ITトレンドがおすすめする製品・サービス
- ■強化したい認証の方式別
- フィッシングに強いパスキー（FIDO2）認証：CloudGate UNO、IIJ IDサービス、SeciossLink（セシオスリンク）、Secioss Access Manager Enterprise（SAME）
- 端末や接続元で制限するアクセス制御：CloudGate UNO、IIJ IDサービス、SeciossLink（セシオスリンク）、Secioss Access Manager Enterprise（SAME）、Gluegent Gate（グルージェント ゲート）、GMOトラスト・ログイン
- 普段と違うログインで追加確認するリスクベース認証：GMOトラスト・ログイン、Okta Workforce Identity、IDFederation、OneLogin
- ■抜け道を減らす管理機能別
SSOのリスクは入口が1つにまとまることから生まれる
SSOは、一度の認証で複数のサービスを使えるようにする仕組みです。便利さの裏返しとして、認証の判断が1か所に集まることで生まれるリスクがあります。まずはその構造を押さえましょう。
1つのIDで届く範囲が広がる
シングルサインオンの代表的なリスクは、1組のIDとパスワードが盗まれると、連携している複数のサービスに入られるおそれがあることです。メールやファイル共有、会計、顧客管理といった業務の中心となるサービスがつながっているほど、被害の範囲も広がります。
一方で、シングルサインオンを使わない場合でも、同じパスワードを使い回していれば似たリスクがあります。SSOでは入口が1つになる分、そこに多要素認証やアクセス制限を集中してかけられます。リスクを理解したうえで、入口の守りを厚くする設計が対策の基本です。
認証の判断を外部サービスに預ける
クラウド型のシングルサインオンを使う場合、ログインの可否を判断する仕組みを外部の提供会社に預ける形です。提供会社側でサービスが停止したり、設定の不具合が起きたりすると、自社の対策だけでは解決できない状況が生じる可能性があります。
そのため、提供会社が公開している稼働状況やセキュリティ対策、障害時の連絡方法を確認しておくことが大切です。あわせて、提供会社と自社のどちらが何に責任を持つのかという責任分界を、契約や利用規約で把握しておきましょう。自社で運用するオンプレミス型でも、運用担当者の体制によって同じ課題が生じます。
シングルサインオンを狙う攻撃と備え
IPA（情報処理推進機構）が2026年1月に公表した「情報セキュリティ10大脅威 2026」の組織編では、「リモートワーク等の環境や仕組みを狙った攻撃」が8位に挙げられています。社外からの利用の入口となるSSOも、こうした攻撃の対象となりえます。
偽のログイン画面で認証情報を盗む攻撃
代表的な攻撃が、本物そっくりの偽ログイン画面に誘導して、IDやパスワードを入力させるフィッシングです。手口によっては、利用者と本物のサービスの間に入り込み、多要素認証を終えた後のログイン状態（セッション）を盗み取るものもあります。
対策として、パスワードの代わりに、登録したサービスの接続先と結びついた鍵で認証するパスキー（FIDO2）のような方式があります。接続先が異なる偽サイトでは認証が成立しにくいため、フィッシングへの備えとして注目されています。あわせて、不審なメールの見分け方を社員に周知することも欠かせません。
多要素認証の承認要求を繰り返し送る攻撃
パスワードを入手した攻撃者が、スマートフォンへの承認通知を何度も送りつけ、利用者が誤って承認するのを待つ手口もあります。プッシュ通知で「承認」を押すだけの方式は手軽な反面、こうした誤操作を狙われる可能性があります。
対策には、ログイン画面に表示された番号を入力させる番号照合の方式を使う、短時間に何度も承認要求が出たら管理者へ通知する、といった方法があります。また、普段と違う場所や端末からのログインだけに追加の確認を求めるリスクベース認証や、会社が管理する端末に限って利用を許可する条件付きアクセスも有効です。
SSOの外に残る「抜け道」のリスク
シングルサインオンを導入しても、すべてのログインがSSOを経由するとは限りません。SSOを通らないログイン手段が残っていると、そこが攻撃や不正利用の抜け道となるおそれがあります。
SSOを通らないログイン手段が残る
