ITトレンドがおすすめする製品・サービス
- ■連携先アプリの方式別
- SAML・OIDC対応のクラウドサービスが中心：IIJ IDサービス、HENNGE One Identity Edition、Gluegent Gate（グルージェント ゲート）、SeciossLink（セシオスリンク）、IDFederation、OneLogin
- ID・パスワード入力型のアプリも多い：Gluegent Gate（グルージェント ゲート）、CloudGate UNO、SeciossLink（セシオスリンク）、GMOトラスト・ログイン、Secioss Access Manager Enterprise（SAME）、OneLogin、infoScoop × Digital Workforce
- オンプレミスの社内システムも含む：Secioss Access Manager Enterprise（SAME）、AccessMatrixUSO、GMOトラスト・ログイン、SeciossLink（セシオスリンク）、TrustBind/Federation Manager、LOCKED MSO、infoScoop × Digital Workforce
- ■切り替えの進め方別
- 外部IdPと連携しながら段階的に移行：CloudGate UNO、IDFederation
- 提供元やパートナーの導入支援を受けて設定：HENNGE One Identity Edition、CloudGate UNO、Okta Workforce Identity
シングルサインオンの乗り換えで切り替わるもの
SSOの乗り換えは、ログイン画面が変わるだけの作業ではありません。認証を担う基盤、アプリとの信頼関係、認証ポリシーの3つが入れ替わります。まずは影響範囲を整理しておきましょう。
認証を担うIdPの切り替え
乗り換えの中心は、利用者のIDとパスワードを確認するIdPを新しいサービスへ移すことです。利用者が最初にログインする画面や、パスワードの変更・リセットを行う窓口も新しいIdP側に変わります。
社内のディレクトリサービスと連携して認証している場合は、その接続も作り直します。ディレクトリサービスとは、社員のアカウントや所属を管理する仕組みのことです。接続方式やネットワークの経路が変わることもあるため、情報システム部門とあわせて確認しましょう。
連携先アプリとの信頼関係の作り直し
SSOでは、IdPと各アプリが互いを信頼する設定をあらかじめ登録しています。シングルサインオンの基盤が変わると、アプリ側に登録されたIdPの識別情報や証明書も変わるため、アプリごとに設定をやり直す必要があります。
連携アプリが数十個ある場合、この再設定が作業量の大半を占めることもあります。アプリによっては管理画面から利用者側で変更できますが、提供元への申請が必要なサービスもあります。どちらに当たるかを早めに調べておくと、移行の日程を組みやすくなります。
多要素認証やアクセス制御のポリシーの移し替え
ワンタイムパスワードや生体認証などの多要素認証、接続元IPアドレスや端末による制限も、新しいIdPで設定し直します。旧サービスのポリシーをそのまま移せるとは限らないため、条件を一覧にして新サービスで再現できるかを確認します。
認証アプリに登録したワンタイムパスワードの設定やパスキーは、IdPが変わると引き継げないケースがあります。利用者ごとに再登録が必要になる前提で、案内の時期を計画に入れておきましょう。
シングルサインオンの連携アプリを方式別に棚卸しする
乗り換え作業の量とリスクは、連携アプリの数と方式で決まります。旧サービスの管理画面から連携設定を書き出し、方式・利用者数・管理者・ユーザーの識別方法を一覧にしておきましょう。
SAML・OIDC・代理認証などの連携方式の分類
連携アプリは、SAMLやOIDCといった標準規格で連携しているものと、ID・パスワードを代わりに入力する代理認証で連携しているものに分けます。SAMLは企業向けクラウドサービスで広く使われ、OIDCはWebアプリに加えてスマートフォンアプリでも使われる認証の規格です。
代理認証のアプリは、利用者ごとに保存したパスワードを新サービスへ移せない場合があります。社内システムに専用のエージェントを入れて連携している場合も、新サービスが同じ方式に対応しているかを確認しましょう。
アプリが利用者を見分ける識別子の確認
各アプリは、IdPから受け取る識別子で「どの利用者か」を判断しています。SAMLでは主にNameIDと呼ばれる値や属性が使われ、メールアドレスや社員番号などが入ります。新しいIdPから送る値が旧IdPと異なると、別人として扱われるおそれがあります。
その結果、ログインできなかったり、新しいアカウントが自動で作られてデータが引き継がれなかったりすることがあります。アプリごとに、どの属性を識別子にしているかを記録し、新しいIdPでも同じ値を送る設定にしましょう。
