。異常な操作を検知した際に、管理者へ通知する設定もあわせて検討します。
AIツール向けにシングルサインオンを選ぶ際の確認点
AIツールの管理が目的なら、一般的な機能比較に加えて、AIサービスとの連携のしやすさも確認しましょう。利用状況の追跡に使える機能があるかも、シングルサインオン製品を選ぶ判断材料です。
連携できるAIサービスの範囲
シングルサインオン製品には、主要なSaaSとの連携設定をあらかじめ用意しているものがあります。社内で使っている、または導入予定のAIツールが連携先に含まれているかを一覧で確認しましょう。
一覧にない場合でも、SAMLやOIDCに対応していれば手動で設定できることがあります。SCIMによるアカウント連携まで使えるかはサービスごとに異なるため、ベンダーに具体的なサービス名を伝えて確認すると確実です。
アクセス条件を設定できる細かさ
機密情報を扱うAIツールは、社外ネットワークや私物端末からの利用を制限したい場合があります。接続元のIPアドレスや端末の種類、所属部署などを条件にアクセスを許可・拒否できるかを確認しましょう。
あわせて、AIツールへのログイン時の多要素認証を必須にできるかも重要です。全社一律ではなく、アプリごとや部署ごとに条件を変えられるかによって、運用の手間が変わります。
ログの保存期間と出力方法
AIツールの利用状況を監査するには、ログイン履歴を一定期間保存し、必要なときに取り出せることが前提です。保存期間はプランによって異なる場合があるため、社内規程で求められる期間を満たせるかを確認しましょう。
また、ログをCSVで出力できるか、SIEM（ログを集めて分析するシステム）へ自動で送信できるかも確認項目です。ほかのセキュリティ製品と組み合わせて分析できると、異常の発見につながります。
AIツールの利用管理に使えるSSO製品一覧
生成AIツールを会社のIDにひも付けて管理する際の候補となる、シングルサインオン製品を一覧にまとめました。対応する連携方式やアカウント管理の機能を見比べる際に役立ててください。
| 製品名 | 特徴 |
|---|---|
| HENNGE One Identity Edition | SAML認証で300を超えるクラウドサービスと連携できる。ポータルと各サービスへの直接ログインを選べる |
| GMOトラスト・ログイン | SAML認証やBasic認証に対応したクラウド型ID管理。IPアドレスやデバイスによるアクセス制御も可能 |
| Okta Workforce Identity | 従業員からAIエージェントまでのIDを統合して保護。人事システムと連携したアカウントの作成・停止にも対応 |
| IIJ IDサービス | SAMLやOpenID Connect準拠のサービスへSSOできる。ADとのID・グループ情報の自動同期も可能 |
| CloudGate UNO | SAML2.0などでの認証連携とパスキー認証に対応。認証ログでユーザーの活動を確認できる |
| Gluegent Gate（グルージェント ゲート） | SAMLやOIDCでWebアプリにSSO。Google Workspaceなどへのプロビジョニングも可能 |
| SeciossLink（セシオスリンク） | SAMLやOpenID Connect、代理認証でのSSOに対応。未使用アカウントなどの統計情報を可視化できる |
| Secioss Access Manager Enterprise（SAME） | SAMLやOpenID Connect、OAuthでSSOできるオンプレミス型。認証ログをWebから検索できる |
| SmartHR | SAMLによるSSOとSSO非対応サービスのパスワード管理を搭載。人事データと連動してアカウントを管理できる |
| OneLogin | SAML2.0やOpenID Connectに対応。プロビジョニングでアカウントの作成から削除までを自動化できる |
| LOCKED MSO | SAML認証や独自方式で各種SaaSへのSSOを実現。端末ごとにログを取得し、利用状況を把握できる |
| TrustBind/Federation Manager | クラウドとオンプレミスを問わずSSO環境を構築できる。クラウドサービスへのログイン履歴を管理者が把握できる |
| IDFederation | SAMLやOpenID ConnectでWebアプリにSSO。外部IdPやSCIM連携でID基盤と統合運用できる |
