ITトレンドがおすすめする製品・サービス
- ■必要なサーバー構成別
- クラウドの認証基盤を利用する（SAML・OpenID Connectなど）：HENNGE One Identity Edition、IIJ IDサービス、CloudGate UNO、SeciossLink（セシオスリンク）
- 自社に認証サーバーを構築する：AccessMatrixUSO、Secioss Access Manager Enterprise（SAME）、IceWall SSO、CSLGuard
- リバースプロキシ方式で社内システムと連携する：SeciossLink（セシオスリンク）、Secioss Access Manager Enterprise（SAME）、IceWall SSO
- エージェント方式で社内システムと連携する：Secioss Access Manager Enterprise（SAME）
- 既存アプリを改修せずにSSOを導入したい：AccessMatrixUSO、CSLGuard
- ■ディレクトリサーバーとの関係別
- 既存のActive Directory・LDAPと連携：IIJ IDサービス、AccessMatrixUSO、SeciossLink（セシオスリンク）、AXIOLE、Secioss Access Manager Enterprise（SAME）
- LDAPサーバーとしても使える：AXIOLE
SSOサーバーとは？シングルサインオンで認証を担う役割
SSOサーバーと呼ばれるものは、1台のサーバーを指すとは限りません。実際には、本人確認を行うサーバー、利用者情報を持つサーバー、認証結果を受け取る業務システムのサーバーが役割を分担しています。
ログインを受け付ける認証サーバー
認証サーバーは、利用者が入力したIDとパスワードや多要素認証の結果を確認し、「本人である」と判断する役割を持ちます。SAMLやOpenID Connectの用語では、IdP（Identity Provider）と呼ばれます。
本人確認が済むと、認証サーバーは各システムに向けて、電子署名などで改ざんを検知できる認証結果を発行します。利用者は一度ログインすれば、この認証結果を使ってほかのシステムにも入れます。シングルサインオンの中心となるサーバーです。
利用者情報を保管するディレクトリサーバー
ディレクトリサーバーは、社員のアカウント、所属部署、役職などの情報をまとめて保管するサーバーです。Windows環境で使われるActive Directoryや、LDAPという仕組みに対応したサーバーが代表的です。
認証サーバーは、ディレクトリサーバーの情報を参照したり、同期した情報を利用したりして、アカウントの有効性や認証情報を確認します。既にディレクトリサーバーを運用している企業は、それを利用者情報の保管先として使い、認証サーバーとつなぐ構成をとれます。
認証結果を受け取る業務システム側のサーバー
認証結果を受け取って利用者をログインさせるのは、業務システムやクラウドサービスの側です。SAMLではこの側をSP（Service Provider）と呼びます。
SPは、認証サーバーから届いた認証結果の署名を確かめ、記載された利用者をシステム内のアカウントとひも付けます。クラウドサービスの場合は提供会社が運用するため、自社で用意するのは設定だけです。社内システムの場合は、そのサーバー側にも設定や改修が必要な場合があります。
フェデレーション方式で必要なSSOサーバー構成
フェデレーション方式は、SAMLやOpenID Connectといった標準規格で、認証サーバーと各システムが信頼関係を結ぶ方式です。クラウドサービスとの連携で広く使われ、自社で用意するサーバーを少なくできます。
認証サーバーとディレクトリサーバーの組み合わせ
フェデレーション方式で自社が用意するのは、基本的に認証サーバーとディレクトリサーバーです。利用者のブラウザが認証サーバーと各システムの間を行き来して認証結果を受け渡すため、通信を中継するサーバーは必要ありません。
クラウド型のIDaaSを使えば、認証サーバー自体も提供会社が運用します。その場合、自社に残るのは社内のディレクトリサーバーと、IDaaSへ利用者情報を同期するための小さな仕組みだけになることもあります。
連携する業務システム側に必要な条件
この方式では、つなぐ業務システムがSAMLやOpenID Connectに対応していることが条件です。企業向けクラウドサービスには規格に対応したものがありますが、料金プランによって利用できない場合もあるため、契約内容を確認します。
社内で開発したシステムは、規格に対応させる改修が必要な場合があります。改修が難しいシステムは、後述するリバースプロキシ方式やエージェント方式と組み合わせることを検討しましょう。1つの製品で複数の方式を併用できるかも確認しておくと安心です。
リバースプロキシ方式とエージェント方式のサーバー構成