管理者アカウントと緊急用ログイン手段の確保
シングルサインオンの設定を誤ると、管理者自身もアプリにログインできなくなる場合があります。各アプリの管理者権限を誰が持っているか、SSOを通さずにログインできる緊急用アカウントがあるかを確認しておきましょう。
緊急用アカウントは、強力なパスワードと多要素認証で保護し、利用記録を残す運用にします。管理者を1人に限定せず、複数人で手順を共有しておくと、切り替え作業中のトラブルにも対応できます。
SAML・OIDCのアプリを新しいSSOへ付け替える
棚卸しが終わったら、アプリを方式ごとに新しいIdPへ登録していきます。SAMLとOIDCでは入れ替える設定項目が異なるため、方式別の作業内容を押さえておきましょう。
SAMLアプリはメタデータと証明書を入れ替える
SAMLで連携するアプリは、新しいIdPにアプリを登録し、アプリ側の識別子であるエンティティIDと、認証結果の受け取り先であるACS URLを設定します。アプリ側の値を変えずに登録すると、アプリ側の再設定を最小限にできる場合があります。
次に、アプリの管理画面で、新しいIdPのエンティティID、ログインURL、署名用の証明書を登録します。これらをまとめたメタデータファイルを読み込める場合もあります。証明書には有効期限があるため、更新時期も記録しておきましょう。
OIDCアプリはクライアント情報とリダイレクトURIを登録し直す
OIDCで連携するアプリは、新しいIdPにアプリをクライアントとして登録し、発行されたクライアントIDとシークレットをアプリ側に設定します。ログイン後の戻り先であるリダイレクトURIも、新しいIdPへ正確に登録します。
OIDCで利用者を表すsubという識別子は、IdP（発行元）ごとに割り当てられる値です。仕様上は発行元とsubの組み合わせで利用者を識別するため、IdPを変えると同じ利用者でも別の値として扱われる場合があります。アプリがこの値で利用者をひも付けている場合は、メールアドレスなどで再度ひも付ける処理が必要か、アプリの提供元や開発担当に確認しましょう。
代理認証やオンプレミスのアプリは登録情報を作り直す
代理認証で連携しているアプリは、新サービスにログイン画面のURLや入力項目を登録し直します。利用者が保存していたパスワードを移せない場合は、初回ログイン時に利用者自身が再入力する流れになることがあります。
社内ネットワーク上のシステムは、新サービスのエージェントやリバースプロキシを導入して連携する場合があります。リバースプロキシとは、利用者とシステムの間で通信を中継する仕組みです。サーバへの導入作業が伴うため、検証環境で動作を確認してから本番に反映しましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でシングルサインオンの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
SSOの乗り換え当日は段階移行で影響を抑える
全アプリと全社員を一度に切り替えると、問題が起きたときに原因の切り分けが難しくなります。対象を少しずつ広げ、戻す手段を用意したうえで切り替えるのが安全です。
情報システム部門や一部の部署から先行して切り替える
最初は、情報システム部門や協力的な部署など、少人数のグループだけを新しいシングルサインオンに切り替えます。普段使うアプリに問題なくログインできるか、権限が正しく反映されているかを数日から数週間かけて確かめます。
先行グループで見つかった問題は、手順書に反映してから次のグループへ広げます。アプリ単位で切り替えるか、利用者単位で切り替えるかは、各アプリが複数のIdP設定を同時に持てるかどうかで判断しましょう。
旧IdPとの並行稼働期間を設ける
アプリをすべて付け替えるまでは、旧IdPと新IdPを並行して動かす期間が必要です。新しいIdPを旧IdPと信頼関係で結ぶフェデレーションや、外部IdP連携に対応した製品であれば、利用者のログインを1か所にまとめたまま移行を進められる場合があります。
並行稼働中は、両方のIdPで同じ利用者情報を保つ必要があります。入退社や異動があった場合に、どちらで更新するかを決めておかないと、アカウントの停止漏れにつながるため注意しましょう。
切り戻し手順と判断基準を事前に決めておく
切り替え後に多くの利用者がログインできない場合に備え、旧IdPの設定へ戻す手順を作っておきます。旧サービスの契約は、全アプリの移行と安定稼働を確認するまで残しておくと、問題があった際に元の設定へ戻せます。
あわせて、「ログイン失敗が一定数を超えたら戻す」など、切り戻しを判断する基準と判断者を決めておきましょう。作業は利用者の少ない時間帯に行い、変更内容と結果を記録しておくと、後から原因を確認しやすくなります。
乗り換え後の利用者対応と旧シングルサインオンの停止