生成AIを会社のIDで管理できるSSO製品
AIツールとの連携に使われるSAMLやOIDCへの対応、アカウントの自動連携、ログイン履歴の確認といった観点から製品を選びました。社内で使うAIツールの対応方式とあわせて比較してみてください。
HENNGE One Identity Edition
- SAML認証で300超のクラウドサービスと連携が可能
- わかりやすいSSOマニュアルによりスムーズな導入が実現
- ID/パスワードを統合化し、パスワード管理の利便性が向上
HENNGE株式会社が提供する「HENNGE One Identity Edition」は、クラウドサービスを利用する際のアクセス権の管理・制御を実現するサービスです。SAML認証により300を超えるクラウドサービスと連携でき、Microsoft 365やGoogle Workspaceなどへのログインをシングルサインオンにまとめられます。ログイン方法は、シングルサインオンポータルを経由する形式と各サービスへ直接ログインする形式から選べます。利用者の使い方にあわせて導入しやすいサービスです。
GMOトラスト・ログイン
- 社内システム、業務アプリ、複数SaaSのIDを効率的に一元管理
- シングルサインオンで情報漏えいのリスクを減らし、利便性も向上
- 迅速に多要素認証を導入し、セキュリティを強化
GMOグローバルサイン株式会社が提供する「GMOトラスト・ログイン」は、業務アプリやクラウドアプリ、社内システムのIDを一元管理するクラウド型のID管理サービスです。SAML認証やBasic認証などに対応し、一度のログインで複数のサービスを利用できます。IPアドレスやデバイス、証明書によるアクセス制御も可能なため、許可したAIツールへのアクセスを社内の端末に限定したい場合にも検討できます。
Okta Workforce Identity
- フィッシングに強い認証フローでログインをより簡単・安全にする
- ADやLDAP等と統合。全てのIDを単一コントロールプレーンから管理
- ユーザーのアクセスを1か所で管理しアクティビティを適切に把握
Okta Japan株式会社が提供する「Okta Workforce Identity」は、クラウド型のアイデンティティ管理サービスです。従業員からAIエージェントまで、さまざまなIDをひとつの基盤で統合・保護できる点が特徴です。シングルサインオンや多要素認証に加え、人事システムと連携してアカウントの作成・更新・停止を自動化するプロビジョニング機能を備えています。ユーザーのアクセスを1か所で管理できるため、AIツールを含むSaaSの利用者をまとめて管理したい企業に適しています。
IIJ IDサービス
- 超図解マニュアルと直感的・シンプルなUIで導入・運用がカンタン
- デバイス証明書認証やFIDO2認証など、さまざまな認証機能に対応
- 複数の国内DCで稼働する万全のセキュリティ体制
株式会社インターネットイニシアティブが提供する「IIJ IDサービス」は、SSOと不正ログイン対策を実現する認証管理サービスです。OpenID Connect 1.0やSAML 2.0に準拠したサービスへのSSOに対応しています。Active Directoryとの間で、ID・パスワード・グループ情報を自動で同期できます。連携サービスが増えても追加費用がかからないため、社内のIDをもとにAIツールへのログインを順次まとめていきたい場合に検討しやすいでしょう。
CloudGate UNO
- 認証機能とアクセス条件機能を組み合わせた柔軟なアクセス制限
- ゼロトラストモデルのシングルサインオンでユーザーの利便性向上
- ユーザーの活動状況などを一元管理することで管理コストの削減
株式会社インターナショナルシステムリサーチが提供する「CloudGate UNO」は、ゼロトラストの考え方を取り入れたシングルサインオンサービスです。SAML2.0やForm-basedなどでサービスと認証連携でき、パスキー（FIDO2）認証にも対応しています。認証ログでユーザーの活動を、操作ログで管理者サイトの操作履歴を確認できるため、AIツールへのアクセス状況を追跡したい場合にも活用できます。プロビジョニングなどのライフサイクル管理にも対応しています。
Gluegent Gate（グルージェント ゲート）
- 連携サービスとのシングルサインオン設定で利便性を向上
- 連携サービスのIDを一元管理することで管理者の負荷を軽減
- 多要素認証、アクセス制限をサービスごとに自由に組み合わせ可能
