ITトレンドがおすすめする製品・サービス
- ■提供形態別
- オンプレミス環境に導入できる：AccessMatrixUSO、Secioss Access Manager Enterprise（SAME）、IceWall SSO、CSLGuard、TrustBind/Federation Manager
- クラウド型IDaaSを利用する：HENNGE One Identity Edition、CloudGate UNO、Gluegent Gate（グルージェント ゲート）、SeciossLink（セシオスリンク）
- クラウドと社内システムを組み合わせてSSOを実現する：CloudGate UNO、Gluegent Gate（グルージェント ゲート）、SeciossLink（セシオスリンク）、infoScoop × Digital Workforce、TrustBind/Federation Manager、ホワイトクラウドシングルサインオン
- ■主な接続先別
- デスクトップアプリや既存の社内システム：AccessMatrixUSO、Secioss Access Manager Enterprise（SAME）、IceWall SSO、CSLGuard
- Microsoft 365などのクラウドサービス：HENNGE One Identity Edition、CloudGate UNO、Gluegent Gate（グルージェント ゲート）、SeciossLink（セシオスリンク）
オンプレミス型SSOとクラウド型IDaaSの違い
シングルサインオンの提供形態は、自社のサーバーに認証の仕組みを置くオンプレミス型と、インターネット経由でサービスとして使うクラウド型に分かれます。どちらを選ぶかで、自社が担う作業と費用のかかり方が変わります。
認証基盤を置く場所と管理の範囲
オンプレミス型は、ログインを受け付けて本人確認を行う認証サーバーを自社のデータセンターやサーバールームに置きます。認証に関する情報を自社環境で管理しやすい一方、外部サービスと連携する場合は、社外に送信・保存される情報の範囲も確認が必要です。
一方、クラウド型はIDaaSと呼ばれ、認証基盤を提供会社が運用します。IDaaSは「Identity as a Service」の略で、ID管理と認証をサービスとして提供する形態です。利用者情報は提供会社の環境に保管されるため、保管場所や管理方法は契約内容で確認します。
自社で担う作業の違い
オンプレミス型では、サーバーの調達から、OSや認証ソフトの更新、障害対応、バックアップまでを自社または委託先が担います。セキュリティ上の修正プログラムが出たときも、適用の判断と作業は自社側で行います。
クラウド型では、こうした基盤の保守は提供会社の担当です。自社の作業は、利用者の登録や連携アプリの設定、認証ルールの管理が中心です。ただし、機能の追加や画面の変更も提供会社の予定で進むため、変更のお知らせを確認する運用は欠かせません。
費用のかかり方の違い
オンプレミス型は、サーバー機器やソフトウェアのライセンス、構築作業など、導入時にまとまった費用がかかる傾向があります。その後も保守契約や電気代、担当者の人件費が継続して発生します。
クラウド型は、利用者数に応じた月額や年額の料金が中心です。初期費用を抑えやすい反面、利用者が増えると料金も増えていきます。どちらが安いかは、利用者数や使う年数、社内の人件費をどう見積もるかで変わるため、同じ期間で総額を比べることが大切です。
自社サーバーでSSOを運用したほうがよい場合
オンプレミスでSSOを運用する理由は、主にデータの扱い、ネットワーク環境、つなぎたいシステムの3つにあります。自社の状況が次のどれかに当てはまるかを確認しましょう。
認証情報を社外に置けない規程がある
業界のガイドラインや取引先との契約、社内の情報管理規程で、利用者情報や認証の記録を社外のサービスに預けられない場合があります。このような場合、認証基盤を自社内に置くオンプレミス型が現実的な選択肢です。
ただし、規程が「国内のデータセンターであれば可」など条件付きのこともあります。クラウド型でもデータの保管国を選べるサービスがあるため、規程の条文を情報セキュリティの担当部署と読み合わせ、本当に社外が不可なのかを確認してから判断しましょう。
インターネットにつながない閉域網で使う
工場の制御系ネットワークや研究開発部門など、インターネットと切り離した閉域網で業務システムを使う組織があります。クラウド型のIDaaSはインターネット経由で認証するため、閉域網の中だけでは使えないことがあります。
閉域網の中でもシングルサインオンを実現したい場合は、ネットワーク内に認証サーバーを置くオンプレミス型が候補です。インターネットへの出口を一部だけ設けてクラウド型を使う方法もありますが、ネットワークの設計方針と整合するかを確認しましょう。
古い社内システムを多く抱えている
長年使っている社内の業務システムには、SAMLやOpenID Connectといった標準のSSO規格に対応していないものがあります。SAMLとOpenID Connectは、認証結果を安全に受け渡すための代表的な規格です。
