IdPとは

詳細な図解

IdPを読むときの前提

IdP（Identity Provider）は、ユーザー認証を担当し、SaaSやアプリへ本人確認結果を渡す基盤です。SSO、MFA、条件付きアクセス、属性連携、アカウント停止で中心になります。

実務では、ユーザー台帳、グループ、MFA、条件付きアクセス、SAML/OIDC設定、証明書、JWKS、claim/属性、監査ログ、ブレークグラスを確認します。

証跡には、対象アプリ、連携方式、client ID、Entity ID、証明書期限、属性マッピング、MFA条件、管理者、変更履歴、障害時の影響範囲を残します。

認証基盤として単一障害点になりやすい

IdPは多くのSaaSログインを集約するため、便利な一方で停止時の影響が大きくなります。IdP障害、DNS、証明書期限、条件付きアクセス誤設定で広範囲にログインできなくなることがあります。

重要サービスでは、ブレークグラス、管理者の代替ログイン、障害時連絡先、監査済みの復旧手順を用意します。

• 依存サービス一覧を確認する。
• ブレークグラスを管理する。
• 証明書と鍵期限を監視する。

属性とグループを正しく渡す

IdPは、利用者ID、メール、氏名、グループ、role、tenantなどをSaaSやアプリへ渡します。属性マッピングがずれると、ログイン成功後に権限が不足したり過剰になったりします。

人事情報、ディレクトリ、IdPグループ、SaaS側ロールのどれを正とするかを決めます。同期遅延やキャッシュも確認します。

• 属性マッピングを記録する。
• 正となる台帳を決める。
• 同期遅延を確認する。

MFAと条件付きアクセスを設計する

IdPでは、管理者、外部アクセス、危険なサインイン、未管理端末、海外IPなどに条件付きアクセスを適用できます。便利ですが、広すぎる拒否条件は業務停止につながります。

段階適用、除外条件、テストユーザー、復旧アカウント、ログ監視をセットで設計します。例外を残す場合も期限と承認を記録します。

• 高権限者へ強いMFAを適用する。
• 除外条件を棚卸しする。
• 段階適用と戻し手順を用意する。

変更証跡と引き継ぎ

IdPの変更は、多数のSaaS、API、VPN、管理画面へ影響します。client設定、証明書、redirect URI、claim、条件付きアクセスは変更前後を必ず保存します。

引き継ぎでは、IdP管理者、各アプリ所有者、セキュリティ担当、関連語としてSSO、SAML、OIDC、認証を残すと確認しやすくなります。

• 変更影響サービスを一覧化する。
• 監査ログの保存期間を確認する。
• 復旧手順と連絡先を残す。

関連語

同じ主要カテゴリの用語

セキュリティ・認証の学習順

同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。

InfraEngKit内の関連機能