ITトレンドがおすすめする製品・サービス
- ■構築の進め方別
- 管理画面での設定を中心に導入：GMOトラスト・ログイン、IIJ IDサービス、Gluegent Gate（グルージェント ゲート）
- 導入支援を受けながら構築：HENNGE One Identity Edition、Okta Workforce Identity、IIJ IDサービス、infoScoop × Digital Workforce
- 自社のサーバー環境に構築（オンプレミス）：AccessMatrixUSO、Secioss Access Manager Enterprise（SAME）、IceWall SSO、TrustBind/Federation Manager
- ■つまずきやすい点への備え別
- SSO非対応のアプリを代理認証などでつなぐ：GMOトラスト・ログイン、AccessMatrixUSO、Gluegent Gate（グルージェント ゲート）、Secioss Access Manager Enterprise（SAME）
- 共有アカウントを一元管理する：SmartHR
- 無料プラン・無料トライアルで試せる：GMOトラスト・ログイン、Okta Workforce Identity、AccessMatrixUSO
SSO構築プロジェクトの全体の流れ
SSO構築は、システムの設定作業だけでなく、社内のルールづくりや利用者への展開を含むプロジェクトです。全体の段階と、期間を左右する要素を把握してから計画を立てましょう。
企画から全社展開までの段階
シングルサインオンの構築は、企画、要件の整理、製品選定、設計と設定、試験導入、全社展開、運用への引き継ぎという段階で進むのが基本です。前の段階で決めたことが後の作業の前提になるため、段階ごとに区切りを設けて確認します。
特に、要件の整理を急ぐと、製品選定後に「このアプリがつながらない」といった問題が見つかり、手戻りが生じる場合があります。各段階の終わりに関係者で確認する場を設け、決めた内容を文書に残しておくと、後の判断がぶれにくくなります。
期間を左右する要素
構築にかかる期間は、企業によって大きく異なります。主に影響するのは、連携するアプリの数と方式、利用者情報の整い具合、そして社内の承認手続きにかかる時間です。
標準規格に対応したクラウドサービスが中心で、利用者情報も一元管理できている企業は、比較的短い期間で進められる場合があります。一方、社内システムが多い場合や、部署ごとに利用者情報がばらばらな場合は、整理に時間がかかります。最初の見積もりでは、こうした準備の時間も含めましょう。
シングルサインオン構築の前に決める範囲とルール
製品を選ぶ前に、何をシングルサインオンの対象にし、どのような条件でログインさせるかを決めます。ここが曖昧なまま進めると、製品の比較や見積もりの前提がそろいません。
対象の利用者とアプリの範囲
まず、シングルサインオンを使う利用者の範囲を決めます。正社員だけか、派遣社員や業務委託先、グループ会社の社員も含めるかで、必要なアカウント数や管理の方法が変わります。
次に、社内で使っているアプリを一覧にし、どれを対象にするかを決めます。すべてを最初から対象にする必要はありません。利用者が多いアプリや、ログインの手間が大きいアプリから優先し、残りは後の段階で追加する計画でも構いません。
多要素認証と社外アクセスのルール
シングルサインオンでは、入口のログインを強くすることが重要です。多要素認証を全員に求めるか、社外からのアクセス時だけにするか、管理者アカウントには必ず求めるかなど、認証のルールを決めておきます。
あわせて、私物の端末からの利用を認めるか、社外からどのアプリを使えるようにするかも決めます。ルールによって必要な製品の機能やライセンスの種類が変わることがあるため、製品選定の前に情報セキュリティの担当部署と合意しておきましょう。
利用者情報の正本の置き場所
正本とは、社員のアカウント情報のもとになる、最も正しいとされる情報源のことです。人事システム、Active Directory、シングルサインオンの製品のどれを正本にするかで、アカウントの作成や停止の流れが変わります。
正本を決めずに複数の場所で情報を更新すると、内容が食い違い、退職者のアカウントが残るといった問題につながるおそれがあります。どこで登録し、どこへ反映するかの流れを図にまとめ、人事部門とも確認しておきましょう。
SSO構築の体制と関係者の役割
シングルサインオンは全社のログインに関わるため、情報システム部門だけで完結しません。関係する部署と外部の協力先を早めに巻き込み、それぞれの役割を明確にしておきましょう。
情報システム部門と各アプリの管理者
プロジェクトの中心は情報システム部門です。全体の計画、製品の選定、シングルサインオン側の設定を担います。担当を1人に集中させると、不在時に作業が止まるおそれがあるため、複数人で情報を共有する体制が望ましいです。
一方、各アプリの設定変更は、そのアプリを管理する部署や担当者の協力が必要です。営業部が契約したクラウドサービスなど、情報システム部門が管理権限を持っていないアプリもあります。誰が管理者かを一覧にし、作業の依頼先と時期を早めに伝えておきます。
