ITトレンドがおすすめする製品・サービス
- ■サーバーの持ち方別
- ■可用性への備え別
- ハードウェア版で冗長構成に対応：AXIOLE
- SSOサーバーへの接続障害に備えたオフラインモード：AccessMatrixUSO
- Active Directoryの障害時も認証を継続する仕組み：CloudGate UNO
- 複数の国内データセンターで運用：IIJ IDサービス
- 稼働率に応じた料金減額の取り決め：HENNGE One Identity Edition
- SSO停止時の緊急モード：サテライトオフィス・シングルサインオン
- 認証ログの確認や長期保守を重視：Secioss Access Manager Enterprise（SAME）、IceWall SSO、CSLGuard
シングルサインオンのサーバーが止まると起きること
シングルサインオンでは、ログインの入口が1か所にまとまります。便利になる反面、その入口が止まったときの影響は広がります。まずは、障害時に何が起きるかを具体的に把握しておきましょう。
連携システムへのログインが止まる範囲
認証サーバーが止まると、シングルサインオンを経由してログインするシステムには、新たにログインできなくなるおそれがあります。メールやファイル共有、勤怠管理など、日常業務の多くをつないでいる企業ほど影響は大きくなります。
認証サーバー本体が動いていても、利用者情報を持つディレクトリサーバーや、通信を中継するサーバーが止まれば同じことが起こりえます。どのサーバーが止まるとどのシステムに影響するかを図にまとめておくと、障害時の判断が早くなります。
ログイン済みの利用者への影響
障害が起きた時点で既にログインしている利用者は、各システムのログイン状態が有効な間は作業を続けられる場合があります。ただし、ログイン状態の有効時間が切れたり、別のシステムを開いたりすると、再ログインが必要です。
どの程度の時間使い続けられるかは、各システムの設定や連携方式によって異なります。障害の発生を利用者に知らせ、作業中のデータを保存してもらうなど、影響を小さくするための連絡手順を決めておきましょう。
止めないためのサーバー冗長化
シングルサインオンのサーバーを止めないためには、1台が故障してもほかの機器で処理を続けられる冗長化が基本です。認証サーバーだけでなく、関係するサーバー全体で考えることが大切です。
複数台構成と切り替えの仕組み
認証サーバーを2台以上用意し、負荷分散装置で通信を振り分ける構成が代表的です。負荷分散装置とは、届いた通信を複数のサーバーに割り振る機器やソフトウェアのことです。1台が止まっても、残りのサーバーで認証を続けられます。
複数台で動かす場合、ログイン状態の情報をサーバー間で共有できるかが重要です。共有できないと、切り替わった時点で利用者が再ログインを求められることがあります。製品が複数台構成に対応しているか、その際の条件を資料で確認しましょう。
ディレクトリや設定データの冗長化
認証サーバーを複数台にしても、利用者情報を持つディレクトリサーバーが1台だけでは、そこが止まった時点で認証ができなくなります。ディレクトリサーバーも複数台で構成し、データを同期させておきましょう。
認証サーバーの設定データや署名用の鍵も、故障に備えてバックアップを取ります。バックアップから元に戻す手順は、実際に検証環境で試しておくと安心です。手順書を複数の担当者で共有し、誰でも復旧作業を進められるようにしておきます。
拠点やデータセンターをまたぐ配置
建物の停電や回線障害、災害などで、1か所のサーバールームがまるごと使えなくなる場合もあります。事業を止められない企業では、別の拠点やデータセンターにもサーバーを置く構成を検討します。
ただし、拠点をまたぐ構成は、データの同期や切り替えの仕組みが複雑になり、費用も増える傾向があります。どの程度の停止時間まで許容できるかを経営層や業務部門と話し合い、必要な水準にあわせて構成を決めましょう。
ログイン集中に備えるシングルサインオンサーバーの性能
シングルサインオンのサーバーには、1日のなかで処理が偏る時間帯があります。平均の利用量だけで性能を決めると、混雑する時間にログインが遅れる場合があるため、ピーク時を想定して見積もりましょう。
始業時刻に集中するアクセス
多くの社員が同じ時刻に業務を始める企業では、始業直後にログインが集中します。昼休み明けや、システムの定期メンテナンスの終了直後にも、一斉に再ログインが発生することがあります。
こうした時間帯にログインが遅れると、業務の開始が遅れ、問い合わせも増えます。現在使っているシステムのアクセス記録から、混雑する時間帯と人数を把握しておくと、必要な性能を見積もる材料として使えます。
