シングルサインオンの認証連携の方式
シングルサインオンとは、一度の認証で複数のサービスへログインできるようにする仕組みです。連携先とどのようにやり取りするかを定めた方式が、対応範囲を左右します。
標準的な連携方式への対応
SAMLは、認証の結果を安全に受け渡すための仕様の一つです。OIDCは、ログインに関する情報をやり取りする別の仕様で、いずれも多くのクラウドサービスが採用しています。両方に対応している製品であれば、連携できるサービスの幅が広がります。
確認したいのは、対応している方式の一覧と、連携実績のあるサービスが公開されているかという点です。自社で使用しているサービスが一覧に含まれているかを確認しましょう。含まれていない場合でも、方式に対応していれば設定によって連携できる可能性があります。設定の手順が案内されているか、支援を受けられるかもあわせて確認してください。
標準の方式に対応していない場合の選択肢
社内で稼働している業務システムや、古い仕組みで動くサービスでは、標準的な連携方式に対応していない場合があります。この場合、利用者に代わってIDとパスワードを入力する方式で対応する製品もあります。
この方式を検討する際は、パスワードをどこにどのような形で保管するか、画面の構成が変わった際にどう対応するかを確認しましょう。連携先の画面が更新されると設定の見直しが必要になる場合があります。対象にできるシステムの条件や、設定にかかる作業量も、資料請求時に確認しておくとよいでしょう。
ログインの手順にかかわる機能
利用者が日常的に触れる部分であるため、実際の操作を想定して確認しておきたい領域です。
複数サービスへまとめてログインする仕組み
認証を一度行えば、連携している各サービスへ個別にIDとパスワードを入力せずに移動できます。利用者向けの画面に、使えるサービスの一覧を表示する機能を備えた製品もあります。
確認したいのは、一覧に表示するサービスを所属や役割ごとに変えられるか、利用者が自分で並び順を変えられるかという点です。あわせて、スマートフォンやタブレットからの利用に対応しているかも確認しましょう。外出先で使う従業員がいる場合、画面の見え方や操作の手順を実際に確かめると判断しやすくなります。
パスワードを使わない認証への対応
パスワードの代わりに、端末に登録した生体情報や、専用の機器を使って本人確認を行う方式があります。パスワードを覚える負担がなくなるため、利用者にとっての手間を減らせる可能性があります。
導入を検討する際は、対応している端末の種類、登録の手順、端末を紛失した場合の再登録の方法を確認しましょう。従業員が使う端末が対応していない場合、この方式を選べない場合があります。全員が同じ方式を使えるとは限らないため、複数の方式を併用できるかもあわせて確認してください。
認証を強める機能
ログインの入り口がまとまるため、その入り口をどこまで強められるかは比較の重要な観点です。
複数の要素を組み合わせる認証
多要素認証とは、パスワードに加えて、スマートフォンのアプリに表示される数字や、生体情報など別の要素を組み合わせて本人確認を行う方式です。パスワードだけの場合と比べ、第三者が利用する余地を減らせます。
確認したいのは、対応している要素の種類、標準の機能に含まれるか追加契約が必要か、利用者ごとに方式を選べるかという点です。業務用のスマートフォンを全員が持っていない環境では、代替となる方式が必要になります。また、要素の登録を利用者が自分で行えるか、管理者が代行する必要があるかも、導入時の作業量に影響します。
条件に応じて認証を変える機能
接続元の場所、使用している端末、アクセスする時間帯といった条件に応じて、求める認証の強さを変える設定に対応した製品があります。社内からの接続は簡易に、社外からは追加の確認を求めるといった運用が可能です。
確認したいのは、条件として指定できる項目の種類と、条件を組み合わせられるかという点です。設定が複雑になるほど確認の手間も増えるため、ルールの一覧を出力できるかもあわせて見ておきましょう。想定する運用を伝えたうえで、設定例を示してもらうと判断しやすくなります。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品で比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でシングルサインオンの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
アカウント管理とログにかかわる機能
導入後の運用負担を左右するのが、アカウントを扱う機能と記録を残す機能です。
アカウントの作成と停止を自動化する機能
プロビジョニングとは、利用者の情報をもとに、連携先サービス側のアカウントを自動で作成したり停止したりする仕組みです。入社や退職のたびに各サービスへ個別に登録する作業を減らせる可能性があります。
確認したいのは、自動化に対応しているサービスの一覧、連携できる項目の範囲、人事システムの情報を取り込めるかという点です。すべての連携先で自動化できるとは限らないため、対象外のサービスは手作業が残ります。どの範囲まで自動化できるかを一覧で示してもらい、残る作業を把握したうえで判断してください。
アクセスログを管理する機能
ログには、誰がいつどのサービスへログインしたか、失敗した記録も含めて残ります。問題が起きた際の確認や、監査への対応で使われます。
確認したいのは、記録される項目の細かさ、保存できる期間、絞り込みの条件を指定できるか、外部へ出力できる形式は何かという点です。ログを集約する基盤へ転送できる仕組みがあれば、他のシステムの記録とあわせた確認も検討できます。長期の保存が必要な場合は、保存方法と追加費用の有無をあわせて確認しておきましょう。