標準規格に対応していない社内システムをつなぐ場合は、通信の途中で認証を確認する方式を使います。どこにどのような仕組みを置くかが方式ごとに異なり、サーバー構成と作業量に影響します。
中継サーバーを通信経路に置く構成
リバースプロキシ方式では、利用者と社内システムの間に中継サーバーを置きます。利用者の通信はすべて中継サーバーを通り、ログイン済みかどうかを確認したうえで社内システムへ届けられます。
業務システムのサーバーには手を入れずに済む反面、中継サーバーが止まると、経由しているシステムをまとめて使えなくなるおそれがあります。通信量に見合った処理能力を確保し、複数台で構成することを前提に計画しましょう。システムのURLが変わる場合は利用者への案内も必要です。
各Webサーバーにエージェントを入れる構成
エージェント方式では、社内システムのWebサーバーにエージェントと呼ばれるソフトウェアを組み込みます。エージェントが利用者のログイン状態を確認し、必要に応じて認証サーバーへ問い合わせます。
中継サーバーを置く必要がないため、通信が1か所に集中しません。ただし、つなぐシステムの数だけエージェントの導入と更新が発生します。WebサーバーのOSやソフトウェアのバージョンに対応したエージェントがあるかを、システムごとに確認しましょう。
代理認証方式で使う端末側の仕組み
代理認証方式は、システムのログイン画面にIDとパスワードを自動で入力する方式です。利用者のパソコンに入れたソフトやブラウザの拡張機能が入力を担い、入力に使う情報は管理サーバーやクラウド上で保管されます。
業務システムのサーバーには変更を加えないため、改修できない古いシステムにも使える場合があります。一方で、端末側への導入と更新の作業が発生します。端末の台数が多い企業は、ソフトを一斉に配布する仕組みがあるかもあわせて確認しましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でシングルサインオンの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
シングルサインオンのサーバーを置く場所
シングルサインオンのサーバーをどのネットワークに置くかで、社外から使えるかどうかや、守り方が変わります。利用者がどこから使うかを整理したうえで、配置を決めましょう。
社内ネットワークに置く構成
社内の利用者だけが使う場合は、認証サーバーを社内ネットワークに置く構成が考えられます。外部から直接アクセスされないため、攻撃を受ける経路を限定できます。
ただし、テレワークや外出先から使う場合は、VPNなどで社内ネットワークに入ってからでないとログインできません。クラウドサービスを連携先に含める場合も、利用者が社外にいるときの経路を想定しておかないと、ログインできない場面が生じるおそれがあります。
DMZに置いて社外からも使う構成
社外からもログインさせる場合は、DMZに認証サーバーや中継サーバーを置く構成があります。DMZとは、インターネットと社内ネットワークの間に設ける緩衝地帯のようなネットワークです。
この構成では、DMZのサーバーから社内のディレクトリサーバーへの通信だけを許可するなど、通信の範囲を細かく絞ります。インターネットに公開するサーバーは攻撃の対象になりやすいため、多要素認証の適用や、不審なログインの監視もあわせて設計しましょう。
本番と別に用意する検証環境
シングルサインオンの設定変更は、誤ると全社のログインに影響します。本番のサーバーとは別に、同じ構成を小さく再現した検証環境を用意しておくと、設定変更や製品のバージョンアップを事前に試せます。
検証環境には、テスト用のアカウントと、連携先システムの検証用の環境をつないでおくのが理想です。すべてを再現するのが難しい場合は、利用者の多いシステムや業務への影響が大きいシステムから優先して用意しましょう。
SSOサーバーと周辺のサーバーでそろえる設定
サーバーを用意しても、周辺の設定が整っていないと認証が失敗することがあります。特に、時刻、証明書と名前解決、通信の許可の3つは、構築時と運用時の両方で見直しましょう。
サーバー間の時刻同期
SAMLの認証結果には有効期間が書き込まれており、Kerberosなどの方式でも時刻が判定に使われます。認証サーバーと業務システムのサーバーで時刻が大きくずれていると、正しい利用者でも認証に失敗する場合があります。
そのため、関係するサーバーはすべて同じ時刻配信サーバーから時刻を受け取る設定にしておきましょう。時刻配信サーバーとは、正確な時刻を各機器に配る仕組みのことです。仮想環境ではサーバーの移動や復元で時刻がずれることもあるため、定期的に確認すると安心です。
証明書と名前解決の設定
認証サーバーは、通信の暗号化に使うサーバー証明書と、認証結果に署名するための証明書を使います。どちらにも有効期限があり、期限が切れると連携先がログインを受け付けなくなる場合があります。
また、利用者や業務システムが認証サーバーの名前を正しく引けるよう、DNSの設定も必要です。DNSとは、サーバーの名前を通信先の住所に変換する仕組みです。社内と社外で引く先を分ける場合は、両方の設定がそろっているかを確かめましょう。