SSOに対応していないアプリや、各サービスに最初から用意されている管理者用のアカウントは、SSOとは別のIDとパスワードでログインできる状態のまま残る場合があります。SSO側で多要素認証を設定しても、こうした手段には適用されません。
対策として、連携しているサービスごとに、SSO以外のログイン方法を無効にできるかを確認しましょう。無効にできない管理者用アカウントは、利用者を限定し、強固なパスワードと多要素認証を設定して保管方法を決めておきます。SAMLなどに対応していないアプリは、代理認証の仕組みで入口をSSOにまとめる方法もあります。
退職や異動の後もアカウントが残る
SSOのアカウントを止めても、連携先のサービス側にアカウントが残っていると、別の方法でログインできてしまう場合があります。特に、SSOを経由しない共有のアカウントや、外部の委託先に発行したアカウントは、停止の手続きから漏れやすい傾向があります。
対策として、人事の情報と連動してアカウントの作成と削除を自動で行うプロビジョニングの仕組みを使う方法があります。SCIMという標準規格に対応したサービスであれば、SSO側の変更を連携先に反映させやすくなります。自動化が難しいサービスは、定期的にアカウント一覧を照合する手順を決めましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でシングルサインオンの一括資料請求が可能です。浮いた時間で、じっくりと製品の比較検討を進めましょう。
シングルサインオンの設定と運用の不備によるリスク
攻撃を受けなくても、設定や運用の不備がきっかけで、ログインできなくなったり、見せるべきでない人に権限が与えられたりする場合があります。ここでは管理側で起こりうるリスクを取り上げます。
証明書の期限切れや属性の設定ミス
SAMLという方式でSSOとアプリを連携する場合、両者の間でやり取りする情報の正しさを確かめるために電子証明書を使います。この証明書には有効期限があり、更新を忘れると連携しているアプリにログインできなくなるおそれがあります。
また、利用者の所属や役職といった属性の受け渡し設定を誤ると、本来とは異なる権限でアプリに入れてしまう可能性があります。対策として、証明書の期限を一覧で管理して事前に通知を受ける、設定を変更したら検証用のアカウントで権限の表示を確かめる、といった手順を決めておきましょう。
管理者権限の集中と操作ミス
シングルサインオンの管理画面では、全社の利用者やアプリの設定をまとめて変更できます。そのため、管理者アカウントが乗っ取られた場合や、管理者が設定を誤った場合の影響は大きくなります。管理者権限を持つ人が多すぎても、逆に1人だけに集中していても、運用上のリスクが高まります。
対策として、管理者の権限を役割ごとに分け、必要な範囲だけを付与する方法があります。管理者のログインには通常より強い認証を求め、設定変更の操作記録を残して複数人で確認できる状態にしておくと安心です。設定手順を文書化し、担当者が替わっても引き継げるようにしておきましょう。
SSOのリスクに備えて事前に決めておくこと
どれだけ対策を重ねても、侵害の疑いや認証基盤の不具合が起きる可能性はゼロではありません。被害を広げないためには、起きたときの動き方を事前に決めておくことが重要です。
侵害が疑われたときの初動
不審なログインの通知や利用者からの報告を受けたら、まず該当アカウントのログイン状態を強制的に終了させ、パスワードや認証の登録情報を再設定します。SSOでは1か所の操作で連携先へのアクセスをまとめて止められる点が、対応のうえでの利点です。
そのうえで、ログイン履歴からどのサービスにいつアクセスされたかを確認し、影響範囲を調べます。誰が判断し、誰に連絡するのかを手順書にしておくと、担当者の不在時も対応が止まりにくくなります。履歴の保存期間は製品やプランで異なるため、調査に必要な期間を確認しておきましょう。
認証基盤が使えないときの代替手順
SSOが使えなくなると、連携しているサービスにまとめてログインできなくなるおそれがあります。そのため、緊急時だけに使う管理者用のログイン手段を用意し、保管方法と使用時の承認手順を決めておくことが大切です。
あわせて、どの業務をどの順番で復旧させるか、利用者へどのように案内するかも整理しておきます。代替手順は作っただけでは使えない場合があるため、年に1回程度は訓練や手順の見直しを行い、連携アプリの追加や担当者の交代にあわせて内容を更新しましょう。
SSOのリスク対策で見る製品一覧
