ITトレンドがおすすめする製品・サービス
- ■管理業務別
- アカウントの自動作成・更新・停止：Okta Workforce Identity、CloudGate UNO、Gluegent Gate（グルージェント ゲート）、SeciossLink（セシオスリンク）、SmartHR
- 人事データと連動したアカウント管理：Okta Workforce Identity、SmartHR
- グループ単位のアクセス制御：IIJ IDサービス、CloudGate UNO、LOCKED MSO
- ログの確認と利用状況の把握：Okta Workforce Identity、CloudGate UNO、SeciossLink（セシオスリンク）、LOCKED MSO、TrustBind/Federation Manager
- 監査用レポートの出力：AccessMatrixUSO
- パスワードの自己リセットとロック解除：ADSelfService Plus
管理者から見たシングルサインオンの使い方の全体像
利用者にとってのシングルサインオンは「1回ログインすれば済む仕組み」ですが、管理者にとっては社内のアクセスをまとめて管理する道具です。まずは管理画面で扱う対象と、管理者の役割を整理しましょう。
管理画面で扱う3つの対象
シングルサインオンの管理画面で扱う対象は、大きく分けて利用者、アプリ、アクセスルールの3つです。利用者はアカウントと所属グループ、アプリは連携しているクラウドサービスや社内システムを指します。
アクセスルールは、誰が、どのアプリを、どの条件で使えるかを決める設定です。この3つを組み合わせることで、「営業部の社員は社外からも顧客管理システムを使える」といった管理を実現します。日々の操作の多くは、この3つのどれかを変更する作業です。
利用者を支える窓口としての役割
シングルサインオンを導入すると、ログインに関する問い合わせが管理者に集まりやすくなります。パスワードを忘れた、多要素認証の端末を変えた、特定のアプリに入れないといった相談が代表例です。
こうした問い合わせに対応するには、管理画面で利用者のログイン履歴や設定状況を確認できることが欠かせません。対応を特定の担当者に任せきりにせず、よくある相談の対応手順をまとめて複数人で共有しておくと、担当者が不在のときも対応を続けられます。
入社・異動・退職で行うアカウント操作
管理者が日常的に行う作業の1つが、人の出入りにあわせたアカウントの操作です。操作の遅れや漏れはセキュリティ上のリスクにつながるため、手順と期限を決めて進めましょう。
入社時のアカウント作成とアプリ割り当て
新しい社員が入社したら、シングルサインオンのアカウントを作成し、所属部署にあわせたグループに登録します。グループにアプリをあらかじめ割り当てておけば、登録するだけで必要なアプリを使える状態にできます。
人事システムやActive Directoryと連携している場合、人事データの登録をきっかけにアカウントが自動で作られる製品もあります。さらに、アカウント情報を自動でやり取りするためのSCIMという標準規格に対応したクラウドサービスでは、各サービスのアカウントも自動で作成できる場合があります。
異動時の権限の付け替え
社員が異動したら、旧部署のグループから外し、新部署のグループに登録します。このとき、旧部署のアプリへの権限を外し忘れると、本来は不要なデータを閲覧できる状態が残るおそれがあります。
異動の多い時期は作業が集中するため、人事部門から異動情報を受け取る時期と、反映の期限を事前に決めておきましょう。引き継ぎ期間中だけ旧部署のアプリを使わせる場合は、期限を設定して権限を自動で外せるかも確認しておくと便利です。
退職時のアカウント停止
社員が退職したら、シングルサインオンのアカウントを停止します。連携アプリへのログインをSSOに限定していれば、新たなログインをまとめて制限できます。ただし、各アプリのアカウントが自動で削除されるとは限りません。ログイン済みの状態が残る場合もあるため、セッションの失効方法も確認しましょう。
また、アプリ側に独自のIDとパスワードでログインできる経路が残っている場合は、そこからアクセスされるおそれがあります。退職者の一覧と照らし合わせ、連携アプリのアカウント停止・削除や権限の解除まで確認する運用が重要です。
アプリの追加とアクセス制御の設定
新しいクラウドサービスを導入したときや、利用ルールを見直したときには、シングルサインオンの設定を変更します。追加や変更の手順を決めておくと、担当者が替わっても同じ品質で作業できます。
新しいアプリの連携
