「シングルサインオン」徹底比較　選び方、お薦め製品は？

シングルサインオンに関する比較の記事を紹介します。製品／サービス選定の参考にご覧ください。

シングルサインオン（SSO）とは

　シングルサインオン（SSO）は、ユーザー認証のための手法だ。ユーザーがユーザー名とパスワードなどを組み合わせた、1組のログイン認証情報を使用して、複数のアプリケーションにアクセスできるようにする。SSOは、複数のサービスへのログインやアカウント管理を容易にするために、組織や個人が利用できる。（続きはページの末尾にあります）

記事一覧

• 

  シングルサインオン製品の選定に役立つ3つのホワイトペーパー

  2011年03月09日 11時00分

SSOの仕組みとメリット、デメリット

　SSOは「IDフェデレーション」によって実現できる。IDフェデレーションとは、独自のID管理システムを持つ複数のセキュリティドメイン間で、それぞれのユーザーIDを連携させる仕組みだ。Meta Platformsの「Facebook」やGoogleの「Google Workspace」といったWebサービスのアカウントを使い、他のWebサービスがエンドユーザーのパスワードを公開することなくそのアカウント情報を使用できるようになる。

　この仕組みには「OAuth」（Open Authorization）という認可のフレームワークが使われる。OAuthは、Webサービスに対して特定のアカウント情報を共有できるようにするアクセストークンを提供することで、エンドユーザーがさまざまなWebサービスにログインできるようにする。ユーザーがサービスプロバイダーのIDを使って他のアプリケーションにアクセスしようとすると、サービスプロバイダーはそのアプリケーションに認証要求を送信する。次にサービスプロバイダーが認証を検証し、ユーザーをログインさせる。

SSOのセキュリティリスク

　SSOはユーザーにとって便利な仕組みだが、企業のセキュリティにリスクを生じさせる可能性がある。ユーザーのSSO認証情報を攻撃者がコントロールできるようになると、そのユーザーが権限を持つ全てのアプリケーションにアクセスできるようになり、不正アクセスの被害が拡大する可能性がある。

　悪意のあるアクセスを避けるために、SSOはアイデンティティー管理と組み合わせる必要がある。セキュリティを向上させるために、SSOとともに多要素認証（MFA）も使用できる。

ソーシャルSSO

　GoogleやApple、ビジネス特化型ソーシャルネットワーキングサービス（SNS）「LinkedIn」を運営するLinkedIn、「X」（旧Twitter）を運営するX Corp、Meta Platformsなどは、各社が提供するWebサービスの認証情報を使い、ユーザーがサードパーティーのアプリケーションにログインできるようにするソーシャルSSOを提供している。ソーシャルSSOは便利だが、攻撃者に悪用される可能性のある単一障害点を生み出すため、セキュリティリスクをもたらす可能性がある。

　セキュリティ専門家はユーザーに対して、ソーシャルSSOサービスを使用しないことを推奨している。いったん攻撃者がユーザーのSSO認証情報を入手すると、同じ認証情報を使用する他のアプリケーションにログインできてしまうからだ。

エンタープライズSSO

　エンタープライズSSO（eSSO）製品またはサービスは、専用のソフトウェアとサーバで構成され、IDやパスワードなどのユーザー認証情報を管理する。ユーザーの命令に応じてユーザー認証情報をログインしたいアプリケーションに送信することで、ユーザーをログオンさせる。

SSOのメリットとデメリット

　SSOには以下のようなメリットがある。

• ユーザーが覚えて管理する必要があるパスワードとユーザー名を減らせる。
• ログインやアプリケーションの使用方法が合理化され、パスワードを再入力する必要がなくなる。
• フィッシングの可能性が低くなる。
• ITヘルプデスクで、パスワードに関する苦情やトラブルが減少する可能性がある

　SSOには以下のようなデメリットがある。

• 個別のアプリケーションにログインする際のセキュリティ要件を満たせない場合がある。
• SSOサービスや認証情報が使用できなくなった場合、ユーザーはSSOサービスと連携させている全てのシステムから閉め出される
• 権限のないユーザーがアクセスした場合、複数のアプリケーションにアクセスできる可能性がある

主なSSOベンダー

　複数のベンダーがeSSO製品やサービスを提供している。主要な製品やサービスを紹介する。

• Oktaの「Okta」はSSO機能を持つ企業向けのIDaaS（Identity as a Service）だ。OktaはMFAでログインすることも可能で、主に企業で利用されている。
• Rippling People Centerの「Rippling」は、ユーザーが複数のデバイスからクラウドアプリケーションにログインできるようにする。
• Avatierの「Avatier Identity Anywhere」は、Dockerコンテナで実行されるSSOソフトウェアだ。そのため特定のインフラに依存せずに利用できる。