ITトレンドがおすすめする製品・サービス
- ■社内システムのつなぎ方別
- リバースプロキシ方式：SeciossLink（セシオスリンク）、Secioss Access Manager Enterprise（SAME）
- エージェント方式：Secioss Access Manager Enterprise（SAME）
- 代理認証・フォームベース認証方式：GMOトラスト・ログイン、AccessMatrixUSO、Gluegent Gate（グルージェント ゲート）、SeciossLink（セシオスリンク）、Secioss Access Manager Enterprise（SAME）、OneLogin、CSLGuard
- 統合Windows認証との連携：GMOトラスト・ログイン、IIJ IDサービス、Gluegent Gate（グルージェント ゲート）、SeciossLink（セシオスリンク）、Secioss Access Manager Enterprise（SAME）、OneLogin
- クライアント型の業務アプリへの対応：AccessMatrixUSO、CSLGuard
オンプレミスのシステムをシングルサインオン化する考え方
クラウドサービスには、シングルサインオンの標準規格に対応したものがあります。一方、オンプレミスの社内システムは作られた時期や開発元がさまざまで、ログインの仕組みもばらばらです。まずは両者の違いと、調べておくことを押さえましょう。
クラウドサービスとの違いはログインの受け取り方
SAMLやOpenID Connectに対応したクラウドサービスは、これらの規格で、認証を担うIdPから「この人は本人確認済み」という情報を受け取れます。IdPとは、利用者の本人確認を行い、その結果を各システムに伝える認証基盤のことです。
一方、社内で開発した業務システムやパッケージソフトには、自前のID・パスワード画面しか持たないものがあります。この場合、システム側は外部の認証結果を受け取れないため、ログイン操作を肩代わりする別の仕組みが必要です。
対象システムごとにログインの仕組みを調べる
方式を決める前に、つなぎたい社内システムごとに、ログインの仕組みを一覧にします。標準規格に対応しているか、Webブラウザで使うか専用ソフトで使うか、利用者情報をどこで管理しているかが主な確認項目です。
あわせて、システムの改修が可能か、開発元のサポートが続いているかも記録しておきます。改修できるシステムは標準規格への対応を検討でき、改修できないシステムは画面の入力を代行する方式を選ぶなど、方式の向き不向きを判断できます。
社内Webシステムをシングルサインオンにつなぐ3方式
ブラウザで使う社内のWebシステムは、リバースプロキシ方式、エージェント方式、代理認証方式のいずれかでつなぐ方法が代表的です。サーバーへの手の入れ方と、ネットワークへの影響が異なります。
リバースプロキシ方式
リバースプロキシ方式は、利用者と社内システムの間に中継用のサーバーを置き、そこでログイン済みかどうかを確認する方式です。確認が済んだ利用者の情報を中継サーバーから社内システムへ渡すため、各システムのサーバーにソフトを入れる必要がありません。
その反面、すべての通信が中継サーバーを通るため、アクセスが集中すると処理が遅れる場合があります。システムのURLやネットワークの経路を変更することもあるため、中継サーバーの冗長化や、利用者への接続先の案内も計画に含めましょう。
エージェント方式
エージェント方式は、社内システムのWebサーバーに専用のソフトウェアを組み込み、ログイン状態を確認させる方式です。通信が中継サーバーに集中しないため、ネットワークの構成を大きく変えずに導入できる場合があります。
ただし、システムごとにソフトウェアを入れる作業が発生し、サーバーのOSやWebサーバーソフトに対応したエージェントが用意されている必要があります。古いOSで動くシステムは対応外のこともあるため、対応環境の一覧を製品資料で確認しましょう。
代理認証方式
代理認証方式は、利用者に代わってIDとパスワードをログイン画面へ自動で入力する方式です。システム側の改修が不要なため、標準規格に対応していない古い社内システムでもつなげる場合があります。
一方で、システムごとのIDとパスワードは残り、シングルサインオン側で安全に保管する仕組みが必要です。ログイン画面のデザインや入力欄が変わると自動入力が失敗することがあるため、システム改修の予定を把握しておくと対応が遅れずに済みます。
Windowsログオンやクライアント型アプリとの連携