切り替えが終わっても、利用者からの問い合わせ対応や旧サービスの片付けが残ります。移行後の運用まで計画に含めておくと、トラブルを早期に見つけて対処できます。
ログイン画面の変更と再登録の周知
利用者には、切り替え日、新しいログイン画面のURL、多要素認証の再登録方法を事前に案内します。画面の見た目が変わるため、正規の画面を装った偽サイトと見分ける方法もあわせて伝えると安心です。
問い合わせが集中する切り替え直後は、ヘルプデスクの対応人数を増やしたり、よくある質問を社内ポータルにまとめたりすると効果的です。問い合わせ内容を記録して共有し、手順書の改善につなげましょう。
ログイン失敗の監視とエラー時の対処
移行後しばらくは、新しいIdPのログを確認し、特定のアプリや部署でログイン失敗が続いていないかを見ます。SAMLでは識別子や証明書、時刻のずれ、OIDCではリダイレクトURIの不一致などが失敗の原因になる場合があります。
原因はIdPとアプリのどちらにもありうるため、両方の設定とログを照らし合わせて確認しましょう。管理者に通知が届く設定にしておくと、利用者からの連絡を待たずに対処を始められます。
旧サービスの連携解除と契約終了
全アプリの移行を確認したら、各アプリから旧IdPの設定を削除し、旧サービスの連携をすべて解除します。旧IdPの設定が残っていると、意図しない経路でログインできる状態が続くおそれがあります。
旧サービスに残る利用者情報やログは、社内の保存ルールにもとづいて必要な分を書き出してから削除を依頼しましょう。契約の解約手続きは、通知期限が決まっている場合があるため、移行計画の初期段階で確認しておくと安心です。
SSOの乗り換え先候補となる製品一覧
この記事で紹介するシングルサインオン製品を、連携できる方式や移行時に役立つ機能の観点で一覧にしました。自社の連携アプリの方式と照らし合わせて、乗り換え先の候補を絞り込む際に活用してください。
| 製品名 | 特徴 |
|---|---|
| HENNGE One Identity Edition | SAML認証で多数のクラウドサービスと連携。未検証サービスとの接続検証もサポート内で無償対応 |
| IIJ IDサービス | OpenID ConnectやSAMLに準拠したサービスへSSO。ADとのID・グループ情報の自動同期に対応 |
| Okta Workforce Identity | ADやLDAPなどのIDソースと同期して一元管理。パスワードレス認証や多要素認証に対応 |
| Gluegent Gate（グルージェント ゲート） | SAML・OIDC連携に加え、代理認証でSAML非対応のWebアプリやオンプレミスにもSSOできる |
| CloudGate UNO | SAML2.0やForm-basedで認証連携。外部IdP連携オプション（有償）や導入支援を用意 |
| SeciossLink（セシオスリンク） | SAML・OIDCのほか代理認証やリバースプロキシに対応。ADやLDAPへの情報同期も可能 |
| GMOトラスト・ログイン | Basic認証・SAML認証・フォームベース認証の3種類のSSOに対応。基本機能は無料で使える |
| Secioss Access Manager Enterprise（SAME） | オンプレミスで構築するSSOソフトウェア。SAML未対応のサービスとは代理認証で連携できる |
| AccessMatrixUSO | アプリ側を変更せずにデスクトップアプリやAS/400接続用端末エミュレータなどへSSOできる |
| IDFederation | SAML/OpenID ConnectでWebアプリにSSO。外部IdPやSCIM連携でID基盤と統合運用できる |
| OneLogin | Form-based認証やSAML2.0、OIDCなどに対応。ADなどのディレクトリとも連携できる |
| TrustBind/Federation Manager | クラウドとオンプレミスの両環境で、複数システム間のSSOを構築できる。2段階認証にも対応 |
| LOCKED MSO | SAML認証に加え、独自システムやオンプレミスとの連携実績がある。生体認証にも対応 |
| infoScoop × Digital Workforce | SAMLによるクラウド連携と代行ログインによる社内システム連携を組み合わせたハイブリッドSSO |
連携方式と既存システムへの対応で選ぶSSO製品
SAML・OIDCへの対応に加え、代理認証やオンプレミスとの連携、外部IdP連携、導入支援の有無など、乗り換え作業に関わる機能を確認できる製品を紹介します。旧サービスで連携しているアプリの方式を移し替えられるか、比較の参考にしてください。
HENNGE One Identity Edition
- SAML認証で300超のクラウドサービスと連携が可能