人事部門や総務部門との連携
アカウントの作成や停止は、入社や異動、退職の情報をもとに行います。人事部門から情報が届く時期と形式を決めておかないと、アカウントの反映が遅れる原因になりえます。
人事システムとシングルサインオンを連携させる場合は、どの項目を連携するか、組織変更のときにどう反映するかも人事部門と相談します。利用者への周知や、社内規程の改定が必要な場合は、総務部門との調整もスケジュールに入れておきましょう。
ベンダーや導入支援に任せる範囲
製品の提供会社や構築ベンダーには、導入支援として設計の助言や設定作業の代行、操作研修などを依頼できる場合があります。どこまでが標準の支援で、どこからが追加費用かは提供会社によって異なります。
自社で担う作業と依頼する作業を一覧にして、見積もりの段階で範囲を確認しましょう。すべてを任せると、構築後に社内で設定を変更できる人がいなくなるおそれがあります。設定の手順書や操作の引き継ぎも依頼内容に含めておくと安心です。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でシングルサインオンの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
シングルサインオンを試験導入から全社へ広げる
設定が終わったら、いきなり全社で使い始めるのではなく、一部の部署で試してから広げます。段階を踏むことで、問題を小さいうちに見つけ、利用者の混乱を抑えられます。
試験導入する部署とアプリの選び方
試験導入は、情報システム部門や、新しい仕組みに協力的な部署から始めるのが進めやすい方法です。対象のアプリは、利用者が多く効果を実感しやすいものと、設定が複雑でトラブルの起きやすいものを組み合わせて選びます。
試験期間中は、ログインの成否、問い合わせの内容、利用者の感想を記録します。見つかった問題と対応を手順書やマニュアルに反映し、全社展開の前に「展開してよいか」を判断する基準を決めておきましょう。
展開の順序と利用者への周知
全社展開は、部署単位や拠点単位で順番に進める方法があります。決算期や繁忙期にあたる部署は、業務への影響を避けるために展開の時期をずらします。
利用者には、切り替えの日、新しいログイン画面の場所、初回に行う設定、困ったときの窓口を事前に案内します。案内はメールだけでなく、社内ポータルや朝礼などでも繰り返し伝えると、見落としを減らせます。
問い合わせ窓口の準備
切り替え直後は、ログインに関する問い合わせが集中する傾向があります。窓口の担当者を増やす、よくある質問と回答を事前に用意するなど、対応体制を整えてから展開しましょう。
窓口では、問い合わせの内容と対応結果を記録し、担当者の間で共有します。同じ問い合わせが続く場合は、マニュアルや設定の見直しにつなげましょう。展開が一段落したら、運用担当への引き継ぎを行い、プロジェクトを締めくくります。
SSO構築でつまずきやすい点と予防策
シングルサインオンの構築では、計画段階では見えにくい問題が後から出てくることがあります。起こりうる問題を事前に知り、計画の段階で手を打っておきましょう。
SSOに対応しないアプリの扱い
構築を進めるなかで、標準規格に対応していないアプリや、上位の料金プランでなければシングルサインオンを使えないアプリが見つかることがあります。そのまま対象から外すと、利用者にとっては一部のアプリだけ別のログインが残ります。
予防策として、アプリの一覧を作る段階で、対応する規格と必要な契約プランを調べておきましょう。対応していないアプリは、代理認証など別の方式でつなげるか、当面は対象外にするかを、費用とあわせて判断します。
共有アカウントの扱い
部署で1つのIDとパスワードを共有しているアプリがあると、シングルサインオンの「1人1アカウント」の考え方とあわない場合があります。誰が操作したかを特定しにくいため、セキュリティの面でも見直しが求められます。
個人ごとのアカウントに切り替えられるか、アプリの契約やライセンスを確認しましょう。切り替えが難しい場合は、代理認証で利用者を限定して使わせるなど、管理の方法を決めておきます。
旧ログイン方法を止める時期
シングルサインオンを導入しても、各アプリの従来のIDとパスワードでのログインが残っていると、利用者がそちらを使い続けることがあります。入口が2つあると、シングルサインオン側で設定したルールが及ばない経路が残ります。
一方で、すぐに止めるとトラブル時に業務が止まるおそれがあります。並行して使える期間を決め、安定稼働を確認してから従来のログインを止める計画にしましょう。緊急時に管理者だけが使える経路は、利用記録を残す形で残しておきます。
構築の進めやすさで比べるSSO製品一覧
自社で設定を進めやすいか、導入支援を受けられるか、自社環境に構築するかといった違いがわかるように、この記事で紹介する製品を一覧にしました。プロジェクトの体制を考える際に役立ててください。
| 製品名 | 特徴 |
|---|---|
