PingFederateがSSOの対象にすることができるのは、IDフェデレーション技術を利用可能なSaaSである。具体的には、米Microsoftの「Office 365」や米Googleの「Google Apps」、米salesforce.comの「Salesforce CRM」、サイボウズの「cybozu.com」など、世界280種以上のSaaSのSSOを実現できる（図1）。

図1：PingFederateは、SAMLなどのIDフェデレーション技術を利用し、複数のSaaSのSSOを実現する（出典：Ping Identityの製品資料）《クリックで拡大》

　ユーザー企業のディレクトリサーバやWebアクセス管理（WAM）製品などと連携させることで、社内システムもSSOの対象に加えることが可能だ（WAM製品については「【製品動向】『付せんでID管理』を一掃するシングルサインオン（SSO）」を参照）。連携の設定は、専用のWebベースの管理コンソールから作成／変更できる（画面1）。

画面1：PingFederateの管理コンソール《クリックで拡大》

　SaaSや社内システムへのログインには、既存のログイン画面やポータル画面を利用できるのに加え、スマートフォンやタブレット向けの画面を備えた「CloudDesktop」という専用ツールも用意する（画面2）。CloudDesktopは、同社がSaaS形式で提供するIDフェデレーションツール「PingOne」の1機能だ。CloudDesktopを含むPingOneは、PingFederateと同一ライセンスで利用できる。

画面2：CloudDesktopは、クライアントPCやスマートフォン、タブレットの画面サイズに合わせて画面のレイアウトを変更する（出典：Ping Identityの製品資料）

多様なIDフェデレーション技術が利用可能

　PingFederateは上述の通り、WAM製品をはじめとする一般的なSSO製品とは異なり、IDフェデレーション技術のみでSSOを実現する。そのため、SSOの対象にできるのは、IDフェデレーション技術を利用可能なWebアプリケーションに限られる。PingFederateで利用できる主要なIDフェデレーション技術は以下の通りだ。

• Security Assertion Markup Language（SAML） 1.0／1.1／2.0
• OpenID
• OpenID Connect
• OAuth
• WS-Federation
• WS-Trust
• System for Cross-domain Identity Management（SCIM）

　WS-Trustを利用可能にすることで、Webブラウザだけでなく、「Microsoft Outlook」などのクライアントソフトウェア経由でOffice 365を利用する場合にもIDフェデレーションをできるようにした。多くのSSO製品で利用可能なWS-Federationの場合、WebブラウザからOffice 365を利用する場合しかIDフェデレーションができない。「多様な利用シーンで問題なくSSOできるようにするには、WS-Federationだけではなく、WS-Trustも利用できることが重要だ」と、Ping Identityの日本及びアジア太平洋地域担当ディレクターである近藤 学氏は語る。

　SAMLは、過去のバージョンである1.0、1.1も利用できる。「ベンダーによっては、SAML 2.0を利用可能にした途端、SAML 1.0など過去のバージョンをサポートしなくなることがある」と近藤氏は語る。だがSAMLはバージョンによって仕様が大きく変わることがあり、特定のSAMLのバージョンしか利用できないシステムもあることから、「過去のバージョンを含めてサポートを継続する」（近藤氏）という。

　多くの標準的なIDフェデレーション技術を利用可能にするPing Identityの姿勢は、「当社もSAMLやOpenID Connectといった標準技術策定に深く関わっていることと無縁ではない」（近藤氏）という。独自技術を利用せず、標準的なIDフェデレーション技術のみを利用するので、「ベンダーロックインを回避できるのもユーザー企業にとってメリット」（同氏）だという。

製品の特徴：「Webアプリを1日で認証連携可能にする」SDKを提供

　PingFederateを使ったSSOの対象は、SAMLなどのIDフェデレーション技術が利用できるシステムに限られる。そこでPingFederateは、IDフェデレーションができるようにシステムを改修するSDKである「インテグレーションキット」を用意する。

　Webアプリケーションのソースコードに数行の専用コードを埋め込んだり、「Apache HTTP Server」などのWebアプリケーションサーバに専用モジュールを導入したりといった作業で、IDフェデレーションを可能にできる。「Webアプリケーションの改修にかかる時間は、半日から1日程度で済む」と、アカウントエグゼクティブ日本担当の三木庸彰氏は説明する。

事例：横河電機やマクニカなど世界1000社が利用

　米国の売上高上位100社のうち45社が導入するなど、大手企業を中心に世界1000社以上がPingFederateを利用している。国内では横河電機やマクニカといった大手製造業などが導入済みだ。国内における販売パートナーは、マクニカネットワークスとIIJグローバルソリューションズ。

　世界33カ国で事業展開する横河電機は、海外拠点ごとにActive Directoryを運用してアカウント情報を管理している。同社はPingFederateを導入して各拠点のActive Directoryの認証連携を実現。海外ユーザーは、自国拠点のActive Directoryへログインするだけで、日本国内で運用するWebアプリケーションを利用できるようになった（参考：巨大グローバル企業・横河電機が最小限の時間と労力で統合認証基盤を構築できた理由）。

　マクニカは、Office 365の導入を機に、社内システムとOffice 365のSSOを実現するためにPingFederateを導入。Active DirectoryとOffice 365の間でIDフェデレーションをしている。合わせてOffice 365への直接ログインを禁止し、認証をPingFederateに一元化することで、なりすましのリスクを抑えた。

今後の方向性：「SCIM」用SDKを提供

　「1年に2、3回程度バージョンアップする」（三木氏）というPingFederate。2013年9～10月に実施予定のバージョンアップでは、WebアプリケーションでSCIMを利用できるようにするためのSDKを追加するという。GoogleやSalesforce.comなどのSaaSベンダーが仕様策定に携わっているSCIMは、アカウント情報の作成や変更、削除、同期といったユーザープロビジョニングを標準化する技術である。あるSaaSのアカウント情報を変更した際、他のSaaSのアカウント情報を自動的に変更する、といったことができる。

製品価格：ユーザー数制限なし、大規模ユーザー企業に最適

　PingFederateの価格は個別見積もりだが、参考価格は、保守サポート込みの年額利用料金で、1コネクション（IDフェデレーション接続設定の数）当たり300万円程度から。ユーザー単位での課金ではないため、数千人以上などの大規模組織で利用し、かつコネクション数も少ない場合にコストメリットが出やすい。こうした企業の場合、ライセンス価格だけで1000万円以上することが多いWAM製品と比べて割安でSSOシステムを構築できる。