SAMLとは

詳細な図解

SAMLを読むときの前提

SAML（Security Assertion Markup Language）は、認証結果や属性をXML形式でサービスへ渡すSSOの標準仕様です。企業向けSaaS、社内ポータル、IdP連携でよく使われます。

実務では、IdP、SP、Entity ID、ACS URL、SAML Assertion、NameID、属性、署名証明書、時刻ずれ、メタデータ、ログイン開始方式を確認します。

証跡には、IdP/SPメタデータ、Entity ID、ACS URL、証明書期限、NameID形式、属性マッピング、署名検証、エラー時刻、相関ID、変更前後の設定を残します。

IdPとSPのメタデータを突き合わせる

SAML障害では、パスワードではなく、IdPとSPの設定差分が原因になることが多くあります。Entity ID、ACS URL、証明書、署名要否、NameID形式を並べて確認します。

SaaS側のURL変更や証明書更新後に、片側だけ古いメタデータを持つとログインできなくなります。変更日と反映先を記録します。

• Entity IDを完全一致で確認する。
• ACS URLと証明書期限を確認する。
• IdP/SP双方のメタデータを保存する。

Assertionと属性を見る

SAML Assertionには、利用者識別子やメール、氏名、グループなどの属性が含まれます。ログイン成功後に権限が合わない場合、属性名や値の意味がずれている可能性があります。

NameIDは利用者識別の中心です。メール変更やUPN変更がある環境では、どの値を安定IDとして使うかを決めます。

• NameID形式を確認する。
• 属性マッピングを記録する。
• 権限に使う属性を明記する。

時刻ずれと署名証明書を運用に入れる

SAMLはAssertionの有効期間を見ます。IdP、SP、端末、基盤の時刻ずれが大きいと、認証済みでも期限外として拒否されます。

署名証明書の期限切れも代表的な障害原因です。更新時は旧新証明書の併用期間、反映順序、切り戻しを確認します。

• NTPと時刻ずれを確認する。
• 証明書期限を監視する。
• 旧新証明書の切替手順を残す。

変更証跡と引き継ぎ

SAML設定は、URL、証明書、属性、NameIDの小さな差分でログイン可否が変わります。変更前後のメタデータ、テスト利用者、エラー画面、IdPログを保存します。

引き継ぎでは、IdP管理者、SaaS管理者、ヘルプデスク、関連語としてSSO、IdP、証明書、認証を残すと確認しやすくなります。

• メタデータ差分を保存する。
• テストログイン結果を残す。
• 証明書更新日を台帳化する。

関連語

同じ主要カテゴリの用語

セキュリティ・認証の学習順

同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。

InfraEngKit内の関連機能