| HENNGE One Identity Edition | テクニカルコンサルタントが導入を支援。連携マニュアルや未検証サービスとの無償連携検証も用意 |
| GMOトラスト・ログイン | 基本機能を無料で利用可能。SAML認証やフォームベース認証などに対応し、段階的に機能を追加できる |
| Okta Workforce Identity | 導入支援パートナーや無料トライアルを用意。人事システム連携によるアカウント管理の自動化にも対応 |
| IIJ IDサービス | 図解マニュアルとシンプルなUIを用意。有償の導入検証・支援で設定作業の代行も依頼できる |
| AccessMatrixUSO | PCを用意して試せる無料トライアルを用意。既存アプリの改修を抑えてSSOを導入できる |
| Gluegent Gate（グルージェント ゲート） | 認証サーバーを自社構築せずに利用できるクラウド型。標準規格に対応しないWebアプリへの代理認証も可能 |
| Secioss Access Manager Enterprise（SAME） | オンプレミス型のSSOソフト。SAMLやOpenID Connect、リバースプロキシなど複数の方式に対応 |
| SmartHR | SSO非対応サービスのパスワードや共有アカウントを一元管理。人事データを利用したアカウント管理にも対応 |
| infoScoop × Digital Workforce | クラウドとオンプレミスのハイブリッドSSOに対応。環境構築や管理者教育を含む導入支援を提供 |
| IceWall SSO | オンプレミス型のSSO基盤。既存のWebシステムへの適用や、長期運用を見据えた保守サポートを提供 |
| TrustBind/Federation Manager | クラウドとオンプレミスのSSOを統合。複数のシステムを連携する認証基盤の構築に対応 |
導入プロジェクトを進めやすいSSO製品
管理画面中心で設定できるクラウド型、導入支援を受けられる製品、自社環境に構築する製品を紹介します。自社で担う作業とベンダーに任せる作業の範囲を考えながら比較してください。
HENNGE One Identity Edition
- SAML認証で300超のクラウドサービスと連携が可能
- わかりやすいSSOマニュアルによりスムーズな導入が実現
- ID/パスワードを統合化し、パスワード管理の利便性が向上
HENNGE株式会社が提供する「HENNGE One Identity Edition」は、導入から運用の定着まで支援を受けられるクラウド型IDaaSです。導入前はテクニカルコンサルタントが利用環境にあわせた導入支援を行い、導入後もサポートメンバーが運用を支援します。300を超えるクラウドサービスとのSAML連携に対応し、接続先の設定手順を確認できるWebマニュアルも用意。SSOの連携実績がないクラウドサービスとの接続検証もサポート内で無償対応しており、連携可否を確認しながら導入を進めたい企業に向いています。
GMOトラスト・ログイン
- 社内システム、業務アプリ、複数SaaSのIDを効率的に一元管理
- シングルサインオンで情報漏えいのリスクを減らし、利便性も向上
- 迅速に多要素認証を導入し、セキュリティを強化
GMOグローバルサイン株式会社が提供する「GMOトラスト・ログイン」は、利用範囲を小さく設定して導入を始めたい企業に向くクラウド型ID管理サービスです。基本的なSSO機能を無料で利用でき、必要に応じて認証強化やID連携などの有料オプションを追加できます。SAML認証やフォームベース認証など複数のSSO方式に対応しており、クラウドサービスや社内の業務アプリのログインを一元化できます。Active Directoryとの連携にも対応し、既存のID管理環境を活用しながら段階的に導入を進められます。
Okta Workforce Identity
- フィッシングに強い認証フローでログインをより簡単・安全にする
- ADやLDAP等と統合。全てのIDを単一コントロールプレーンから管理
- ユーザーのアクセスを1か所で管理しアクティビティを適切に把握
Okta Japan株式会社が提供する「Okta Workforce Identity」は、SSOの導入とあわせてアカウント管理の自動化を進めたい企業向けのクラウド型ID管理サービスです。人事システムやActive Directory、LDAPなどの情報を統合して管理でき、Lifecycle Managementなどの機能を利用すれば、入退社や異動に伴うアカウントの作成・更新・停止を自動化できます。SSOや多要素認証にも対応し、無料トライアルや導入支援パートナーも用意されています。複数システムのID管理を整理しながら構築を進めたい企業に適しています。
IIJ IDサービス
- 超図解マニュアルと直感的・シンプルなUIで導入・運用がカンタン
- デバイス証明書認証やFIDO2認証など、さまざまな認証機能に対応
- 複数の国内DCで稼働する万全のセキュリティ体制
