シングルサインオン（SSO）

なぜ別のサービスへ再入力なしで入れるのか

仕事で使うクラウドサービスは増える一方です。サービスごとに ID とパスワードを作ると、使い回しや退職者アカウントの消し忘れなど危ない隙が生まれます。SSO は、そのログインを身元の元締め（IdP）に 1 か所へ集める仕組みです。

退職者のアカウントを止めるには

退職日にIdPのアカウントを停止しました。それでも、前日から開いていたサービスの画面が使える場合があります。IdPが管理する新しいログインと、連携先が発行したセッションは、同時に止まるとは限らないためです。

退職の手順では、IdPの停止に加えて、連携先の権限・既存セッション・発行済み資格情報を確認します。各サービスの手順で必要な失効を行い、いつ利用できなくなるかまで確かめます。SSOによる管理の集約は、この確認を不要にするものではありません。

IdPのアカウントが乗っ取られると、複数の連携先へ被害が広がるおそれがあります。会社のアカウント基盤ではMFAを必須化し、管理者の権限や復旧手順も重点的に守ります。

使わない認証経路を閉じるには

デバイスコード認証は会議用端末などで使いますが、不要なら制限を検討できます。ここからはMicrosoftのアカウント管理サービス、Entra IDの例です。利用者とアプリをログで調べ、ログインを制御する「条件付きアクセス」で許可範囲を決めます。

1. 1

   必要な利用と復旧経路を調べる

   会議用端末など業務上必要な用途を確かめ、例外と緊急アクセス用アカウントを含む除外・復旧手段を準備します。

2. 2

   報告モードで影響を見る

   報告モード（Report-only）で、制限した場合に影響するログインを確認します。この段階ではまだブロックされません。

3. 3

   有効にして、利用状況を点検する

   確認後に制限を適用し、失敗ログや業務への影響を点検します。利用実態を調べず一律に遮断しません。

押さえておきたい用語

シングルサインオン（SSO）

IdPでのログインを複数のサービスで利用する仕組み。有効なセッションとポリシーの範囲で再入力を省ける。

IdP（アイデンティティプロバイダ）

身元を一元管理し、本人確認して保証書を発行する元締め。Google Workspace や Okta が代表例。

SP（サービスプロバイダ）

利用したい側のサービス（AWS・Slack など）。IdPの保証書を検証し、自分のサービスの権限を判断する。

この用語の解説を読む

SAML

IdPとSPが認証結果や属性等をやり取りする規格。この図はブラウザを経由するWeb SSOの例。

アサーション（保証書）

IdPが発行する認証結果や属性等のデータ。この例では署名と宛先・期限・要求との対応等を検証して使う。

フェデレーション / メタデータ

IdP と SP が証明書入りの設定を事前に交換し、互いを信頼相手として登録すること。SSO の前提。