部署で新しいクラウドサービスを使い始めるときは、シングルサインオンにつなぐかどうかを最初に検討します。製品によっては、主要なクラウドサービスの設定がひな形として用意されており、画面の案内に沿って登録できます。
ひな形がないアプリは、SAMLなどの規格に沿って、アプリ側とシングルサインオン側の両方に設定を行います。設定後はテスト用のアカウントで動作を確かめてから、利用者に公開しましょう。追加したアプリは、連携方式と管理者を一覧に記録しておきます。
グループ単位でのアプリ割り当て
アプリの利用権限を1人ずつ設定すると、人数が増えるほど作業が膨らみ、設定の誤りも起こりやすくなります。部署や役職ごとにグループを作り、グループにアプリを割り当てる運用にすると、管理の手間を抑えられます。
グループの作り方は、組織図にあわせる方法と、業務の役割にあわせる方法があります。どちらの場合も、グループの名前と目的を一覧にして、誰がグループの変更を承認するかを決めておくと、権限が必要以上に広がるのを抑えられます。
接続元や端末による条件の設定
シングルサインオンの製品には、接続元のネットワークや端末の種類に応じて、ログインの条件を変えられるものがあります。例えば、社内からは通常のログイン、社外からは多要素認証を追加で求めるといった設定です。
条件を厳しくするほど安全性は高まりますが、業務に支障が出ることもあります。ルールを変更する前に対象者へ予告し、一部の部署で試してから全体へ広げると混乱を抑えられます。変更内容と理由は記録に残しておきましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でシングルサインオンの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
ログを使ったシングルサインオンの監視と監査
シングルサインオンには、社内のログインに関する記録が集まります。このログを定期的に見ることで、不正なアクセスの兆候に気づいたり、監査に必要な資料を用意したりできます。
ログイン履歴からの不審なアクセスの発見
ログイン履歴には、利用者、日時、接続元、使ったアプリ、成功か失敗かといった情報が残ります。深夜や休日のログイン、普段と違う地域からの接続、短時間に続くログイン失敗などは、確認したい動きの例です。
すべてのログを目で確認するのは現実的ではないため、条件を決めて管理者に通知が届く設定を活用しましょう。通知を受けたら、本人に心当たりを確認し、必要に応じてパスワードの変更やアカウントの一時停止を行う手順を決めておきます。
定期的なアカウントの棚卸し
棚卸しとは、登録されているアカウントと権限が、現在の在籍者や業務内容と一致しているかを確かめる作業です。四半期や半期など頻度を決めて、人事データとシングルサインオンの利用者一覧を照らし合わせます。
長期間ログインのないアカウントや、退職者のアカウント、用途がわからない共有アカウントが見つかったら、所属部署に確認して停止を検討します。確認の結果と対応内容を記録しておくと、次回の棚卸しや監査で説明がしやすくなります。
監査や報告のためのレポート出力
内部監査や取引先からのセキュリティ確認では、「誰がどのシステムを使えるか」「退職者のアカウントは止まっているか」を示す資料を求められることがあります。シングルサインオンの管理画面から利用者一覧やログを出力できると、資料作りの手間を減らせます。
ログの保存期間は製品や契約プランによって異なり、期間を過ぎると消える場合があります。社内規程で求められる保存期間より短い場合は、定期的に書き出して別の場所に保管する手順を設けましょう。
利用者からの問い合わせを減らすSSOの使い方
シングルサインオンの運用で管理者の時間を多く使うのは、利用者からの問い合わせ対応です。利用者が自分で解決できる仕組みと情報を整えておくと、管理者の負担を減らせます。
パスワードの自己リセット
パスワードを忘れたという問い合わせは、利用者自身で再設定できる機能を使うと減らせる場合があります。事前に登録した連絡先や多要素認証で本人確認をしたうえで、利用者が新しいパスワードを設定する仕組みです。
この機能を使う場合は、本人確認の方法が十分かを確かめておくことが大切です。確認が甘いと、第三者にパスワードを変更されるおそれがあります。どの方法で本人確認をするかは、情報セキュリティの担当部署と相談して決めましょう。
多要素認証の再登録の手順化
スマートフォンの機種変更や紛失で、多要素認証の再登録が必要になる相談もあります。管理者が登録を解除し、利用者が改めて登録するという流れを手順書にまとめておくと、対応のばらつきを抑えられます。
再登録の依頼は、なりすましに悪用される可能性もあります。電話だけで受け付けず、上長の確認を経る、社内の別の連絡手段で本人に確かめるなど、本人確認の方法を決めておきましょう。
