“パスワード認証の悪夢”から解放する「フェデレーション」の底力（1/2 ページ）

ID／パスワード認証にまつわるさまざまな課題を一気に解決する可能性を秘める「フェデレーション」とは何か。その仕組みとメリットを整理する。

公開 2016年06月07日 09時00分

更新 2018年05月21日 20時49分

著者

渥美淳一

[ネットワンシステムズ]

印刷する連載新着通知を受け取る

　連載第1回「“パスワードがない世界”が目前でも『パスワード使い回し』が大問題になる理由」では、ID／パスワード認証（以下、パスワード認証）が抱える問題を整理した。エンドユーザー側の問題として単一パスワードの使い回し、オンラインサービス側の問題としてパスワード保管時の不備を指摘。さらにパスワード認証を含め既存の認証技術が抱える利便性の問題を挙げた。

　こうした問題を解決する手段として第1回で紹介したのが「フェデレーション」（認証連携）だ。今回は、このフェデレーションを詳細に理解するために、プロトコルやトークンといったフェデレーションの実現技術、フェデレーションの導入方法を説明する。

併せて読みたいお勧め記事

“パスワード限界論”で再考する「認証システム」の現実解

“パスワードがない世界”が現実に

フェデレーションを実現するプロトコル「SAML」

　フェデレーションでは、エンドユーザーはパスワードの代わりに「トークン」という許可証をオンラインサービスへ送り、ログインを要求する。このトークンのやりとりによく使われている認証連携プロトコルが「SAML（Security Assertion Markup Language）」だ。

　SAMLはMicrosoftのオンラインオフィススイート「Office 365」やsalesforce.comのオンライン顧客関係管理（CRM）サービス「Salesforce CRM」をはじめ、既に多くのオンラインサービスが採用している。加えて社内システムでも利用可能だ。例えばSAPの統合業務（ERP）パッケージもSAMLを使ったフェデレーションができる。

　他にもフェデレーションを実現するプロトコルとして「OpenID」「WS-Federation」などがあるが、今回は現時点においてデファクトスタンダートといえるほど普及しているSAMLを取り上げる。

「SAML」を利用したフェデレーションの仕組み

　SAMLは以下2種の構成要素からなる。両者はSAMLによるフェデレーションのために、事前に互いの情報を登録しておかなければならない。

オンラインサービスや社内システムなどのサービスを提供するWebサイト「サービスプロバイダー」
サービスプロバイダーの代わりにID／パスワードの保管と認証を担当するWebサイト「IDプロバイダー」

　エンドユーザーがIDプロバイダーへアクセスしてログインすると、IDプロバイダーはSAMLに従って「SAMLトークン」（「SAMLアサーション」とも呼ばれる）というトークンを発行する。SAMLトークンの中身はサービスプロバイダーによって異なるので、IDプロバイダーはサービスの数だけ異なるSAMLトークンを発行する。

　エンドユーザーはIDプロバイダーへ一度ログインすれば、複数のサービスへシングルサインオン（SSO）できる。そのためSAMLはSSOのためのプロトコルともいえる（図1）。