オンプレミス環境では、Webシステム以外にも、パソコンへのログオンや専用ソフトで使う業務アプリがあります。これらをシングルサインオンの範囲に含めるかどうかで、選ぶ製品や構成が変わります。
統合Windows認証によるログオン連携
Active Directoryで社員のアカウントを管理している企業では、Windowsへのログオン時の認証結果を使って、社内のWebシステムにも自動でログインする方法があります。この仕組みは統合Windows認証と呼ばれ、主にKerberosという認証方式が使われます。
パソコンにログオンした時点で本人確認が済むため、利用者はブラウザでの入力を省けます。ただし、社内ネットワークに接続していることや、ドメインに参加した端末であることが前提です。テレワーク環境や個人端末で同じ動きになるかは、別に確認しましょう。
クライアント型の業務アプリへの対応
販売管理や会計などの業務アプリには、ブラウザではなくパソコンにインストールした専用ソフトで使うものがあります。こうしたアプリは、Web向けの方式ではつなげないことがあります。
製品によっては、パソコン側に常駐するソフトがアプリのログイン画面を検知し、IDとパスワードを代わりに入力する方式に対応しています。対象アプリの画面で正しく動くかは製品や環境で異なるため、試用期間や検証環境で、実際に使うアプリを動かして確かめましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でシングルサインオンの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
社外からオンプレミスの社内システムを使うとき
テレワークや外出先から社内システムを使う場合、ネットワークの入口と認証をどうつなぐかを決める必要があります。VPNを使う方法と、システムを社外向けに中継して公開する方法が代表的です。
VPN利用時の認証のつなぎ方
VPNは、社外の端末と社内ネットワークを暗号化した通信で結ぶ仕組みです。VPNに接続したあとは社内にいるときと同じ経路で社内システムを使えるため、既存のシングルサインオンの構成をそのまま生かせる場合があります。
ただし、VPN接続と社内システムで認証が二重になり、利用者の手間が増えることがあります。VPN装置の認証をシングルサインオンの認証基盤とつなぎ、多要素認証をVPN接続時にまとめて行うなど、どこで本人確認をするかを整理しておきましょう。
アプリケーションプロキシによる社内システムの公開
VPNを使わずに、特定の社内システムだけを社外から使えるようにする方法もあります。アプリケーションプロキシと呼ばれる仕組みで、認証を済ませた利用者の通信だけを社内システムへ中継します。
社内に置いた中継用のソフトウェアが外向きに接続する方式の場合、外部からの受信用の通信口を新たに開けずに済むことがあります。公開するシステムを限定できる一方、システムごとに設定が必要です。対象システムの数と、ネットワーク担当部署の方針をあわせて検討しましょう。
接続元や端末による利用制限
社外からの利用を認める場合は、誰が、どの端末から、どの場所から使えるかを制限すると安全性を高められます。シングルサインオンの製品には、接続元のIPアドレスや会社が管理する端末かどうかで、ログインの可否を切り替えられるものがあります。
例えば、社内からは通常のログインのみ、社外からは多要素認証を追加で求めるといった設定です。制限を厳しくしすぎると業務に支障が出るため、部署ごとの働き方を聞き取ったうえでルールを決めましょう。
シングルサインオン化した社内システムの保守で起きること
オンプレミスの社内システムをつないだあとも、システムの改修やルールの変更がシングルサインオンに影響することがあります。連携後に起こりうることを知り、保守の手順に組み込んでおきましょう。
社内システムの改修によるログインの失敗
社内システムのバージョンアップやサーバーの移設で、URLやログイン画面、受け取る利用者情報の形式が変わることがあります。その結果、リバースプロキシやエージェントの設定とあわなくなり、ログインに失敗する場合があります。
システムを改修するときは、シングルサインオンの担当者にも事前に連絡が届く流れを作っておきましょう。改修後は検証環境でログインを試し、問題がなければ本番に反映する手順にすると、利用者への影響を抑えられます。
ログアウト後も他のシステムに残るログイン状態
シングルサインオンでは、1つのシステムでログアウトしても、他のシステムのログイン状態が残ることがあります。各システムが独自にログイン状態を保持しているためで、すべてを同時に終了できるかは方式や製品によって異なります。
