シングルサインオン（SSO）は、ユーザーが一度認証を受けるだけで、各アプリケーションに個別にサインインすることなく、複数の接続されたアプリケーションにアクセスできるようにする認証メカニズムです。信頼できるIDプロバイダ（IdP）が通常ユーザーを認証し、接続されたアプリケーションがその認証に依存できるようにします。
SSOは、繰り返しのログインプロンプトを減らし、組織が統合されたアプリケーション全体で認証ポリシーを一元管理できるようにします。
SSOを使用すると、アプリケーションは中央のIDプロバイダによって実行された認証を信頼できます。一般的なフェデレーションSSOフローでは、アプリケーションはユーザーをIdPにリダイレクトし、IdPはユーザーを認証して、アプリケーションが検証する認証応答を返します。
ユーザーがSSO対応のアプリケーションを開きます。アプリケーションに有効なセッションがない場合、ユーザーはIDプロバイダにリダイレクトされます。
IdPは、認証情報、多要素認証（MFA）、または構成された別の方法を通じてユーザーを認証します。有効なIdPセッションがすでに存在する場合、別のログインは必要ない場合があります。
IdPはサポートされているプロトコルを使用して認証アサーションまたはトークンを提供し、アプリケーションはそれを受け取って検証します。
アプリケーションは、セッションを確立する前に、認証応答と適用可能なアクセス許可を確認します。
認証されると、既存の認証セッションとアクセスポリシーで許可されている場合、ユーザーは再度サインインすることなく他の接続されたアプリケーションにアクセスできます。
SSOは、ユーザーを認証し、接続されたアプリケーションが中央のIDプロバイダを信頼できるようにするいくつかのコンポーネントに依存しています。
ユーザーを認証し、接続されたアプリケーションにID情報を提供します。
ユーザーセッションを確立するために、IdPの認証応答に依存するアプリケーションまたはサービス。OpenID Connectでは、このロールは一般にリライングパーティ（RP）と呼ばれます。
ユーザーIDと属性を保存するか、それらへのアクセスを提供します。組織はMicrosoft Active Directoryなどのディレクトリを使用する場合があります。
アプリケーションがセッションを確立する前に検証する認証情報またはID情報を伝達します。
SSOは、IDシステムとアプリケーションが認証情報を交換および検証できるようにする認証プロトコルを使用します。
IDプロバイダがサービスプロバイダに認証トークンを送信できるようにするXMLベースの標準です。エンタープライズWebアプリケーションによく使用されます。
OAuth 2.0に基づいて構築された認証プロトコルであり、アプリケーションがIDトークンなどのIDプロバイダからの情報を使用してユーザーのIDを検証できるようにします。
パスワードを繰り返し送信することなく、チケットを使用してユーザーとサービスを認証するネットワーク認証プロトコルです。Windowsドメイン環境でよく使用されます。
OAuth 2.0は認可フレームワークであり、スタンドアロンの認証プロトコルではありません。これによりアプリケーションはリソースへの委任されたアクセスを取得できますが、OIDCはOAuth 2.0を拡張してユーザー認証をサポートします。
SSOはユーザーのアプリケーション認証を簡素化すると同時に、組織がサインイン要件を一元管理できるようにします。
ユーザーが維持するアプリケーション固有の認証情報が減り、複数のパスワードを覚える必要性が軽減されます。
従業員は、ワークフローを中断するようなログイン認証情報を繰り返し入力することなく、接続されたアプリケーション間を移動できます。
ITチームは、MFAを含む一貫したサインイン要件を、IDプロバイダを通じて接続されたアプリケーション全体に適用できます。
一元化されたサインイン記録により、IT管理者は統合されたアプリケーション全体での認証アクティビティを監視できます。
アプリケーション固有の認証情報が減ることで、パスワード関連のサポートリクエストを減らすことができます。
SSOは認証を簡素化しますが、アクセスの一元化により、セキュリティおよび運用上の考慮事項も生じます。
IdPに依存するアプリケーションは、IDサービスが利用できない場合に認証の停止を経験する可能性があります。
最新のフェデレーションプロトコルをサポートしていないレガシーアプリケーションでは、代替の統合または個別の認証が必要になる場合があります。
有効な認証セッションまたはトークンを取得した攻撃者は、最初の認証プロセスを繰り返すことなく、接続されたアプリケーションにアクセスできる可能性があります。
不適切な信頼構成、一貫性のないユーザープロビジョニング、またはサポートされていないログアウト動作により、アクセス管理のギャップが生じる可能性があります。
IDプロバイダまたはSSOアカウントの侵害により、影響を受けるID、権限、およびセキュリティ制御によっては、複数の接続されたアプリケーションが危険にさらされる可能性があります。
組織は、MFAの強制、認証セッションの保護、不審なサインインの監視、信頼性の高いIDインフラストラクチャの維持、および適切なアクセス制御の適用により、これらのリスクを軽減できます。