社内向けマニュアルとお知らせの整備
ログインの方法やよくある質問をまとめた社内向けのマニュアルを用意し、ポータル画面や社内ポータルから見られるようにしておきます。画面の写真を入れると、ITに詳しくない利用者にも伝わりやすくなります。
連携アプリの追加やログインルールの変更、メンテナンスの予定も、事前にお知らせとして掲示しましょう。問い合わせの内容を記録して定期的に振り返り、多い質問はマニュアルに追記していくと、問い合わせの総数を減らせます。
管理業務の効率化で比べるSSO製品一覧
アカウントの自動作成・停止、グループ単位の権限設定、ログの確認など、管理者の日常業務に関わる機能の違いがわかるように、この記事で紹介する製品を一覧にしました。
| 製品名 | 特徴 |
|---|---|
| Okta Workforce Identity | 人事システムとの連携により、アカウントの作成・更新・停止を自動化。IDとアクセス状況を一元管理できる |
| IIJ IDサービス | Active DirectoryのID・グループ情報と同期。所属グループや利用者ごとに認証・アクセス条件を設定できる |
| AccessMatrixUSO | システムへのアクセスやパスワード変更などの操作記録を保存し、監査用レポートとして活用できる |
| CloudGate UNO | ユーザーの登録から削除までのライフサイクルを管理。認証ログや管理者の操作ログを確認できる |
| Gluegent Gate（グルージェント ゲート） | Google WorkspaceやMicrosoft 365などとのID連携・プロビジョニングに対応。サービスごとの認証ルールも設定できる |
| SeciossLink（セシオスリンク） | 社内ディレクトリやクラウドサービスのIDを統合管理。ダッシュボードで利用状況を可視化し、リスク検知にも対応する |
| SmartHR | 人事情報の変更から作成・削除が必要な外部サービスのアカウントを抽出。連携可能なサービスは作成・削除にも対応する |
| ADSelfService Plus | パスワードの再設定やアカウントロック解除を社員自身で行える。期限切れパスワードの自動リセットも可能 |
| LOCKED MSO | 利用者やグループに応じたログインルールの設定に対応。端末ごとのログを利用状況の確認に活用できる |
| TrustBind/Federation Manager | クラウドサービスと社内システムの認証を統合。アクセス履歴の把握や内部統制の強化に活用できる |
SSOの日常管理を支える製品
アカウントの作成・停止の自動化、グループ単位の権限設定、ログの確認、パスワードの自己リセットなど、管理者の日々の作業を減らせる機能に特徴のある製品を紹介します。自社の運用で手間のかかっている作業を思い浮かべながら比べてください。
Okta Workforce Identity
- フィッシングに強い認証フローでログインをより簡単・安全にする
- ADやLDAP等と統合。全てのIDを単一コントロールプレーンから管理
- ユーザーのアクセスを1か所で管理しアクティビティを適切に把握
Okta Japan株式会社が提供する「Okta Workforce Identity」は、入社・異動・退職に伴うアカウント操作を自動化したい企業向けのID管理サービスです。Lifecycle Managementのプロビジョニング機能により、人事システムと連携してアカウントの作成・更新・停止を自動化できます。Universal Directoryでは、Active DirectoryやLDAPなど複数の情報源を統合し、利用者やグループを一元管理できます。また、アクセス状況をまとめて把握できるため、権限の見直しや監査に向けた確認にも役立ちます。利用できる自動化機能は契約内容や連携先によって異なります。
IIJ IDサービス
- 超図解マニュアルと直感的・シンプルなUIで導入・運用がカンタン
- デバイス証明書認証やFIDO2認証など、さまざまな認証機能に対応
- 複数の国内DCで稼働する万全のセキュリティ体制
株式会社インターネットイニシアティブが提供する「IIJ IDサービス」は、Active Directoryのアカウント情報をSSOの管理に活用できるクラウド型認証管理サービスです。ADとID・パスワード・グループ情報を自動で同期し、所属グループに応じた認証・アクセス制御を設定できます。利用者や接続元などの条件にあわせて認証方法を変更でき、デバイス証明書認証やFIDO2認証にも対応。既存のディレクトリ環境を活用しながら、クラウドサービスへのアクセスルールをまとめて管理したい企業に適しています。