ファイアウォールの通信許可
認証サーバーとディレクトリサーバー、中継サーバーと業務システムの間など、サーバー同士が通信する経路はファイアウォールで許可する必要があります。必要な通信先と通信の種類は、製品の資料や構築ベンダーの設計書で確認できます。
許可の範囲を広くしすぎると、不要な通信まで通してしまうおそれがあります。必要な通信だけを許可し、設定内容を一覧で管理しておきましょう。サーバーを追加したときに許可を忘れると認証が失敗するため、変更手順に確認項目として入れておきます。
必要なサーバー構成で比べるSSO製品一覧
認証基盤をクラウドで利用する方式や、自社に認証サーバー、中継サーバー、エージェントを設置する方式など、この記事で紹介する製品を一覧にしました。自社に必要なサーバー構成を検討する際の参考にしてください。
| 製品名 | 特徴 |
|---|---|
| HENNGE One Identity Edition | クラウド型の認証基盤を利用できるIDaaS。SAML認証で300を超えるクラウドサービスと連携する |
| IIJ IDサービス | OpenID Connect 1.0やSAML 2.0に対応するクラウド型IDaaS。Active Directoryとの情報同期にも対応する |
| AccessMatrixUSO | デスクトップアプリやWebアプリなどに対応。既存アプリを改修せずにSSOを実現でき、オフラインモードも備える |
| CloudGate UNO | クラウド型IDaaS。SAMLやフォームベース認証に対応し、Active Directoryとの連携も可能 |
| SeciossLink（セシオスリンク） | クラウド型IDaaS。SAMLなどの標準規格に加え、代理認証やリバースプロキシによる連携にも対応する |
| AXIOLE | LDAP/RADIUS認証に対応する認証アプライアンス。ディレクトリサーバーとして利用でき、SAML認証にも対応する |
| Secioss Access Manager Enterprise（SAME） | オンプレミス型の認証基盤。SAML・OpenID Connect・リバースプロキシ・エージェント方式などに対応する |
| IceWall SSO | オンプレミス型のSSO製品。リバースプロキシ方式で既存のWebアプリへの認証を一元化できる |
| CSLGuard | オンプレミス型のSSO製品。Webアプリやクライアントサーバー型の業務システムへの認証を統合できる |
方式ごとのサーバー構成に対応するSSO製品
認証サーバーを自社で持たずに利用できるIDaaSから、中継サーバーやエージェントを使う製品、既存アプリの改修を抑えてSSOを実現する製品まで紹介します。必要なサーバーの数や設置場所をイメージしながら比較してください。
HENNGE One Identity Edition
- SAML認証で300超のクラウドサービスと連携が可能
- わかりやすいSSOマニュアルによりスムーズな導入が実現
- ID/パスワードを統合化し、パスワード管理の利便性が向上
HENNGE株式会社が提供する「HENNGE One Identity Edition」は、認証サーバー（IdP）を自社で運用せずに、クラウドサービスとのSSOを実現できるIDaaSです。SAML認証により300を超えるクラウドサービスと連携し、Microsoft 365やGoogle Workspaceなどへのログインを一元化できます。接続先サービスの設定手順を確認できるマニュアルが用意されているほか、未検証サービスとの接続検証にも対応。利用者は専用ポータルまたは各サービスのログイン画面からアクセスできます。クラウドサービスを中心に利用し、認証基盤の保守負担を抑えたい企業に向いています。
IIJ IDサービス
- 超図解マニュアルと直感的・シンプルなUIで導入・運用がカンタン
- デバイス証明書認証やFIDO2認証など、さまざまな認証機能に対応
- 複数の国内DCで稼働する万全のセキュリティ体制
株式会社インターネットイニシアティブが提供する「IIJ IDサービス」は、クラウド上で認証基盤を利用できるID管理・認証サービスです。OpenID Connect 1.0やSAML 2.0に準拠したサービスとのSSOに対応し、Active DirectoryとのID・パスワード・グループ情報の同期も行えます。デバイス証明書認証やFIDO2認証など、多様な認証方式を利用できる点も特徴です。複数の国内データセンターでサービスを運用しており、既存のディレクトリ環境を活用しながら、クラウドサービスの認証を一元化したい企業に適しています。
AccessMatrixUSO
- IBMiシリーズ、AS/400にも対応！対象アプリを選ばずSSOを実現！
- 対象アプリ、ネットワークの設定変更は一切不要！
- らくらく無料トライアル！お客様にはPCをご用意いただくだけ！
