ITトレンドがおすすめする製品・サービス
- ■連携方式別
- SAML：GMOトラスト・ログイン、IIJ IDサービス、CloudGate UNO、Gluegent Gate（グルージェント ゲート）、SeciossLink（セシオスリンク）、SmartHR、ROBOT ID、OneLogin、IDFederation
- OpenID Connect：IIJ IDサービス、Gluegent Gate（グルージェント ゲート）、SeciossLink（セシオスリンク）、OneLogin、IDFederation
- 代理認証・フォームベース認証：GMOトラスト・ログイン、CloudGate UNO、Gluegent Gate（グルージェント ゲート）、SeciossLink（セシオスリンク）、SmartHR、OneLogin
- ■利用者情報の取り込み元別
- Active Directoryとの同期・連携：GMOトラスト・ログイン、Okta Workforce Identity、IIJ IDサービス、CloudGate UNO、SeciossLink（セシオスリンク）、サテライトオフィス・シングルサインオン、OneLogin
- 人事システム・人事データとの連携：Okta Workforce Identity、SeciossLink（セシオスリンク）、SmartHR
- CSVファイルを使った一括登録・取り込み：SeciossLink（セシオスリンク）、サテライトオフィス・シングルサインオン、ROBOT ID
シングルサインオンの構築は2つの作業に分かれる
シングルサインオンの構築を作業で分けると、認証基盤側の準備と、アプリ側との連携設定の2つです。作業の担当者や必要な権限が異なるため、分けて計画すると進めやすくなります。
認証基盤（IdP）の準備
IdPとは、利用者の本人確認を行い、その結果を各アプリに伝える認証基盤のことです。構築の最初に、IdPへ社員のアカウントを登録し、パスワードのルールや多要素認証の設定を行います。
クラウド型のIDaaSであれば、管理画面での設定が中心です。オンプレミス型の場合は、サーバーへの製品のインストールや、ネットワークの設定から始まります。どちらの場合も、管理者アカウントには多要素認証を設定し、複数人で管理できるようにしておきましょう。
各アプリとの連携設定
IdPの準備ができたら、各アプリをIdPにつなぐ設定を行います。IdP側にアプリを登録する作業と、アプリ側にIdPを登録する作業の両方が必要です。
アプリ側の設定は、アプリの管理者権限がないと行えない場合があります。クラウドサービスによっては、提供会社への申請や、上位の料金プランへの変更が必要なこともあります。構築に入る前に、アプリごとに設定できる人と条件を確認しておくと、作業が途中で止まる事態を減らせます。
シングルサインオン構築で行う利用者情報の取り込み
IdPに登録する社員のアカウント情報は、既存の仕組みから取り込むのが基本です。取り込み元によって、作業内容とその後の更新の手間が変わります。
Active Directoryとの同期
Windows環境でActive Directoryを使っている企業は、そのアカウント情報をIdPに同期する方法がとれます。クラウド型のIDaaSでは、社内のサーバーに同期用のソフトウェアを入れ、定期的にアカウント情報を送る仕組みを用いる製品があります。
同期の対象にする部署やグループを絞れる場合は、まず一部で試してから範囲を広げましょう。パスワードの確認をActive Directory側で行うか、IdP側で行うかによって、社内ネットワークとの通信の要否が変わるため、構成を事前に確認します。
人事システムとの連携
人事システムを正本としてアカウント情報を連携する方法もあります。入社や異動、退職の登録が人事システムで行われると、その内容がIdPに反映される仕組みです。
連携の方法は、製品が用意する連携機能や、CSVファイルの定期的な受け渡しなどがあります。どの項目を連携するか、組織変更があったときにどう反映するかを人事部門と決めておきましょう。連携に失敗したときに管理者へ通知が届くかも確認しておくと、反映漏れに気づけます。
連携する属性と表記の整理
属性とは、氏名やメールアドレス、社員番号、所属部署など、アカウントが持つ個々の情報のことです。IdPからアプリへ渡す情報もこの属性から選ぶため、取り込む段階で必要な項目をそろえておきます。
取り込み元で、メールアドレスの大文字と小文字が混在していたり、退職者のアカウントが残っていたりすると、そのままIdPに引き継がれます。取り込む前にデータを点検し、重複や表記の揺れを整理しておくと、後の連携設定でのつまずきを減らせます。
SAMLでアプリを連携する構築手順
SAMLは、企業向けのクラウドサービスで広く使われる連携方式です。IdPとアプリが互いの情報を登録し合い、利用者を見分ける属性を決め、テストで動きを確かめる順に進めます。
IdPとアプリで情報を登録し合う