共用のパソコンを使う職場では、前の利用者のログイン状態が残らないよう、ブラウザを閉じる、一定時間で自動ログアウトするといったルールを決めておきましょう。どの範囲までまとめてログアウトできるかは、導入前に確認しておくと安心です。
パスワード変更ルールとの整合
代理認証方式でつないだシステムには、システムごとのパスワードが残ります。社内規程で定期的な変更を求めている場合、利用者が各システムでパスワードを変えたときに、シングルサインオン側の保存情報も更新しないと自動入力が失敗します。
製品によっては、パスワード変更を検知して保存情報を更新する仕組みや、管理者がまとめて変更する仕組みを備えています。どの方法で更新するかを決め、利用者向けの手順書にも反映しておきましょう。
社内システムのつなぎ方で比べるSSO製品
リバースプロキシ方式や代理認証方式、統合Windows認証など、オンプレミスの社内システムをつなぐ方式への対応を軸に、この記事で紹介する製品を一覧にしました。自社のシステムにあう方式を探す際に役立ててください。
| 製品名 | 特徴 |
|---|---|
| GMOトラスト・ログイン | Basic認証・SAML認証・フォームベース認証に対応。Active Directoryとのユーザー情報の同期や統合Windows認証も利用できる |
| IIJ IDサービス | Active Directoryと連携した統合Windows認証に対応。Windowsへのログオン情報を利用して連携サービスにSSOできる |
| AccessMatrixUSO | デスクトップアプリやメインフレーム、AS/400端末エミュレータなどに対応。既存アプリの改修を抑えてSSOを実現する |
| Gluegent Gate（グルージェント ゲート） | SAMLやOpenID Connectに対応。標準規格に非対応のWebアプリには代理認証を適用できる |
| SeciossLink（セシオスリンク） | 代理認証やリバースプロキシ機能で社内システムと連携。統合Windows認証にも対応する |
| Secioss Access Manager Enterprise（SAME） | リバースプロキシ・エージェント・代理認証に対応。統合Windows認証やアクセス制御も利用できる |
| OneLogin | フォームベース認証・Basic認証・SAML認証・統合Windows認証など複数の方式に対応する |
| CSLGuard | Webシステムやクライアントサーバー型の業務システムへの認証を代行し、SSOを実現する |
オンプレミスの社内システムをつなげるSSO製品
標準規格に対応していない社内Webシステムや、Windowsログオン、クライアント型の業務アプリまでSSOに含めたい場合に検討したい製品です。自社のシステムにあう方式を備えているかを確認しながら比べてください。
GMOトラスト・ログイン
- 社内システム、業務アプリ、複数SaaSのIDを効率的に一元管理
- シングルサインオンで情報漏えいのリスクを減らし、利便性も向上
- 迅速に多要素認証を導入し、セキュリティを強化
GMOグローバルサイン株式会社が提供する「GMOトラスト・ログイン」は、認証方式の異なる社内システムやクラウドサービスへのログインをまとめられるクラウド型ID管理サービスです。Basic認証・SAML認証・フォームベース認証の３種類に対応し、標準規格に非対応のWebアプリにもSSOを適用できます。ID連携オプションではActive Directoryとのユーザー情報の同期が可能で、統合Windows認証にも対応。IPアドレス制限やデバイス制限などのアクセス制御機能も備えており、既存のID管理環境を生かしながらSSOの対象を広げたい企業に向いています。
IIJ IDサービス
- 超図解マニュアルと直感的・シンプルなUIで導入・運用がカンタン
- デバイス証明書認証やFIDO2認証など、さまざまな認証機能に対応
- 複数の国内DCで稼働する万全のセキュリティ体制
株式会社インターネットイニシアティブが提供する「IIJ IDサービス」は、Active Directoryで管理している社員のIDを活用し、統合Windows認証によるSSOを実現できるクラウド型認証管理サービスです。対応環境では、Windowsへのログオン情報を利用して連携サービスにアクセスでき、ログイン操作の負担を軽減します。Active DirectoryとのID・パスワード・グループ情報の自動同期にも対応。iPhone・iPadではフォーム認証を通じたSSOも利用でき、複数の端末を使う職場の認証管理にも適しています。