こうしたシステムは、社内に置いたリバースプロキシやエージェントでログインを肩代わりさせる方式でつなぐ場合があります。社内システムが接続先の大半を占めるなら、それらに対応しやすいオンプレミス型を中心に検討する方法があります。
オンプレミスのシングルサインオンを支える社内体制
オンプレミス型のシングルサインオンは、止まると全社のログインに影響します。導入前に、保守の担当、障害時の動き方、ID管理のルールを決めておくことが欠かせません。
サーバーと認証ソフトの保守担当
オンプレミス型では、サーバーの監視、修正プログラムの適用、証明書の更新、バックアップの確認といった作業が定期的に発生します。誰がいつ行うかを決めないまま運用を始めると、作業の抜けや遅れにつながるおそれがあります。
担当を1人に任せきりにすると、異動や休暇のときに対応できなくなります。作業手順を文書にまとめ、複数人で分担できる体制にしましょう。社内で人員を確保できない場合は、構築したベンダーの保守サービスで補えるかも確認します。
障害時の連絡と代替ログインの手順
認証サーバーが止まると、シングルサインオンにつないだすべてのシステムにログインできなくなるおそれがあります。障害を検知したときの連絡先、復旧までの作業手順、利用者への周知方法を事前に決めておきましょう。
あわせて、SSOを通さずに管理者がログインできる緊急用の手段を用意しておくと安心です。緊急用アカウントは利用記録を残し、使う条件と承認者を決めて管理します。年に1回程度は手順どおりに動くかを訓練で確かめると、いざというときに慌てずに済みます。
ID管理と権限変更の運用ルール
入社や異動、退職のたびに、SSOのアカウントと各システムの権限を変更する必要があります。人事部門から情報システム部門へ連絡が届く流れと、変更を反映する期限を決めておくと、退職者のアカウントが残るリスクを減らせます。
人事システムやActive Directoryと連携して、アカウントの登録や停止を自動で反映できる製品もあります。Active Directoryとは、Windows環境で社員のアカウントを一元管理する仕組みです。手作業が残る部分は、定期的な棚卸しで漏れを確認しましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でシングルサインオンの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
クラウドと社内の認証を併用するハイブリッド構成
社内システムとクラウドサービスの両方を使う企業では、オンプレミスとクラウドのどちらか一方に絞らず、両方を組み合わせてSSOを実現する方法もあります。代表的な2つの形を紹介します。
クラウドのIDaaSから社内システムへつなぐ
認証の窓口をクラウド型のIDaaSに置き、社内システムへは社内に設置した中継用のソフトウェアを経由してつなぐ形です。クラウドサービスへのログインはIDaaSが直接担い、社内システムへのログインも同じ画面から行えます。
この形では、オンプレミスに残るのは中継用の小さな仕組みだけになることがあり、保守の範囲を絞れます。社内システムへの対応方式は製品によって異なるため、自社のシステムをつなげるかを検証環境で確かめてから採用を決めましょう。
社内の認証基盤からクラウドサービスへつなぐ
反対に、社内に置いたオンプレミス型の認証基盤を窓口にして、SAMLなどでクラウドサービスにもログインできるようにする形もあります。利用者情報を社内で保持したまま、クラウドサービスの利用範囲を広げたい場合に向いています。
この形では、社外から社内の認証基盤にアクセスできるようにする必要があり、通信の経路や公開範囲の設計が重要です。テレワークでの利用が多い場合は、社外からの接続をどう守るかもあわせて検討しましょう。
シングルサインオンを長く自社運用するための計画
オンプレミス型は、導入した後も数年ごとに設備や製品の入れ替えが必要です。導入時点だけでなく、5年後や10年後の姿も描いたうえで判断すると、後からの方針転換を減らせます。
機器の更改とバージョンアップの周期
サーバー機器には保守期間があり、期間が終わる前に入れ替えを検討する必要があります。認証ソフトも、古いバージョンは修正プログラムの提供が終わるため、定期的なバージョンアップが欠かせません。
入れ替えのたびに、移行作業や動作確認、費用の確保が発生します。導入時の見積もりでは、初期費用だけでなく、次の更改までにかかる保守費や作業費も含めて確認しておきましょう。更改の時期には、クラウド型への切り替えもあわせて検討するとよいでしょう。
クラウドサービスが増えたときの拡張
業務で使うクラウドサービスは、部署ごとの導入などで少しずつ増えていく傾向があります。オンプレミス型を選ぶ場合も、将来クラウドサービスをつなぐことになったときに、標準規格で連携できるかを確認しておくと安心です。
あわせて、利用者数が増えたときにサーバーの追加で処理能力を高められるかも見ておきましょう。拡張に大きな作業が必要な構成だと、事業の変化にあわせた対応が遅れるおそれがあります。