SSOのリスクには、フィッシング、承認要求の悪用、SSOの外に残るアカウントなどがあります。備えに役立つ機能をもつ製品の概要を、一覧にまとめました。
| 製品名 | 特徴 |
|---|---|
| CloudGate UNO | パスキー（FIDO2）認証に対応し、認証方式ごとにアクセス制限を設定 |
| IIJ IDサービス | FIDO2やデバイス証明書に対応。人や場所に応じて認証条件を変更 |
| SeciossLink（セシオスリンク） | FIDO認証や端末制限に対応。代理認証でSAML未対応サービスも連携 |
| Secioss Access Manager Enterprise（SAME） | オンプレミス型。FIDO認証、代理認証、ルール設定によるアクセス制御 |
| Gluegent Gate（グルージェント ゲート） | サービスごとに認証とアクセス制限を組み合わせ。代理認証にも対応 |
| GMOトラスト・ログイン | IPアドレス制限、デバイス制限、ステップアップ認証を選択して追加 |
| Okta Workforce Identity | フィッシングに強い認証フローと、入退社に連動した自動プロビジョニング |
| HENNGE One Identity Edition | IPアドレスなどによる多要素認証とユーザープロビジョニングに対応 |
| IDFederation | 多要素認証とリスクベース認証に対応。SCIM連携でID基盤と統合運用 |
| OneLogin | 多要素認証とリスクベース認証を組み合わせ、プロビジョニングも自動化 |
入口の守りと抜け道を減らす製品
認証を強くする機能と、SSOの外に残るアカウントを減らす機能の2つの面から選びました。自社の環境で優先したい対策に近い製品から比べてください。
CloudGate UNO
- 認証機能とアクセス条件機能を組み合わせた柔軟なアクセス制限
- ゼロトラストモデルのシングルサインオンでユーザーの利便性向上
- ユーザーの活動状況などを一元管理することで管理コストの削減
株式会社インターナショナルシステムリサーチが提供する「CloudGate UNO」は、パスキー認証とアクセス制限に力を入れたシングルサインオンサービスです。FIDO2に準拠した認証器や生体認証によるパスキー認証に対応し、パスワードを使わないログインでフィッシングへの備えを厚くできます。認証方法とアクセス条件を組み合わせた柔軟なアクセス制限もサービスごとに設定でき、入口の守りをまとめて整えたい企業の候補です。
IIJ IDサービス
- 超図解マニュアルと直感的・シンプルなUIで導入・運用がカンタン
- デバイス証明書認証やFIDO2認証など、さまざまな認証機能に対応
- 複数の国内DCで稼働する万全のセキュリティ体制
株式会社インターネットイニシアティブが提供する「IIJ IDサービス」は、不正ログイン対策とSSOをあわせて提供する国産のIDaaSです。FIDO2、デバイス証明書、ワンタイムパスワードなどの認証方式を、ユーザーごとに組み合わせて使えます。社外と社内などの認証条件をユーザー単位で設定でき、リスクの高い場所には通常より厳しい条件を課す運用にも向きます。
SeciossLink（セシオスリンク）
- シングルサインオンであらゆるサービスに連携
- IDの一元管理で業務効率化
- FIDO認証や証明書認証などの多要素認証で認証を強化
株式会社セシオスが提供する「SeciossLink（セシオスリンク）」は、ID管理、シングルサインオン、多要素認証を備えたゼロトラスト型のIDaaSです。FIDO（パスキー）認証やクライアント証明書による端末制限のほか、SAML未対応のサービスにも代理認証やリバースプロキシで対応します。Microsoft 365やGoogle Workspaceなどへのアカウントの同期（IDプロビジョニング）にも対応し、SSOの外に抜け道を残したくない場合に検討しやすい製品です。
Secioss Access Manager Enterprise（SAME）
- シングルサインオンであらゆるサービスに連携
- FIDO認証や証明書認証などの多要素認証で認証を強化
- 柔軟なルール設定が可能なアクセス制御機能を搭載