利用者数と連携システム数からの見積もり
サーバーの性能は、同じ時間帯にログインする人数と、1人が1日に開くシステムの数で大まかに見積もります。連携システムが多いほど、認証結果を発行する処理も増えます。
見積もりの方法や推奨されるサーバーの仕様は、製品によって異なります。提供会社や構築ベンダーに、自社の利用者数と連携システム数を伝えて推奨構成を確認しましょう。将来の利用者の増加も見込んで、余裕を持たせておくと安心です。
多要素認証や外部連携で増える処理
多要素認証を使う場合、ワンタイムパスワードの確認や、スマートフォンへの通知の送信といった処理が加わります。外部の認証サービスと連携する場合は、その応答を待つ時間もログインの時間に含まれます。
そのため、ログイン時間は自社のサーバー性能だけでは決まらず、外部サービスや通信回線の状態にも左右されます。性能試験では、多要素認証を含めた実際の手順で計測し、どこで時間がかかっているかを確認しましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でシングルサインオンの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
認証サーバーを守るセキュリティ要件
シングルサインオンのサーバーは、多くのシステムへの入口を管理しています。不正に操作されると被害が広がるおそれがあるため、ほかのサーバー以上に守りを固める必要があります。
署名鍵と管理者権限の保護
認証サーバーは、認証結果に電子署名を付けるための鍵を持っています。この鍵が漏えいすると、偽の認証結果を作られ、連携システムへ不正にログインされるおそれがあります。
鍵を保管するサーバーへのアクセスは、必要な担当者に限定しましょう。管理画面にログインする管理者アカウントにも多要素認証を設定し、操作の記録を残します。管理者を少人数に絞りつつ、1人に権限を集中させない体制が望ましいです。
OSと認証ソフトの更新
サーバーのOSや認証ソフトには、セキュリティ上の弱点を修正する更新が提供されます。更新を後回しにすると、既知の弱点を狙った攻撃を受けるおそれがあります。
一方で、更新によって連携先との動作が変わることもあります。検証環境で動作を確かめてから本番に適用する手順を決め、適用の頻度と担当を明確にしておきましょう。冗長構成であれば、1台ずつ更新することで停止時間を抑えられる場合があります。
認証ログの保管と監視
認証サーバーには、誰が、いつ、どこから、どのシステムにログインしたかの記録が残ります。この認証ログは、不正アクセスの発見や、問題が起きた後の調査に欠かせません。
ログの保管期間は、社内規程や業界のガイドラインにあわせて決めます。サーバーの中だけに保管していると、障害や改ざんで失われるおそれがあるため、別のログ保管サーバーへ転送する方法もあります。深夜の大量ログイン失敗など、不審な動きを通知する設定もあわせて検討しましょう。
シングルサインオンのサーバーを自社で持つか
ここまでの要件を自社で満たすのが難しい場合は、サーバーの持ち方そのものを見直す方法もあります。自社のサーバールーム、クラウド基盤、IDaaSの3つで、自社が担う範囲は大きく変わります。
自社のサーバールームで運用する
自社のサーバールームに機器を置く形では、冗長化や性能、セキュリティの要件をすべて自社の判断で設計できます。データを社外に出せない規程がある場合や、閉域網で使う場合に選ばれる形です。
その分、機器の調達や故障時の交換、電源や空調の管理まで自社の負担です。夜間や休日に障害が起きたときの対応体制も必要です。自社で人員を確保できない場合は、保守を担うベンダーとの契約内容を確認しておきましょう。
クラウド基盤（IaaS）に構築する
IaaSとは、サーバーやネットワークなどの基盤をインターネット経由で借りるサービスです。認証ソフトは自社で導入・管理しますが、機器の調達や故障時の交換は提供会社が担います。
サーバーの台数を必要に応じて増減しやすい反面、OSや認証ソフトの更新、冗長構成の設計は引き続き自社の作業です。提供会社と自社の責任範囲を契約書や資料で確認し、自社が担う作業を漏れなく洗い出しておきましょう。
サーバー不要のIDaaSを使う
IDaaSは、シングルサインオンの機能をサービスとして使う形です。認証サーバーの冗長化や更新は提供会社が行うため、自社でサーバーを持たずに導入できます。
ただし、提供会社のサービスが停止したときは自社で復旧できないため、稼働率の目標値や障害時の連絡方法を契約前に確認しておくことが大切です。社内のディレクトリサーバーとの同期に小さな仕組みが必要な場合もあるため、自社側に残る作業も把握しておきましょう。
可用性とサーバーの持ち方で見るSSO製品