シングルサインオンの機能を比較する進め方
機能の一覧を並べるだけでは判断が難しいため、自社の条件に照らして優先順位を決めてから比較します。
機能ごとの確認項目を整理する
下表は、代表的な機能について比較時に確認したい項目をまとめたものです。対応の有無だけでなく、設定できる範囲まで確認すると導入後の差が見えてきます。
| 機能 | 確認したい項目 |
|---|---|
| 連携方式 | 対応する方式、連携実績のあるサービス一覧、設定支援の有無 |
| 一括ログイン | 一覧表示の出し分け、対応する端末、画面の操作手順 |
| 多要素認証 | 対応する要素、標準搭載か追加契約か、登録の手順 |
| 条件別の認証 | 指定できる条件、条件の組み合わせ、ルール一覧の出力 |
| アカウントの自動連携 | 対応サービスの一覧、連携項目、人事システムからの取り込み |
| アクセスログ | 記録項目、保存期間、絞り込み条件、外部への出力形式 |
必要な機能の優先順位を決める
すべての機能を備えた製品を選べば安心とは限らず、使わない機能に費用をかける状態にもつながります。まず、社内で使用しているサービスの一覧と、解決したい課題を書き出し、そこから必要な機能を導く進め方が有効です。
例えば、入退社の件数が多い企業ではアカウントの自動連携が優先され、監査への対応が求められる企業ではログと権限の記録が中心になります。社外勤務が多い環境では、条件に応じた認証の設定が検討対象です。優先順位を整理したうえで、複数社から同じ条件で提案を受けると比較の精度が上がります。
機能の範囲から選ぶシングルサインオン
対応する連携方式やアカウントの自動連携、記録の残し方は製品によって差があります。機能を確かめたい製品を紹介します。
Okta Workforce Identity
- フィッシングに強い認証フローでログインをより簡単・安全にする
- ADやLDAP等と統合。全てのIDを単一コントロールプレーンから管理
- ユーザーのアクセスを1か所で管理しアクティビティを適切に把握
Okta Japan株式会社が提供する「Okta Workforce Identity」は、従業員が業務で使うサービスへのアクセスを管理するサービスです。シングルサインオンと多要素認証に対応し、利用者ごとのアクセス権限を管理画面から扱えます。多くのクラウドサービスとの接続を想定した作りのため、自社の利用サービスを伝えて対応状況を確認しましょう。
Secioss Access Manager Enterprise（SAME）
- シングルサインオンであらゆるサービスに連携
- FIDO認証や証明書認証などの多要素認証で認証を強化
- 柔軟なルール設定が可能なアクセス制御機能を搭載
株式会社セシオスが提供する「Secioss Access Manager Enterprise（SAME）」は、社内外のシステムへの認証をまとめて扱うシングルサインオンの製品です。標準的な連携方式に対応し、社内で稼働しているシステムを含めた構成を検討できます。対応する方式と設定の進め方を事前に確認しておきましょう。
OpenCanvas IDaaS
- コンサルティングを含む導入支援
- ID統合・ID連携に向けた多様なご要望に柔軟に対応
- NTTグループの資産を活かした価格競争力ある料金体系
株式会社NTTデータが提供する「OpenCanvas IDaaS」は、利用者の認証とアカウント管理をクラウドで提供するサービスです。シングルサインオンを含む認証の仕組みを一つの基盤で扱えます。求める機能の一覧を提示して、対応の可否と必要な設定を確認するとよいでしょう。
Azure Active Directory （日本マイクロソフト株式会社）
- ISO・CSAなど多くの機関から認定される信頼のサービス！
- 3,500人以上のセキュリティ・エキスパートによるバックアップ！
- 世界的な大企業にも導入される高度なセキュリティを実現！
シングルサインオンに関するFAQ
シングルサインオンの機能について、よく寄せられる質問と回答をまとめました。
- Q1： SAMLとOIDCはどちらに対応していればよいですか？
- 連携先のサービスが採用している方式によって変わります。両方に対応していると選択の幅が広がるため、自社の利用サービスがどちらを採用しているかを確認してみてください。
- Q2： 社内の業務システムとも連携できますか？
- 標準的な方式に対応していれば連携できる場合があります。対応していない場合も、IDとパスワードを代わりに入力する方式で対応できることがあるため、システムの仕様を伝えて確認しましょう。
- Q3： 多要素認証は全員に適用する必要がありますか？
- 製品によっては、所属や接続元などの条件に応じて適用の範囲を分けられます。運用の負担と安全性のバランスを踏まえ、設定できる条件を確認したうえで方針を決めてください。
- Q4： アカウントの自動作成はすべてのサービスで使えますか？
- 対応しているサービスは限られる場合があります。自動化できる範囲を一覧で示してもらい、手作業が残る部分を把握したうえで判断することをおすすめします。
まとめ
シングルサインオンの機能は、連携の方式、ログインの手順、認証を強める仕組み、アカウント管理とログという4つの役割に分けると比較しやすくなります。対応の有無だけでなく、自社が使っているサービスに適用できるか、設定できる条件はどこまでかを確認することが大切です。利用サービスの一覧を整理したうえで、複数の製品資料を取り寄せて比較検討を進めてください。
