SSOとは

詳細な図解

SSOを読むときの前提

SSO（Single Sign-On）は、一度の認証で複数サービスへログインできる仕組みです。SaaS連携、社内ポータル、クラウド管理、ゼロトラスト構成で使われます。

実務では、IdP、SP、SAML、OIDC、MFA、条件付きアクセス、属性連携、グループ同期、ローカルログイン、ログアウト挙動、障害時の迂回を確認します。

証跡には、対象SaaS、連携方式、Entity ID、ACS URL、redirect URI、証明書期限、claim/属性、MFA条件、例外アカウント、停止手順を残します。

IdPを中心にログインを集約する

SSOでは、利用者はSaaSごとに別々のパスワードを持つ代わりに、IdPで本人確認を受けます。これによりMFAや条件付きアクセスを一箇所で適用しやすくなります。

ただし、IdP障害時や設定ミス時は複数サービスに影響します。依存範囲、復旧手順、例外ログインを事前に整理します。

• IdP依存の影響範囲を確認する。
• MFA適用範囲を確認する。
• 障害時の迂回手順を残す。

ローカルログインと退職者停止を見る

SSO化しても、SaaS側のローカルログインや既存管理者アカウントが残ることがあります。これがあると、IdPで停止してもログインできる抜け道になります。

退職、異動、委託終了時には、IdP停止、SCIM同期、SaaS側セッション、API token、ローカルアカウントを合わせて確認します。

• ローカルログイン可否を確認する。
• SCIM同期と停止反映を確認する。
• 既存セッションとtokenを失効する。

属性連携とログアウトを決める

SSOでは、メール、氏名、グループ、roleなどの属性をSaaSへ渡します。属性名や値の意味がずれると、ログインはできても権限が合わないことがあります。

ログアウトはIdP、SaaS、ブラウザセッションで範囲が変わります。単一サービスから出るのか、SSO全体から出るのかを明記します。

• 属性マッピングを保存する。
• 権限に使う属性を確認する。
• ログアウト範囲を利用者へ説明する。

変更証跡と引き継ぎ

SSO設定は、証明書期限、URL、属性、MFA条件、例外アカウントのどれかが変わるだけでログイン障害になります。変更前後のメタデータを保存します。

引き継ぎでは、IdP管理者、SaaS管理者、ヘルプデスク、関連語としてIdP、SAML、OIDC、MFAを残すと確認しやすくなります。

• メタデータと証明書期限を記録する。
• テストユーザーでログインを確認する。
• 障害時の連絡先を残す。

関連語

同じ主要カテゴリの用語

セキュリティ・認証の学習順

同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。

InfraEngKit内の関連機能