SAMLの連携では、IdP側にアプリの識別名であるエンティティIDと、認証結果の受け取り先であるACS URLを登録します。アプリ側には、IdPのエンティティIDとログイン画面のURL、認証結果の署名を確かめるための証明書を登録します。
これらの情報は、メタデータと呼ばれるファイルにまとめてやり取りできる場合があります。手入力では文字の誤りが起きやすいため、メタデータを読み込める場合は活用しましょう。登録した値は、アプリごとに一覧に記録しておきます。
利用者を見分ける属性を決める
アプリは、IdPから届いた認証結果に含まれる値で、どの利用者かを判断します。SAMLではNameIDと呼ばれる値で、メールアドレスや社員番号などが使われます。
IdPから送る値と、アプリに登録されている利用者の値が一致しないと、ログインできなかったり、別のアカウントが作られたりする場合があります。アプリの資料で、どの値を照合に使うかを確認し、IdP側の設定をそろえましょう。部署名などの追加の属性を渡す必要があるかも確認します。
テスト用アカウントでログインを試す
設定が終わったら、テスト用のアカウントで実際にログインを試します。IdPのログイン画面から開く方法と、アプリの画面から開く方法の両方で、正しい利用者としてログインできるかを確かめます。
ログインできた後も、権限が正しく反映されているか、ログアウトの動きは想定どおりかまで確認しましょう。失敗した場合は、IdPとアプリの両方のログを見比べ、登録した値や証明書、サーバーの時刻にずれがないかを順に調べます。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でシングルサインオンの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
OpenID Connectや代理認証で連携する場合
SAMLに対応していないアプリでも、OpenID Connectや代理認証でつなげる場合があります。方式によって登録する項目と、構築後に気をつける点が異なります。
OpenID Connectのクライアント登録
OpenID Connectは、Webアプリやスマートフォンアプリで使われる連携方式です。IdP側にアプリをクライアントとして登録し、発行されたクライアントIDなどをアプリ側に設定します。構成によっては、クライアントシークレットも利用します。
あわせて、ログイン後に利用者を戻す先のURLであるリダイレクトURIを、IdP側に正確に登録します。登録内容が一致しないと、ログインに失敗する場合があります。クライアントシークレットを使う場合は、共有範囲を限定して安全に保管しましょう。
代理認証のログイン画面の登録
代理認証は、利用者に代わってIDとパスワードをアプリのログイン画面に自動で入力する方式です。構築時には、アプリのログイン画面のURLと、IDとパスワードの入力欄、ログインボタンの位置を製品に登録します。
利用者ごとのIDとパスワードは、管理者がまとめて登録する方法と、利用者が初回に自分で入力する方法があります。ログイン画面の作りが変わると自動入力が失敗するため、アプリの更新予定を把握し、変更後に動作を確かめる手順を作っておきましょう。
構築後に続く証明書更新と設定の保守
シングルサインオンの構築は、設定を終えたら完了ではありません。連携を正常に保つための保守作業が続くため、構築の段階で保守の手順まで用意しておきましょう。
署名証明書の有効期限の管理
SAMLの連携で使う署名用の証明書には有効期限があります。期限が切れると、アプリが認証結果を受け付けなくなり、ログインできなくなるおそれがあります。
証明書を更新するときは、連携しているアプリ側にも新しい証明書を反映する必要があります。反映方法は製品によって異なり、手動で登録する場合と、メタデータを通じて更新できる場合があります。期限の数か月前から準備し、更新対象のアプリと作業方法を一覧で管理しておきましょう。
連携アプリの追加と削除の記録
構築後も、新しいアプリの追加や、使わなくなったアプリの連携解除が発生します。追加や削除の申請から設定までの流れを決め、作業の記録を残しましょう。
使わなくなったアプリの連携設定が残っていると、不要な経路でログインできる状態が続くおそれがあります。連携アプリの一覧を定期的に見直し、契約を終えたアプリはIdP側の設定も削除します。
設定のバックアップと変更履歴
シングルサインオンの設定は、誤って変更すると多くの利用者のログインに影響します。設定内容を定期的に書き出して保管し、問題が起きたときに元の状態を確かめられるようにしておきましょう。
あわせて、誰が、いつ、何を変更したかの履歴を残します。管理画面の操作履歴を確認できる製品もあります。変更作業は手順書に沿って行い、作業者とは別の担当者が確認する体制にすると、設定の誤りに早く気づけます。
連携方式と取り込み元で見るSSO製品一覧
SAMLやOpenID Connect、代理認証といった連携方式と、利用者情報の取り込み方法の違いがわかるように、この記事で紹介する製品を一覧にしました。構築作業の範囲を見積もる際に役立ててください。