自社に設置するか、IDaaSを使うかというサーバーの持ち方と、障害への備えの違いがわかるように、この記事で紹介する製品を一覧にしました。止まったときの影響を考える際の比較材料にしてください。
| 製品名 | 特徴 |
|---|---|
| HENNGE One Identity Edition | クラウド型IDaaS。月間稼働率が99.9％未満となった場合、翌年の契約料金を減額する取り決めがある |
| Okta Workforce Identity | クラウド型のID管理基盤。SSOや多要素認証、特権アクセス管理などに対応する |
| IIJ IDサービス | 国内の東西にある複数のデータセンターで、ネットワークからアプリケーションまでIIJが一元管理・運用する |
| AccessMatrixUSO | SSOサーバーに接続できない場合に備えたオフラインモードを標準搭載。操作ログの記録にも対応する |
| CloudGate UNO | AD DSの認証情報をキャッシュで保持し、Active Directoryのメンテナンスや障害時にもログインを継続できる |
| AXIOLE | LDAP/RADIUS認証に対応する認証アプライアンス。ハードウェア版は冗長構成に対応する |
| Secioss Access Manager Enterprise（SAME） | オンプレミス型SSO。認証ログをWeb画面から検索・表示でき、アカウントのロックアウト設定にも対応する |
| サテライトオフィス・シングルサインオン | Google Workspace向けのSSO機能を提供。SSO停止時などに利用する緊急モードを備える |
| IceWall SSO | オンプレミス型SSO。高可用性を特徴とし、メジャーバージョンごとに10年間のサポートを提供する |
| CSLGuard | オンプレミス型SSO。認証サーバーに接続できない場合、過去の認証履歴を利用する認証方式を備える |
止まりにくい認証基盤づくりに役立つSSO製品
自社に設置する製品、障害時の代替手段を備えた製品、認証基盤の運用を任せられるIDaaSを紹介します。サーバーの設置場所や障害への備えを比較し、自社に必要な可用性を検討してください。
HENNGE One Identity Edition
- SAML認証で300超のクラウドサービスと連携が可能
- わかりやすいSSOマニュアルによりスムーズな導入が実現
- ID/パスワードを統合化し、パスワード管理の利便性が向上
HENNGE株式会社が提供する「HENNGE One Identity Edition」は、認証サーバーの構築や保守を提供会社に任せられるクラウド型IDaaSです。SAML認証で300を超えるクラウドサービスと連携でき、ログインを一元化できます。月間稼働率が99.9％未満となった場合には、翌年の契約期間の年額からサービス料金を減額する取り決めを設けています。また、導入前はテクニカルコンサルタント、導入後はサポートメンバーが運用を支援。認証基盤の自社運用負担を抑えながら、稼働率に関する契約条件も確認したい企業に向いています。
Okta Workforce Identity
- フィッシングに強い認証フローでログインをより簡単・安全にする
- ADやLDAP等と統合。全てのIDを単一コントロールプレーンから管理
- ユーザーのアクセスを1か所で管理しアクティビティを適切に把握
Okta Japan株式会社が提供する「Okta Workforce Identity」は、認証基盤をクラウドで利用できるID管理サービスです。Active DirectoryやLDAPなどの既存の認証基盤と連携し、複数の業務アプリへのシングルサインオンを実現します。多要素認証やパスワードレス認証にも対応し、利用者のアクセス条件に応じて追加認証を求める運用も可能です。認証サーバーの保守を自社で担わずに、複数システムのIDとアクセス権を一元的に管理したい企業に適しています。
IIJ IDサービス
- 超図解マニュアルと直感的・シンプルなUIで導入・運用がカンタン
- デバイス証明書認証やFIDO2認証など、さまざまな認証機能に対応
- 複数の国内DCで稼働する万全のセキュリティ体制
株式会社インターネットイニシアティブが提供する「IIJ IDサービス」は、認証基盤の運用を提供会社に任せられるクラウド型IDaaSです。ネットワークからアプリケーションまで、国内の東西にある複数のデータセンターでIIJが一元管理・運用しています。Active DirectoryとのID・パスワード・グループ情報の同期にも対応し、既存のディレクトリ環境と組み合わせて利用できます。デバイス証明書認証やFIDO2認証などのセキュリティ機能も備えており、認証サーバーの管理負担を抑えながらID管理を進めたい企業に向いています。