株式会社セシオスが提供する「Secioss Access Manager Enterprise（SAME）」は、自社の環境に設置して運用するオンプレミス型のシングルサインオンソフトです。SAML、OpenID Connect、リバースプロキシ方式などでサービスと連携し、FIDO認証（パスキー）やワンタイムパスワードで認証を強化できます。SAML未対応のSaaSには代理認証で対応でき、ルールを細かく設定できるアクセス制御と、認証ログの検索機能も備えています。
Gluegent Gate（グルージェント ゲート）
- 連携サービスとのシングルサインオン設定で利便性を向上
- 連携サービスのIDを一元管理することで管理者の負荷を軽減
- 多要素認証、アクセス制限をサービスごとに自由に組み合わせ可能
サイオステクノロジー株式会社が提供する「Gluegent Gate（グルージェント ゲート）」は、シングルサインオンと多要素認証、アクセス制限を組み合わせられるクラウド型のサービスです。SAMLやOpenID Connectに加え、SAMLなどに対応していないWebアプリには代理認証でSSO連携できます。Google WorkspaceやMicrosoft 365などとはアカウントやグループのプロビジョニングにも対応し、アカウントの整理にも役立てられます。
GMOトラスト・ログイン
- 社内システム、業務アプリ、複数SaaSのIDを効率的に一元管理
- シングルサインオンで情報漏えいのリスクを減らし、利便性も向上
- 迅速に多要素認証を導入し、セキュリティを強化
GMOグローバルサイン株式会社が提供する「GMOトラスト・ログイン」は、社内システムや業務アプリ、クラウドサービスのIDを一元管理できるクラウド型のIDaaSです。認証強化オプションとして、IPアドレス制限、デバイス制限、ワンタイムパスワードのほか、許可していないネットワークからのアクセスにだけ多要素認証を求めるステップアップ認証が用意されています。基本的な機能は無料プランから使えるため、まず小さく試したい場合にも向いています。
Okta Workforce Identity
- フィッシングに強い認証フローでログインをより簡単・安全にする
- ADやLDAP等と統合。全てのIDを単一コントロールプレーンから管理
- ユーザーのアクセスを1か所で管理しアクティビティを適切に把握
Okta Japan株式会社が提供する「Okta Workforce Identity」は、従業員のアイデンティティを統合して管理するクラウド型のサービスです。フィッシング耐性のあるパスワードレス認証を備え、機密性に応じて必要なときだけ追加の認証を求める運用ができます。入退社や異動にともなうアカウントの作成・更新・停止を、人事システムと連携して自動化するプロビジョニング機能もあり、アカウントの消し忘れを減らしたい企業に合います。
HENNGE One Identity Edition
- SAML認証で300超のクラウドサービスと連携が可能
- わかりやすいSSOマニュアルによりスムーズな導入が実現
- ID/パスワードを統合化し、パスワード管理の利便性が向上
HENNGE株式会社が提供する「HENNGE One Identity Edition」は、Microsoft 365やGoogle Workspaceなどのクラウドサービスを使う際の、シングルサインオンとアクセス制御を提供するIDaaSです。SAML認証で300を超えるクラウドサービスと連携でき、連携サービスを増やしても追加料金はかかりません。IPアドレスなどを使った多要素認証や、ユーザープロビジョニングの機能も利用できます。
IDFederation （NTTドコモビジネス株式会社）
- SAML/OpenID Connectで複数WebアプリにSSO (Single Sign-On).
- 多要素認証、リスクベース認証に対応。
- 外部IdPやSCIM連携等によるID基盤との統合運用に適合。
OneLogin （ペンティオ株式会社）
- 5000を超えるアプリケーションへクリックひとつでログイン
- 18種のMFA(多要素認証)を利用可能
- 11種8方式のディレクトリ連携をサポート
まとめ
SSOのリスクは、入口が1つにまとまることで1つのIDの影響範囲が広がる点にあります。フィッシングや多要素認証を悪用する攻撃にはパスキーや条件付きアクセスで備え、SSOの外に残るアカウントはプロビジョニングや定期的な点検で減らしましょう。証明書や管理者権限の管理、侵害時の初動と代替手順も事前に決めておくことが大切です。自社のリスクに応じた機能があるかどうか、資料請求でシングルサインオン製品を比較してみてください。