| 製品名 | 特徴 |
|---|---|
| GMOトラスト・ログイン | SAML・フォームベース・Basic認証に対応。ID連携オプションでActive Directoryのユーザー情報を同期できる |
| Okta Workforce Identity | ADやLDAP、人事システムなどの情報を統合。プロビジョニングによるアカウントの作成・更新・停止に対応する |
| IIJ IDサービス | SAML 2.0・OpenID Connect 1.0に対応。ADのID・パスワード・グループ情報を自動同期できる |
| CloudGate UNO | SAML 2.0やフォームベース認証に対応。ADとの即時同期や定期的な差分同期を利用できる |
| Gluegent Gate（グルージェント ゲート） | SAML・OpenID Connect・代理認証に対応。連携サービスへのIDやグループ情報の反映も可能 |
| SeciossLink（セシオスリンク） | SAML・OpenID Connect・代理認証などに対応。AD・LDAPとの連携やCSVファイルのAPI取り込みが可能 |
| SmartHR | 人事データを外部サービスのアカウント管理に活用。SAMLによるSSOやフォームベース認証にも対応する |
| サテライトオフィス・シングルサインオン | CSVファイルのインポートやActive Directory連携により、ユーザー・グループ情報を管理できる |
| ROBOT ID | SAML 2.0によるSSOやCSVファイルを使ったアカウントの一括操作に対応する |
| OneLogin | SAML 2.0・OpenID Connect・フォームベース認証などに対応。Active Directoryを含む複数のディレクトリ連携方式を備える |
| IDFederation | SAML・OpenID ConnectによるWebアプリとのSSOに対応。外部IdPやSCIM連携でID基盤と統合できる |
設定作業を進めやすいSSO製品
SAMLやOpenID Connect、代理認証といった連携方式と、Active Directoryや人事システムからの利用者情報の取り込みに対応した製品を紹介します。自社で行う設定作業の範囲を確認しながら比較してください。
GMOトラスト・ログイン
- 社内システム、業務アプリ、複数SaaSのIDを効率的に一元管理
- シングルサインオンで情報漏えいのリスクを減らし、利便性も向上
- 迅速に多要素認証を導入し、セキュリティを強化
GMOグローバルサイン株式会社が提供する「GMOトラスト・ログイン」は、認証方式が異なるアプリをまとめてSSOに対応させたい企業向けのクラウド型ID管理サービスです。SAML認証、フォームベース認証、Basic認証の３種類を利用でき、標準規格に非対応のWebアプリも連携対象にできます。連携アプリのテンプレートが用意されており、新たなアプリの追加リクエストも可能です。また、ID連携オプションを利用すればActive Directoryとのユーザー情報の同期にも対応。既存のID管理環境を活用しながら、連携アプリを増やしたい企業に適しています。
Okta Workforce Identity
- フィッシングに強い認証フローでログインをより簡単・安全にする
- ADやLDAP等と統合。全てのIDを単一コントロールプレーンから管理
- ユーザーのアクセスを1か所で管理しアクティビティを適切に把握
Okta Japan株式会社が提供する「Okta Workforce Identity」は、人事システムや既存のディレクトリを利用者情報の取り込み元として活用できるID管理サービスです。Universal DirectoryによってActive DirectoryやLDAPなど複数の情報源を統合し、ユーザーやグループを一元管理できます。Lifecycle Managementのプロビジョニング機能では、人事システムと連携して入社・異動・退職に伴うアカウントの作成・更新・停止を自動化可能です。既存の情報を整理しながらSSO基盤を構築したい企業に向いています。
IIJ IDサービス
- 超図解マニュアルと直感的・シンプルなUIで導入・運用がカンタン
- デバイス証明書認証やFIDO2認証など、さまざまな認証機能に対応
- 複数の国内DCで稼働する万全のセキュリティ体制
株式会社インターネットイニシアティブが提供する「IIJ IDサービス」は、Active Directoryの利用者情報を活用し、標準規格によるSSOを構築できる認証管理サービスです。OpenID Connect 1.0やSAML 2.0に準拠したサービスとのSSOに対応し、ADとはID・パスワード・グループ情報を自動で同期できます。図解マニュアルやシンプルな管理画面が用意されているほか、有償の導入検証・支援サービスでは設定作業の代行も依頼可能です。既存のディレクトリ環境を活用しながら、複数のクラウドサービスを連携したい企業に適しています。