AccessMatrixUSO
- IBMiシリーズ、AS/400にも対応！対象アプリを選ばずSSOを実現！
- 対象アプリ、ネットワークの設定変更は一切不要！
- らくらく無料トライアル！お客様にはPCをご用意いただくだけ！
株式会社ハイ・アベイラビリティ・システムズが提供する「AccessMatrixUSO」は、SSOサーバーへの接続障害に備えたい企業向けの製品です。SSOサーバーに接続できない環境でもログインを可能にするオフラインモードを標準搭載しています。また、システムへのアクセスやパスワード変更などの操作記録をログとして保存し、監査用レポートとして利用できます。提供形態はオンプレミスやクラウド、パッケージソフト、ハードウェアに対応。障害時のログイン継続条件を確認しながら、認証環境を構築したい企業に適しています。
CloudGate UNO
- 認証機能とアクセス条件機能を組み合わせた柔軟なアクセス制限
- ゼロトラストモデルのシングルサインオンでユーザーの利便性向上
- ユーザーの活動状況などを一元管理することで管理コストの削減
株式会社インターナショナルシステムリサーチが提供する「CloudGate UNO」は、Active Directoryの障害時にも認証を継続できる仕組みを備えたクラウド型IDaaSです。AD DSとの連携では、認証情報をCloudGate UNO内にキャッシュで保持し、Active Directoryのメンテナンスや障害時にもログインを継続できます。また、利用者の認証ログや管理者サイトの操作ログを確認でき、接続元や端末などの条件に応じたアクセス制限も可能です。社内のディレクトリ環境とクラウド型の認証基盤を組み合わせたい企業に向いています。
AXIOLE
- ネットワーク認証に必要なスキーマ構築済みの認証アプライアンス
- LDAP/RADIUS認証に対応し様々なネットワーク機器から認証が可能
- 「時間」や「場所」を考慮した、より厳密な複合認証が可能
株式会社ネットスプリングが提供する「AXIOLE」は、LDAP/RADIUS認証に対応した認証アプライアンスです。ネットワーク認証に必要なスキーマがあらかじめ用意されており、Active DirectoryやほかのLDAPサーバーとも連携できます。ハードウェア版は冗長構成に対応し、機器故障時のセンドバック修理や先出し交換、オンサイト保守などのサービスも用意されています。仮想版やクラウド版も選べるため、自社の認証基盤を整備しながら、障害対策や保守体制を検討したい企業に向いています。
Secioss Access Manager Enterprise（SAME）
- シングルサインオンであらゆるサービスに連携
- FIDO認証や証明書認証などの多要素認証で認証を強化
- 柔軟なルール設定が可能なアクセス制御機能を搭載
株式会社セシオスが提供する「Secioss Access Manager Enterprise（SAME）」は、自社環境に認証サーバーを構築できるオンプレミス型SSOソフトウェアです。SAMLやOpenID Connect、リバースプロキシ方式、エージェント方式などに対応し、Active DirectoryやOpenLDAPを認証元として利用できます。指定した回数の認証失敗によるアカウントのロックアウトや、認証ログをWeb画面から検索・表示する機能も搭載。FIDO認証や証明書認証などの多要素認証も利用でき、認証基盤の運用とアクセス制御を自社で管理したい企業に適しています。
サテライトオフィス・シングルサインオン （株式会社サテライトオフィス）
- 7,000社以上の導入実績を誇る！（ Microsoft 365版含む）
- SAML承認による外部システムとの連携も可能！
- クライアント証明書機能やセキュアブラウザ機能も無料！
IceWall SSO （日本ヒューレット・パッカード合同会社）
- 豊富な実績に基づく信頼性
- 安心の国内サポート
- 高品質、高性能、高可用性
CSLGuard （NTTテクノクロス株式会社）
- ユーザから見えない実際のパスワード
- システムダウン時も機能を維持
- 幅広いOSとアプリケーションに対応
まとめ
シングルサインオンのサーバーは、止まると連携したシステムへのログインがまとめて止まるおそれがあります。冗長化、ピーク時を想定した性能、署名鍵やログの保護を導入前に決めておくことが大切です。要件を自社で満たすのが難しい場合は、IaaSやIDaaSも選択肢に入れましょう。自社に必要なSSOのサーバー要件と製品の対応範囲を照らし合わせるために、複数製品の資料請求で比較してみてください。