- わかりやすいSSOマニュアルによりスムーズな導入が実現
- ID/パスワードを統合化し、パスワード管理の利便性が向上
HENNGE株式会社が提供する「HENNGE One Identity Edition」は、Microsoft 365やGoogle Workspaceなどのクラウドサービスへのシングルサインオンとアクセス制御を担うIDaaSです。SAML認証で多数のクラウドサービスと連携でき、提供元が連携を検証したうえで作成したWebマニュアルを用意しています。実績のないクラウドサービスとの接続検証もサポート内で無償対応しており、導入前にはテクニカルコンサルタントによる導入支援も受けられます。SAMLで連携するアプリが多い企業の乗り換え先として比較しやすい製品です。
IIJ IDサービス
- 超図解マニュアルと直感的・シンプルなUIで導入・運用がカンタン
- デバイス証明書認証やFIDO2認証など、さまざまな認証機能に対応
- 複数の国内DCで稼働する万全のセキュリティ体制
株式会社インターネットイニシアティブが提供する「IIJ IDサービス」は、シングルサインオンと不正ログイン対策を実現するクラウド型の認証管理サービスです。OpenID Connect 1.0やSAML 2.0に準拠するサービスへのSSOに対応し、FIDO2やデバイス証明書、ワンタイムパスワードなどの認証方式を組み合わせて多要素認証を設定できます。Active Directoryを利用している場合は、ID・パスワード・グループ情報の自動同期も可能です。最低利用期間やユーザー数の制限がなく、連携サービスを増やしても追加費用はかかりません。
Okta Workforce Identity
- フィッシングに強い認証フローでログインをより簡単・安全にする
- ADやLDAP等と統合。全てのIDを単一コントロールプレーンから管理
- ユーザーのアクセスを1か所で管理しアクティビティを適切に把握
Okta Japan株式会社が提供する「Okta Workforce Identity」は、従業員のアイデンティティを一元管理するクラウド型のIDaaS/IAMソリューションです。Universal DirectoryでADやLDAPなどのIDソースと同期し、ユーザー・グループ・デバイスをまとめて管理できます。シングルサインオンに加え、フィッシング耐性のある認証フローやパスワードレス認証、多要素認証に対応しています。パートナーによる導入支援も利用できるため、サポートを受けながら既存の認証基盤から移行したい企業に適しています。
Gluegent Gate（グルージェント ゲート）
- 連携サービスとのシングルサインオン設定で利便性を向上
- 連携サービスのIDを一元管理することで管理者の負荷を軽減
- 多要素認証、アクセス制限をサービスごとに自由に組み合わせ可能
サイオステクノロジー株式会社が提供する「Gluegent Gate（グルージェント ゲート）」は、シングルサインオンと多要素認証、アクセス制限を備えたクラウド型のサービスです。SAML2.0に対応したアプリはエンティティやACSなどの値を設定して連携でき、OpenID ConnectやOAuthにも対応しています。SAMLに対応していないWebアプリには、ログイン画面に値を送る代理認証でSSOを設定可能です。Active Directory連携も備えているため、標準規格と代理認証のアプリが混在する環境の乗り換えに向いています。
CloudGate UNO
- 認証機能とアクセス条件機能を組み合わせた柔軟なアクセス制限
- ゼロトラストモデルのシングルサインオンでユーザーの利便性向上
- ユーザーの活動状況などを一元管理することで管理コストの削減
株式会社インターナショナルシステムリサーチが提供する「CloudGate UNO」は、ゼロトラストモデルのシングルサインオンとパスキー（FIDO2）認証、柔軟なアクセス制限を備えたクラウド型のサービスです。SAML2.0やForm-basedでクラウドサービスと認証連携できます。外部IdP連携は対象プランの有償オプションとして用意されており、既存のIdPとあわせた運用を検討できます。専門スタッフによる初期導入支援や、新たなサービスとのSSO連携を支援する「CloudGate Premium Support」も用意されています。既存の認証環境からの移行を相談しながら進めたい企業に適しています。
SeciossLink（セシオスリンク）
- シングルサインオンであらゆるサービスに連携
- IDの一元管理で業務効率化
- FIDO認証や証明書認証などの多要素認証で認証を強化