株式会社インターネットイニシアティブが提供する「IIJ IDサービス」は、自社で設定を進めながら、必要に応じて導入支援も受けられるクラウド型認証管理サービスです。図解マニュアルとシンプルな管理画面を備え、SSOや認証方式の設定を進めやすい点が特徴です。有償の導入検証・支援サービスでは、導入前の検証や設定作業の代行をIIJに依頼できます。デバイス証明書認証やFIDO2認証などにも対応しており、既存のID管理環境を活用しながら認証基盤を整えたい企業に向いています。
AccessMatrixUSO
- IBMiシリーズ、AS/400にも対応！対象アプリを選ばずSSOを実現！
- 対象アプリ、ネットワークの設定変更は一切不要！
- らくらく無料トライアル！お客様にはPCをご用意いただくだけ！
株式会社ハイ・アベイラビリティ・システムズが提供する「AccessMatrixUSO」は、既存の業務システムを大きく変更せずにSSOを導入できる製品です。Webアプリだけでなく、デスクトップアプリやJavaアプリ、AS/400接続用の端末エミュレータなどにも対応しています。アプリケーションサーバーへのモジュール追加やプログラム改修を抑えられ、既存環境を活用した導入が可能です。PCを用意して試せる無料トライアルもあり、実際の動作を確かめてから本格導入を検討したい企業に適しています。
Gluegent Gate（グルージェント ゲート）
- 連携サービスとのシングルサインオン設定で利便性を向上
- 連携サービスのIDを一元管理することで管理者の負荷を軽減
- 多要素認証、アクセス制限をサービスごとに自由に組み合わせ可能
サイオステクノロジー株式会社が提供する「Gluegent Gate（グルージェント ゲート）」は、自社で認証サーバーを構築せずに利用できるクラウド型SSOサービスです。SAML 2.0やOpenID Connectに対応したWebアプリと連携できるほか、外部認証に対応していないWebアプリにも代理認証を適用できます。管理画面から連携サービスや認証ルールを設定でき、多要素認証やアクセス制限をサービスごとに組み合わせることも可能です。クラウドサービスと社内Webアプリの両方を対象に、段階的にSSOを導入したい企業に向いています。
Secioss Access Manager Enterprise（SAME）
- シングルサインオンであらゆるサービスに連携
- FIDO認証や証明書認証などの多要素認証で認証を強化
- 柔軟なルール設定が可能なアクセス制御機能を搭載
株式会社セシオスが提供する「Secioss Access Manager Enterprise（SAME）」は、自社のサーバー環境にSSO基盤を構築できるオンプレミス型ソフトウェアです。SAMLやOpenID Connectなどの標準規格に加え、リバースプロキシ方式やエージェント方式など、複数のSSO方式に対応しています。FIDO認証や証明書認証を利用した多要素認証、接続元に応じたアクセス制御も可能です。統合ID管理ソフトウェアの「Secioss Identity Manager Enterprise（SIME）」と組み合わせれば、ID管理から認証までを一体的に整備できます。
SmartHR
- ID管理とSSOで、アカウントの作成・削除とアクセスを一元管理
- プロダクトとBPOで、情シス業務全体の負荷を軽減
- 最新の人事データと連動、アカウントとアクセスの対応漏れを防止
株式会社SmartHRが提供する「SmartHR」は、SSOの導入にあわせて従業員のアカウント管理を効率化できるサービスです。SAMLによるシングルサインオンに加え、SSO非対応サービス向けのフォームベース認証やパスワード管理にも対応。複数人で利用する共有アカウントを一元管理でき、パスワードを個別に伝える手間を減らせます。また、人事データと連動してアカウントの作成・削除が必要な対象者を把握できるため、入退社や異動時の対応漏れを防ぎたい企業にも向いています。
infoScoop × Digital Workforce （株式会社ユニリタ）
- 連携先を問わないハイブリッドSSO（シングルサインオン）
- 利便性向上とセキュリティ強化の両面からリモートワークを支援
- 金融機関での実績と24時間365日のサポート体制
IceWall SSO （日本ヒューレット・パッカード合同会社）
- 豊富な実績に基づく信頼性
- 安心の国内サポート
- 高品質、高性能、高可用性
TrustBind/Federation Manager （NTTテクノクロス株式会社）
- セキュアで便利なシングルサインオン環境を簡単に構築！
- 2段階認証適用で社外からのアクセスをよりセキュアに！
- クラウドへのログイン履歴を管理し内部統制強化を実現！
まとめ
SSO構築は、対象範囲と認証のルールを決め、情報システム部門と人事部門、各アプリの管理者、ベンダーで体制を組み、試験導入から段階的に全社へ広げる流れで進めます。対応しないアプリや共有アカウント、旧ログイン方法の扱いも計画段階で決めておきましょう。シングルサインオンの導入支援の範囲は製品によって異なるため、複数製品の資料請求で支援内容を比べてみてください。