製品のサポート期限の把握
オンプレミス型の製品には、提供会社によるサポートの期限が設けられていることがあります。期限を過ぎると、不具合の修正や問い合わせへの対応を受けられなくなる場合があるため、導入前に確認しておきます。
提供会社の方針で、オンプレミス版の提供を縮小してクラウド版へ移す動きが出ることもあります。将来の提供方針やクラウド版への移行支援があるかを、資料請求や商談の段階で質問しておくと、長期の計画を立てやすくなります。
提供形態で見るシングルサインオン製品一覧
オンプレミス型・クラウド型・両方を組み合わせる構成のどれに対応するかという観点で、この記事で紹介するシングルサインオン製品を一覧にしました。認証基盤をどこに置くかを考える際の比較材料にしてください。
| 製品名 | 提供形態 | 特徴 |
|---|---|---|
| HENNGE One Identity Edition | クラウド／SaaS | SAML認証で300を超えるクラウドサービスと連携。SSOとアクセス制御を支援する |
| AccessMatrixUSO | オンプレミス／クラウド／パッケージソフト／ハードウェア | Webアプリやデスクトップアプリ、AS/400端末エミュレータなどに対応。アプリ改修を抑えてSSOを実現する |
| CloudGate UNO | クラウド／SaaS | パスキー認証や多要素認証、柔軟なアクセス制限を搭載。クラウドサービスを中心に認証を一元化する |
| Gluegent Gate（グルージェント ゲート） | クラウド／SaaS | SAMLやOpenID ConnectによるSSOに加え、代理認証でオンプレミスのWebアプリとも連携できる |
| SeciossLink（セシオスリンク） | クラウド／SaaS | SAMLや代理認証などの方式に対応。Active Directoryなどの社内認証基盤との連携も可能 |
| Secioss Access Manager Enterprise（SAME） | オンプレミス | SAML・OpenID Connect・リバースプロキシ・エージェント方式などに対応し、社内とクラウドのSSOを実現する |
| infoScoop × Digital Workforce | クラウド | クラウドサービスとオンプレミスの業務システムを組み合わせたSSO環境の構築を支援する |
| IceWall SSO | オンプレミス | 既存のWebアプリケーションを大きく改修せず、SSOや認証強化を実現できる |
| CSLGuard | オンプレミス／パッケージソフト | Webシステムに加え、Windows OSやクライアントサーバー型の業務システムにもSSOを適用できる |
| TrustBind/Federation Manager | オンプレミス／クラウド／SaaS | クラウドと社内システムのSSOを統合。２段階認証やログイン履歴の管理にも対応する |
| ホワイトクラウドシングルサインオン | クラウド／SaaS／サービス | 複数のクラウドサービスや社内システムへの認証を一元化し、統合認証環境の構築を支援する |
認証基盤の置き場所から選ぶSSO製品
自社で認証サーバーを持つ製品から、クラウドで使うIDaaS、社内とクラウドの両方をつなぐ製品までを紹介します。社内システムとクラウドサービスのどちらが接続先の中心かも確認しながら比較してください。
HENNGE One Identity Edition
- SAML認証で300超のクラウドサービスと連携が可能
- わかりやすいSSOマニュアルによりスムーズな導入が実現
- ID/パスワードを統合化し、パスワード管理の利便性が向上
HENNGE株式会社が提供する「HENNGE One Identity Edition」は、Microsoft 365やGoogle Workspaceなど、クラウドサービスの認証を一元管理できるIDaaSです。SAML認証により300を超えるクラウドサービスと連携でき、SSOによって利用者のログイン負担を軽減します。アクセス制御の機能も備えており、クラウドサービスへの不正アクセス対策にも活用できます。認証サーバーの保守を自社で担う必要がなく、複数のクラウドサービスを利用する企業に適しています。
AccessMatrixUSO
- IBMiシリーズ、AS/400にも対応！対象アプリを選ばずSSOを実現！
- 対象アプリ、ネットワークの設定変更は一切不要！
- らくらく無料トライアル！お客様にはPCをご用意いただくだけ！
株式会社ハイ・アベイラビリティ・システムズが提供する「AccessMatrixUSO」は、既存の社内システムを大きく変更せずにSSOを導入できるソリューションです。Webアプリだけでなく、デスクトップアプリやJavaアプリ、AS/400接続用の端末エミュレータ、メインフレームアプリなどにも対応しています。Active Directoryのアカウントを利用した認証連携が可能で、SSOサーバーに接続できない環境向けのオフラインモードも搭載。オンプレミスやクラウドなど複数の提供形態があり、古い業務システムが残る企業に向いています。