株式会社セシオスが提供する「SeciossLink（セシオスリンク）」は、ID管理やシングルサインオン、多要素認証などのIDaaS機能を搭載したゼロトラスト型のセキュリティサービスです。SAML・OpenID Connect・OAuth・WS Federationに対応し、SAML未対応のサービスやオンプレミスの社内システムも代理認証やリバースプロキシでSSOできます。ADやLDAPへの情報同期、Microsoft 365やGoogle WorkspaceへのID同期にも対応しています。連携方式の異なるアプリを1つの基盤に集約したい企業に向く製品です。
GMOトラスト・ログイン
- 社内システム、業務アプリ、複数SaaSのIDを効率的に一元管理
- シングルサインオンで情報漏えいのリスクを減らし、利便性も向上
- 迅速に多要素認証を導入し、セキュリティを強化
GMOグローバルサイン株式会社が提供する「GMOトラスト・ログイン」は、業務アプリやクラウドサービス、社内システムのIDを一元管理するクラウド型のID管理（IDaaS）です。社内システムでよく使われるBasic認証、SAML認証、ID・パスワードを記憶するフォームベース認証の3種類のシングルサインオンを利用できます。基本機能は無料で、必要に応じてワンタイムパスワードやデバイス制限、Active Directory連携などのオプションを追加可能です。ID・パスワード入力型のアプリが多い環境でも検討しやすいでしょう。
Secioss Access Manager Enterprise（SAME）
- シングルサインオンであらゆるサービスに連携
- FIDO認証や証明書認証などの多要素認証で認証を強化
- 柔軟なルール設定が可能なアクセス制御機能を搭載
株式会社セシオスが提供する「Secioss Access Manager Enterprise（SAME）」は、シングルサインオンや多要素認証、アクセス制御の機能を持つオンプレミスのソフトウェアです。Google WorkspaceやSalesforceのほか、オンプレミスやプライベートクラウド内のシステムともSSOで連携できます。サービス側にSSOの仕組みがない場合は代理認証で対応でき、統合Windows認証やクライアント証明書認証などの認証方式も選べます。認証基盤を自社環境に置いたまま乗り換えたい企業の候補です。
AccessMatrixUSO
- IBMiシリーズ、AS/400にも対応！対象アプリを選ばずSSOを実現！
- 対象アプリ、ネットワークの設定変更は一切不要！
- らくらく無料トライアル！お客様にはPCをご用意いただくだけ！
株式会社ハイ・アベイラビリティ・システムズが提供する「AccessMatrixUSO」は、利用中のシステムに手を加えずにシングルサインオンを実現するソリューションです。デスクトップアプリやWebアプリ、Javaアプリ、AS/400接続用の端末エミュレータ、メインフレームアプリなど幅広いアプリケーションに対応しています。Active Directoryのアカウントで認証を連携でき、SSOサーバに接続できない場合のオフラインモードも搭載しています。Webアプリ以外の社内システムも含めて移行したい場合に比較したい製品です。
IDFederation （NTTドコモビジネス株式会社）
- SAML/OpenID Connectで複数WebアプリにSSO (Single Sign-On).
- 多要素認証、リスクベース認証に対応。
- 外部IdPやSCIM連携等によるID基盤との統合運用に適合。
OneLogin （ペンティオ株式会社）
- 5000を超えるアプリケーションへクリックひとつでログイン
- 18種のMFA(多要素認証)を利用可能
- 11種8方式のディレクトリ連携をサポート
TrustBind/Federation Manager （NTTテクノクロス株式会社）
- セキュアで便利なシングルサインオン環境を簡単に構築！
- 2段階認証適用で社外からのアクセスをよりセキュアに！
- クラウドへのログイン履歴を管理し内部統制強化を実現！
LOCKED MSO （株式会社onetap）
- SAMLのみならず、独自システムやオンプレミスとも連携実績あり
- スマホで二段階認証&指紋や顔認証等の生体認証を実現
- 端末毎にログを取得！ログをベースにした利用状況の把握ができる
infoScoop × Digital Workforce （株式会社ユニリタ）
- 連携先を問わないハイブリッドSSO（シングルサインオン）
- 利便性向上とセキュリティ強化の両面からリモートワークを支援
- 金融機関での実績と24時間365日のサポート体制
まとめ
シングルサインオンの乗り換えは、連携アプリを方式ごとに棚卸しし、識別子を一致させたまま新しいIdPへ付け替え、段階的に切り替えるのが基本です。SAMLでは証明書やエンティティID、OIDCではクライアント情報やリダイレクトURIの再設定が欠かせません。多要素認証の再登録や切り戻し手順、旧サービスの停止まで計画しておきましょう。自社の連携アプリにあうSSOを選ぶために、複数製品の資料請求で移行支援の内容も比較してみてください。