CloudGate UNO
- 認証機能とアクセス条件機能を組み合わせた柔軟なアクセス制限
- ゼロトラストモデルのシングルサインオンでユーザーの利便性向上
- ユーザーの活動状況などを一元管理することで管理コストの削減
株式会社インターナショナルシステムリサーチが提供する「CloudGate UNO」は、Active Directoryと連携しながらSSO環境を構築できるクラウド型IDaaSです。SAML 2.0やフォームベース認証などでクラウドサービスと連携し、複数のアプリへのログインを一元化できます。AD DSとの同期では、管理者が必要なときに実行する即時同期と、前回からの差分を定期的に取り込むタイマー同期を利用可能です。認証ログや管理者サイトの操作ログも確認でき、利用者情報の更新と連携設定を継続的に管理したい企業に向いています。
Gluegent Gate（グルージェント ゲート）
- 連携サービスとのシングルサインオン設定で利便性を向上
- 連携サービスのIDを一元管理することで管理者の負荷を軽減
- 多要素認証、アクセス制限をサービスごとに自由に組み合わせ可能
サイオステクノロジー株式会社が提供する「Gluegent Gate（グルージェント ゲート）」は、標準規格への対応状況にあわせて複数の連携方式を使えるクラウド型SSOサービスです。SAML 2.0に対応したアプリとは、Entity IDやACS URLなどの設定値を登録して認証連携できます。OpenID ConnectやOAuthに対応したアプリとの連携に加え、標準規格に非対応のWebアプリには代理認証を利用可能です。Active Directory連携やクラウドサービスへのID情報の反映にも対応し、複数の方式を管理したい企業に向いています。
SeciossLink（セシオスリンク）
- シングルサインオンであらゆるサービスに連携
- IDの一元管理で業務効率化
- FIDO認証や証明書認証などの多要素認証で認証を強化
株式会社セシオスが提供する「SeciossLink（セシオスリンク）」は、利用者情報の取り込みとアプリの認証連携を一元化できるクラウド型IDaaSです。SAMLやOpenID Connectなどの標準規格に加え、代理認証やリバースプロキシによるSSOにも対応しています。Active DirectoryやLDAPとの情報連携が可能で、人事システムから出力したCSVファイルをAPI経由で取り込む構成も選べます。FIDO認証や証明書認証などの多要素認証、接続元に応じたアクセス制御も備えており、複数のシステムを段階的に連携したい企業に適しています。
SmartHR
- ID管理とSSOで、アカウントの作成・削除とアクセスを一元管理
- プロダクトとBPOで、情シス業務全体の負荷を軽減
- 最新の人事データと連動、アカウントとアクセスの対応漏れを防止
株式会社SmartHRが提供する「SmartHR」は、従業員情報と外部サービスのアカウント管理を連動させられるサービスです。在籍状況や部署・役職などの人事データにもとづき、作成・削除が必要な外部サービスのアカウントを自動でリストアップできます。連携可能なサービスでは、アカウントの作成・削除も実行可能です。また、SAMLによるシングルサインオンと、SSO非対応サービス向けのフォームベース認証・パスワード管理にも対応しています。人事情報を活用しながら、ID管理とログインの仕組みを整備したい企業に向いています。
サテライトオフィス・シングルサインオン （株式会社サテライトオフィス）
- 7,000社以上の導入実績を誇る！（ Microsoft 365版含む）
- SAML承認による外部システムとの連携も可能！
- クライアント証明書機能やセキュアブラウザ機能も無料！
ROBOT ID （ブルーテック株式会社）
- 複数のパスワードを統合しひとつのパスワードでログイン可能に！
- 認証プロトコルSAML2.0準拠のシングルサインオンを実現！
- 生体認証を用いた最高セキュアでスピーディーなログインも実現！
OneLogin （ペンティオ株式会社）
- 5000を超えるアプリケーションへクリックひとつでログイン
- 18種のMFA(多要素認証)を利用可能
- 11種8方式のディレクトリ連携をサポート
IDFederation （NTTドコモビジネス株式会社）
- SAML/OpenID Connectで複数WebアプリにSSO (Single Sign-On).
- 多要素認証、リスクベース認証に対応。
- 外部IdPやSCIM連携等によるID基盤との統合運用に適合。
まとめ
シングルサインオンの構築は、利用者情報を取り込んでIdPを準備する作業と、各アプリとの連携設定に分かれます。SAMLではエンティティIDやACS URL、証明書、利用者を見分ける属性を、OpenID ConnectではクライアントIDやリダイレクトURIを登録します。構築後の証明書更新や設定の保守まで含めて計画しましょう。SSOの連携方式や取り込み方法の対応は製品によって異なるため、複数製品の資料請求で比べてみてください。