CloudGate UNO
- 認証機能とアクセス条件機能を組み合わせた柔軟なアクセス制限
- ゼロトラストモデルのシングルサインオンでユーザーの利便性向上
- ユーザーの活動状況などを一元管理することで管理コストの削減
株式会社インターナショナルシステムリサーチが提供する「CloudGate UNO」は、パスキー認証や多要素認証を組み合わせてアクセスを管理できるクラウド型IDaaSです。シングルサインオンによって複数のクラウドサービスへのログインを一元化し、ユーザーや端末、接続元などの条件に応じたアクセス制限を設定できます。Active Directoryとの連携にも対応しており、社内で管理するID情報を活用した運用も検討可能です。認証の利便性とセキュリティを両立したい企業に適しています。
Gluegent Gate（グルージェント ゲート）
- 連携サービスとのシングルサインオン設定で利便性を向上
- 連携サービスのIDを一元管理することで管理者の負荷を軽減
- 多要素認証、アクセス制限をサービスごとに自由に組み合わせ可能
サイオステクノロジー株式会社が提供する「Gluegent Gate（グルージェント ゲート）」は、クラウドサービスと社内のWebアプリケーションをまとめてSSOの対象にできるIDaaSです。SAML 2.0やOpenID Connectに対応したサービスと連携できるほか、外部認証に対応していないWebアプリには代理認証方式を利用できます。オンプレミスのWebアプリへのログインも一元化でき、サービスごとに多要素認証やアクセス制限を組み合わせることも可能です。自社で認証サーバーを構築せず、社内とクラウドの認証を統合したい企業に向いています。
SeciossLink（セシオスリンク）
- シングルサインオンであらゆるサービスに連携
- IDの一元管理で業務効率化
- FIDO認証や証明書認証などの多要素認証で認証を強化
株式会社セシオスが提供する「SeciossLink（セシオスリンク）」は、クラウドサービスだけでなく、社内システムとのSSO連携にも対応するIDaaSです。SAMLなどの標準的な認証方式に加え、代理認証やリバースプロキシによる連携にも対応しています。Active DirectoryやLDAPとの情報連携が可能で、FIDO認証や証明書認証などの多要素認証、接続元に応じたアクセス制御も利用できます。クラウド型の認証基盤を利用しながら、既存の社内システムへの対応も確保したい企業に適しています。
Secioss Access Manager Enterprise（SAME）
- シングルサインオンであらゆるサービスに連携
- FIDO認証や証明書認証などの多要素認証で認証を強化
- 柔軟なルール設定が可能なアクセス制御機能を搭載
株式会社セシオスが提供する「Secioss Access Manager Enterprise（SAME）」は、認証基盤を自社環境で運用できるオンプレミス型SSOソフトウェアです。SAMLやOpenID Connect、リバースプロキシ方式、エージェント方式などに対応し、社内システムとクラウドサービスの両方にSSOを適用できます。Active DirectoryやOpenLDAPを認証元として利用でき、FIDO認証や証明書認証、アクセス元や時間帯に応じた制御も可能です。認証サーバーを自社で管理しながら、利用するサービスの範囲を広げたい企業に適しています。
infoScoop × Digital Workforce （株式会社ユニリタ）
- 連携先を問わないハイブリッドSSO（シングルサインオン）
- 利便性向上とセキュリティ強化の両面からリモートワークを支援
- 金融機関での実績と24時間365日のサポート体制
IceWall SSO （日本ヒューレット・パッカード合同会社）
- 豊富な実績に基づく信頼性
- 安心の国内サポート
- 高品質、高性能、高可用性
CSLGuard （NTTテクノクロス株式会社）
- ユーザから見えない実際のパスワード
- システムダウン時も機能を維持
- 幅広いOSとアプリケーションに対応
TrustBind/Federation Manager （NTTテクノクロス株式会社）
- セキュアで便利なシングルサインオン環境を簡単に構築！
- 2段階認証適用で社外からのアクセスをよりセキュアに！
- クラウドへのログイン履歴を管理し内部統制強化を実現！
ホワイトクラウドシングルサインオン （ソフトバンク株式会社）
- 一度のログインで複数システムへ安全アクセス
- クラウド・オンプレミス環境で統合認証を実現。
- 認証管理をクラウドで効率化し、運用コストを削減。
まとめ
SSOをオンプレミスで運用するかどうかは、認証情報を社外に置けるか、閉域網で使うか、社内の古いシステムが多いかで判断します。オンプレミス型のシングルサインオンは自社でデータを管理できる反面、保守や障害対応の体制が欠かせません。クラウド型のIDaaSや、両方を組み合わせるハイブリッド構成も含めて検討しましょう。自社の環境にあう提供形態を見極めるために、複数製品の資料請求で対応範囲を比べてみてください。