株式会社ハイ・アベイラビリティ・システムズが提供する「AccessMatrixUSO」は、業務システムの改修を抑えてSSOを導入できるソリューションです。Webアプリだけでなく、デスクトップアプリやJavaアプリ、AS/400接続用の端末エミュレータなどにも対応しています。アプリケーションサーバーへのモジュール追加やプログラムの変更を必要とせず、既存のシステム環境を活用したSSOを実現できます。Active Directoryなどのディレクトリとの連携に加え、SSOサーバーに接続できない環境で利用するオフラインモードも備えています。
CloudGate UNO
- 認証機能とアクセス条件機能を組み合わせた柔軟なアクセス制限
- ゼロトラストモデルのシングルサインオンでユーザーの利便性向上
- ユーザーの活動状況などを一元管理することで管理コストの削減
株式会社インターナショナルシステムリサーチが提供する「CloudGate UNO」は、クラウド上の認証基盤でSSOとアクセス制御を実現するIDaaSです。SAML 2.0やフォームベース認証などによる連携に対応し、複数のクラウドサービスへのログインを一元化できます。Active Directoryとの連携にも対応しており、AD DSの認証情報をキャッシュして利用する仕組みも備えています。パスキー認証や多要素認証、接続元や端末の条件に応じたアクセス制限も利用でき、社内のID管理とクラウドサービスの認証を組み合わせたい企業に向いています。
SeciossLink（セシオスリンク）
- シングルサインオンであらゆるサービスに連携
- IDの一元管理で業務効率化
- FIDO認証や証明書認証などの多要素認証で認証を強化
株式会社セシオスが提供する「SeciossLink（セシオスリンク）」は、クラウド型の認証基盤を利用しながら、社内システムとの連携も検討できるIDaaSです。SAMLやOpenID Connectなどの標準規格に加え、代理認証やリバースプロキシ方式によるSSOにも対応しています。Active DirectoryやLDAPなどのディレクトリとの情報連携が可能で、FIDO認証や証明書認証などの多要素認証も利用できます。自社で認証基盤を構築する負担を抑えつつ、標準規格に対応していないシステムにもSSOの適用範囲を広げたい企業に適しています。
AXIOLE
- ネットワーク認証に必要なスキーマ構築済みの認証アプライアンス
- LDAP/RADIUS認証に対応し様々なネットワーク機器から認証が可能
- 「時間」や「場所」を考慮した、より厳密な複合認証が可能
株式会社ネットスプリングが提供する「AXIOLE」は、LDAPベースの認証基盤を構築できる認証アプライアンスです。ネットワーク認証に必要なスキーマがあらかじめ用意されており、複雑な初期設定を抑えて導入できます。LDAP/RADIUS認証に対応し、Active DirectoryやほかのLDAPサーバーと連携して利用者情報を一元管理することも可能です。SAML認証にも対応しており、ハードウェア版に加えて仮想版やクラウド版も用意されています。ディレクトリサーバーやネットワーク認証の基盤を整備したい企業に向いています。
Secioss Access Manager Enterprise（SAME）
- シングルサインオンであらゆるサービスに連携
- FIDO認証や証明書認証などの多要素認証で認証を強化
- 柔軟なルール設定が可能なアクセス制御機能を搭載
株式会社セシオスが提供する「Secioss Access Manager Enterprise（SAME）」は、認証サーバーを自社環境に構築できるオンプレミス型のSSOソフトウェアです。SAMLやOpenID Connect、WS-Federationによる連携に加え、リバースプロキシ方式やエージェント方式にも対応しています。認証元としてActive DirectoryやOpenLDAPなどを利用でき、FIDO認証や証明書認証などの多要素認証も搭載。標準規格に対応したクラウドサービスと既存の社内システムが混在する環境で、複数のSSO方式を組み合わせたい企業に適しています。
IceWall SSO （日本ヒューレット・パッカード合同会社）
- 豊富な実績に基づく信頼性
- 安心の国内サポート
- 高品質、高性能、高可用性
CSLGuard （NTTテクノクロス株式会社）
- ユーザから見えない実際のパスワード
- システムダウン時も機能を維持
- 幅広いOSとアプリケーションに対応
まとめ
SSOに必要なサーバーは、認証サーバーとディレクトリサーバーが基本で、方式によって中継サーバーやエージェント、端末側のソフトが加わります。標準規格に対応したシステムが中心ならサーバーは少なく済み、社内システムが多いほど構成は複雑になる傾向です。シングルサインオンの置き場所や時刻同期、証明書の管理まで含めて設計しましょう。自社の環境にあう構成を選ぶために、複数製品の資料請求で対応方式を比べてみてください。