サイオステクノロジー株式会社が提供する「Gluegent Gate（グルージェント ゲート）」は、シングルサインオンと多要素認証、アクセス制限でセキュリティを強化するサービスです。SAML2.0に対応したWebアプリとの汎用SAML連携に加え、OpenID ConnectやOAuthに対応したアプリとも連携できます。Google WorkspaceやMicrosoft 365にはアカウントやグループのプロビジョニングも可能で、IDの一元管理による管理者の負荷軽減に役立ちます。
SeciossLink（セシオスリンク）
- シングルサインオンであらゆるサービスに連携
- IDの一元管理で業務効率化
- FIDO認証や証明書認証などの多要素認証で認証を強化
株式会社セシオスが提供する「SeciossLink（セシオスリンク）」は、ID管理やシングルサインオン、多要素認証などの機能を搭載したクラウド型のサービスです。SAMLやOpenID Connect、OAuthに対応し、SAML未対応のサービスも代理認証やリバースプロキシでSSOできます。IDプロビジョニング機能を備えるほか、ログイン数や利用されていないアカウントなどの統計情報を可視化できるため、AIツールのライセンスを見直す材料も得られます。
Secioss Access Manager Enterprise（SAME）
- シングルサインオンであらゆるサービスに連携
- FIDO認証や証明書認証などの多要素認証で認証を強化
- 柔軟なルール設定が可能なアクセス制御機能を搭載
株式会社セシオスが提供する「Secioss Access Manager Enterprise（SAME）」は、シングルサインオン認証機能を持つオンプレミス型のソフトウェアです。SAMLやOpenID Connect、OAuth、WS-Federationに加え、リバースプロキシ方式やエージェント方式にも対応しています。認証に関するログをWebから検索・表示できるほか、アクセス元のネットワークや時間帯による認証ルールも設定できるため、自社環境で認証基盤を運用したい企業の候補となるでしょう。
SmartHR
- ID管理とSSOで、アカウントの作成・削除とアクセスを一元管理
- プロダクトとBPOで、情シス業務全体の負荷を軽減
- 最新の人事データと連動、アカウントとアクセスの対応漏れを防止
株式会社SmartHRが提供する「SmartHR」は、外部サービスのアカウント管理とシングルサインオンを実現する機能を備えたサービスです。SAMLによるSSOと、SSO非対応サービス向けのフォームベース認証・パスワード管理を1つの機能にまとめています。従業員データベースの在籍状況や部署などの情報をID管理にも活用できるため、入社・異動・退職にあわせてAIツールのアカウントの対応漏れを防ぎたい企業に向いています。
OneLogin （ペンティオ株式会社）
- 5000を超えるアプリケーションへクリックひとつでログイン
- 18種のMFA(多要素認証)を利用可能
- 11種8方式のディレクトリ連携をサポート
LOCKED MSO （株式会社onetap）
- SAMLのみならず、独自システムやオンプレミスとも連携実績あり
- スマホで二段階認証&指紋や顔認証等の生体認証を実現
- 端末毎にログを取得！ログをベースにした利用状況の把握ができる
TrustBind/Federation Manager （NTTテクノクロス株式会社）
- セキュアで便利なシングルサインオン環境を簡単に構築！
- 2段階認証適用で社外からのアクセスをよりセキュアに！
- クラウドへのログイン履歴を管理し内部統制強化を実現！
IDFederation （NTTドコモビジネス株式会社）
- SAML/OpenID Connectで複数WebアプリにSSO (Single Sign-On).
- 多要素認証、リスクベース認証に対応。
- 外部IdPやSCIM連携等によるID基盤との統合運用に適合。
まとめ
生成AIツールをSSO（シングルサインオン）で管理すると、会社のIDによる認証の一元化や退職時のアクセス制御、ログイン履歴の把握に役立ちます。ただし、未連携のAIサービスやAPIキー、AIエージェントの権限はSSOだけでは管理しきれません。AIサービス側の設定やアカウント管理、利用ルールと組み合わせることが大切です。自社で利用するAIツールの対応方式や必要な管理機能を整理し、複数のシングルサインオン製品を比較してみてください。
