01/ 03セキュリティ
シングルサインオン（SSO）
ログインは元締め（IdP）へ 1 回だけ
- IdPパスワードを入れる相手はここだけ
- 保証書2 つ目以降は再入力なしで入れる
- 退職時IdP を止めるだけで全部締め出せる
なぜ1回のログインで全部に入れるのか
仕事で使うクラウドサービスは増える一方です。サービスごとに ID とパスワードを作ると、使い回しや退職者アカウントの消し忘れなど危ない隙が生まれます。SSO は、そのログインを身元の元締め（IdP）に 1 か所へ集める仕組みです。
シングルサインオン（SAML 連携）の流れ
各ステップ・参加者・分岐をクリックすると、その仕組みの説明がここに表示されます。
この図をテキストで読む
シーケンス図「シングルサインオン（SAML 連携）の流れ」。参加者3人、ステップ12個。 【参加者】（左から右） - あなた: ブラウザ - サービス: AWS など / SP - Google Workspace: 身元の元締め / IdP 【流れ】（上から下へ） ── ① 事前準備（管理者が信頼関係を結ぶ・1回だけ） ── 1. Google Workspace → サービス: 署名用証明書つきメタデータを交換 ── ② はじめてのログイン（サービス起点の SAML） ── 2. あなた → サービス: サービス（AWS 等）にアクセス 3. サービス → あなた: Google でログインしてと誘導（認証要求）（応答） 4. あなた → Google Workspace: Google アカウントでログイン（＋MFA） 5. Google Workspace → あなた: 本人確認OK → 署名付きアサーションを発行して返す（応答） 6. あなた → サービス: アサーションをサービスへ提示 7. サービス（自身で処理）: 署名を検証し、属性から権限を決定 8. サービス → あなた: アクセス許可（一時的な権限を付与）（応答） ── ③ 2つ目のサービスへ（ここが SSO の効きどころ） ── 9. あなた → サービス: 別のサービスにアクセス 10. あなた → Google Workspace: Google は既にログイン済み（パスワード不要） 11. Google Workspace → あなた: すぐ新しいアサーションを発行して返す（応答） 12. あなた → サービス: 保証書を提示 → 検証して入室OK
退職者は『1か所』止めるだけ
退職時は Google アカウントを無効化するだけで、連携した全サービスから即座に締め出せます。半面、元締め（IdP）が破られると連携先すべてが危険にさらされるため、IdP 自身は MFA 必須など特に厳重に守ります。
押さえておきたい用語
- シングルサインオン（SSO）
- IdP（アイデンティティプロバイダ）
- SP（サービスプロバイダ） この用語の解説を読む
- SAML
- アサーション（保証書）
- フェデレーション / メタデータ