AccessMatrixUSO
- IBMiシリーズ、AS/400にも対応！対象アプリを選ばずSSOを実現！
- 対象アプリ、ネットワークの設定変更は一切不要！
- らくらく無料トライアル！お客様にはPCをご用意いただくだけ！
株式会社ハイ・アベイラビリティ・システムズが提供する「AccessMatrixUSO」は、クライアント型の業務アプリを含めてSSOを導入したい企業に向く製品です。Webアプリに加え、デスクトップアプリやメインフレームアプリ、AS/400接続用の端末エミュレータなどにも対応。リバースプロキシ型やWebサーバーへのエージェント組み込み型とは異なり、アプリケーション側のモジュール追加やプログラム変更を抑えてSSOを実現できます。パスワード変更後の情報を取り込む機能も備えており、既存の業務システムを大きく変更せずに認証を統合したい企業に適しています。
Gluegent Gate（グルージェント ゲート）
- 連携サービスとのシングルサインオン設定で利便性を向上
- 連携サービスのIDを一元管理することで管理者の負荷を軽減
- 多要素認証、アクセス制限をサービスごとに自由に組み合わせ可能
サイオステクノロジー株式会社が提供する「Gluegent Gate（グルージェント ゲート）」は、標準規格に対応していない社内WebシステムへのSSOも検討できるクラウド型サービスです。SAML 2.0やOpenID Connectによる認証連携に加え、WebアプリのログインURLに必要な値を送信する代理認証方式に対応。既存のログイン画面を利用しながらSSOを実現できます。また、Active Directory連携や統合Windows認証連携にも対応し、多要素認証やアクセス制限をサービスごとに組み合わせられます。社内システムとクラウドサービスの認証を一元化したい企業に向いています。
SeciossLink（セシオスリンク）
- シングルサインオンであらゆるサービスに連携
- IDの一元管理で業務効率化
- FIDO認証や証明書認証などの多要素認証で認証を強化
株式会社セシオスが提供する「SeciossLink（セシオスリンク）」は、オンプレミスの社内システムとクラウドサービスへのSSOをまとめられるIDaaSです。SAMLやOpenID Connectなどの標準規格に加え、代理認証やリバースプロキシ方式にも対応しており、標準規格に非対応のシステムも連携対象にできます。統合Windows認証（デスクトップSSO）やクライアント証明書認証、FIDO認証などの認証方法も備えています。接続元IPアドレスや時間帯などに応じたアクセス制御も可能で、社内外からの利用条件を細かく設定したい企業に適しています。
Secioss Access Manager Enterprise（SAME）
- シングルサインオンであらゆるサービスに連携
- FIDO認証や証明書認証などの多要素認証で認証を強化
- 柔軟なルール設定が可能なアクセス制御機能を搭載
株式会社セシオスが提供する「Secioss Access Manager Enterprise（SAME）」は、社内システムの認証方式にあわせてSSOの仕組みを選べるオンプレミス型ソフトウェアです。SAMLやOpenID Connectなどの標準規格に加え、リバースプロキシ方式やエージェント方式、代理認証にも対応しています。統合Windows認証やクライアント証明書認証、FIDO認証などを利用でき、ユーザー・グループや接続元IPアドレス、時間帯に応じたアクセス制御も可能です。社内の認証基盤を自社管理しながら、複数のSSO方式を組み合わせたい企業に向いています。
OneLogin （ペンティオ株式会社）
- 5000を超えるアプリケーションへクリックひとつでログイン
- 18種のMFA(多要素認証)を利用可能
- 11種8方式のディレクトリ連携をサポート
CSLGuard （NTTテクノクロス株式会社）
- ユーザから見えない実際のパスワード
- システムダウン時も機能を維持
- 幅広いOSとアプリケーションに対応
まとめ
オンプレミスの社内システムも、リバースプロキシ方式やエージェント方式、代理認証方式、統合Windows認証などを使い分ければ、シングルサインオンにつなげます。どの方式が向くかは、ログイン画面の作りや改修の可否、社外から使うかどうかで変わります。連携後の改修やログアウトの扱いまで含めて計画しましょう。自社の社内システムに対応できるSSOを探すために、複数製品の資料請求で対応方式を比べてみてください。