AccessMatrixUSO
- IBMiシリーズ、AS/400にも対応！対象アプリを選ばずSSOを実現！
- 対象アプリ、ネットワークの設定変更は一切不要！
- らくらく無料トライアル！お客様にはPCをご用意いただくだけ！
株式会社ハイ・アベイラビリティ・システムズが提供する「AccessMatrixUSO」は、SSOを通じた操作記録を監査や報告に活用できる製品です。システムへのアクセスやパスワード変更などの操作をログとして保存し、監査用レポートとして提供できます。デスクトップアプリやWebアプリなど幅広い業務システムに対応し、既存アプリの改修を抑えてSSOを導入できる点も特徴です。パスワードの自動生成機能も備えており、対象システムごとのポリシーにあわせたパスワード管理を支援します。
CloudGate UNO
- 認証機能とアクセス条件機能を組み合わせた柔軟なアクセス制限
- ゼロトラストモデルのシングルサインオンでユーザーの利便性向上
- ユーザーの活動状況などを一元管理することで管理コストの削減
株式会社インターナショナルシステムリサーチが提供する「CloudGate UNO」は、アカウント管理からアクセス制御、ログの確認までを一元化できるクラウド型IDaaSです。利用者やグループ、組織、役職などの情報を管理し、アカウントの登録・変更・削除といったライフサイクル管理に対応しています。休職者や退職者など、利用を停止するアカウントの無効化にも活用可能です。認証ログや管理者サイトの操作ログを確認でき、管理者ごとの役割に応じた権限設定も行えます。日常的なID管理とセキュリティ監視をまとめたい企業に向いています。
SeciossLink（セシオスリンク）
- シングルサインオンであらゆるサービスに連携
- IDの一元管理で業務効率化
- FIDO認証や証明書認証などの多要素認証で認証を強化
株式会社セシオスが提供する「SeciossLink（セシオスリンク）」は、社内外に分散したアカウント情報をまとめて管理できるクラウド型IDaaSです。Active DirectoryやLDAP、Microsoft 365、Google WorkspaceなどとのID連携に対応し、アカウント情報の同期や管理業務を効率化できます。ダッシュボードではログイン数や未利用アカウント、接続元の国などを確認可能。通常と異なるログインの挙動を検知して通知する機能も備えています。アカウントの棚卸しと不審なアクセスの確認を進めたい企業に適しています。
SmartHR
- ID管理とSSOで、アカウントの作成・削除とアクセスを一元管理
- プロダクトとBPOで、情シス業務全体の負荷を軽減
- 最新の人事データと連動、アカウントとアクセスの対応漏れを防止
株式会社SmartHRが提供する「SmartHR」は、人事情報と外部サービスのアカウント管理を連動させたい企業向けのサービスです。従業員の在籍状況や部署、役職などの情報にもとづいて、作成・削除が必要な外部サービスのアカウントを自動でリストアップできます。連携可能なサービスでは、SmartHRからアカウントの作成・削除も実行可能です。また、SAMLによるSSOとフォームベース認証・パスワード管理に対応し、共有アカウントも一元管理できます。入退社や異動に伴う対応漏れと、問い合わせ対応の負担を減らしたい企業に向いています。
ADSelfService Plus （ゾーホージャパン株式会社）
- 全世界18,000を超える企業・組織に利用されるサービス！
- ランニングコスト・初期コスト負担で選べる2つのプラン！
- 期限切れパスワードの自動リセットが可能！
LOCKED MSO （株式会社onetap）
- SAMLのみならず、独自システムやオンプレミスとも連携実績あり
- スマホで二段階認証&指紋や顔認証等の生体認証を実現
- 端末毎にログを取得！ログをベースにした利用状況の把握ができる
TrustBind/Federation Manager （NTTテクノクロス株式会社）
- セキュアで便利なシングルサインオン環境を簡単に構築！
- 2段階認証適用で社外からのアクセスをよりセキュアに！
- クラウドへのログイン履歴を管理し内部統制強化を実現！
まとめ
管理者にとってのシングルサインオンの使い方は、利用者・アプリ・アクセスルールを管理画面で扱い、入社から退職までのアカウント操作、アプリの追加、ログの確認を続けることです。グループ単位の割り当てや自動連携、自己リセットを活用すると、作業の手間と問い合わせを減らせます。SSOの管理機能は製品によって異なるため、自社の運用にあう製品を見極めるために、複数製品の資料請求で比べてみてください。