従来の認証では、ユーザーは通常、各アプリケーションに個別にサインインします。SSOを使用すると、接続されたアプリケーションは信頼できるIDプロバイダによって実行された認証に依存できます。
| 側面 | 従来の認証 | シングルサインオン（SSO） |
|---|---|---|
| ログインプロセス | ユーザーは各アプリケーションに個別にサインインします | ユーザーは一度認証するだけで、さまざまなアプリケーションやWebサイトにアクセスできます |
| 認証情報 | アプリケーションでは個別の認証情報が必要になる場合があります | アプリケーションは、共有された認証セッションまたはサポートされている認証情報統合に依存できます |
| 認証管理 | アプリケーションによって個別に管理されます | IdPを通じて一元化されます |
| セキュリティポリシー | アプリケーション間で異なる場合があります | IdPを通じて一元的に適用できます |
| ユーザーエクスペリエンス | 繰り返しのログインプロンプト | サインインの回数が減ります |
シングルサインオンは、アイデンティティおよびアクセス管理（IAM）内の認証機能です。
SSOを使用すると、ユーザーは接続されたアプリケーション全体で認証できますが、IAMは、IDライフサイクル全体を通じたデジタルID、アプリケーション権限、ユーザープロビジョニング、およびアクセスのより広範な管理をカバーします。
SSOは、MFA、ロールベースアクセス制御（RBAC）、IDプロビジョニング、アクセスレビューなどの他のIAM機能と連携して機能します。これらの機能は連携して、組織がリソースにアクセスできるユーザーと条件を管理するのに役立ちます。
SSOは、ユーザーが各アプリケーションに個別にサインインすることなく、複数の接続されたアプリケーションにアクセスする必要がある場合に役立ちます。
従業員は、組織のIDプロバイダを通じて認証を受け、承認された電子メール、CRM、HR、コラボレーションアプリケーションにアクセスします。
学生、教師、および管理スタッフは、中央のIDシステムを使用して、学習プラットフォーム、学生ポータル、および機関のアプリケーションにアクセスします。
企業は、認証された顧客およびパートナーが、個別のアプリケーションログインを維持することなく、接続されたサービス間を移動できるようにします。
SSOソリューションは、組織のアプリケーション、IDインフラストラクチャ、および認証要件をサポートする必要があります。
一般的に使用されるSaaS、オンプレミス、およびレガシーアプリケーションのサポート。
SAML 2.0やOIDCなどの標準との互換性。
追加の認証要素と条件付きサインイン要件のサポート。
既存のIDディレクトリ、ユーザープロビジョニングプロセス、およびアクセス管理システムとの互換性。
認証アクティビティの可視性とユーザーセッションを管理するためのコントロール。
認証サービスを維持し、中断時の回復をサポートできるインフラストラクチャ。
従業員のエンドポイントを管理する組織は、デバイスベースのアクセス条件をサポートするSSOソリューションを検討することもできます。
Scalefusion OneIdPは、統合されたビジネスアプリケーションにシングルサインオンを提供し、組織がユーザー認証を一元化してアクセスポリシーを管理できるようにします。
Scalefusion Unified Endpoint Management（UEM）との統合を通じて、OneIdPはデバイスがScalefusionによって管理されているかどうかを考慮できる条件付きアクセスポリシーをサポートし、サポートされている構成は、統合されたビジネスアプリケーションへのアクセスを評価する際にデバイス関連の条件を使用することもできます。
IDとデバイス管理が一元化されたダッシュボードを通じて接続されているため、IT管理者はアプリケーション認証とエンドポイント管理を接続することにより、SSOポリシーと管理対象デバイスのアクセス条件を一元的に構成できます。
いいえ。SSOを使用すると、ユーザーは1回認証するだけで複数の接続されたアプリケーションにアクセスできます。一方、多要素認証（MFA）では、ユーザーは2つ以上の認証要素を使用して身元を確認する必要があります。
この2つは連携して機能し、初期のSSO認証中、または追加の検証が必要な場合にMFAが適用されます。
SSOを使用すると、ユーザーは1回の認証後に複数の接続されたアプリケーションにアクセスできます。フェデレーションIDを使用すると、個別のシステムまたはセキュリティドメインが、別のIDプロバイダによって実行されたID情報または認証を信頼できるようになります。
フェデレーションは、異なるアプリケーションや組織にわたるSSOをサポートできますが、この2つの概念は互換性がありません。
SSOは、アプリケーション固有のパスワードを減らし、MFAや条件付きアクセスなどの一元化されたポリシーをサポートすることで、認証のセキュリティを向上させることができます。
ただし、そのセキュリティは、IDプロバイダ、アプリケーション構成、セッション保護、およびアクセス制御に依存します。侵害されたSSOアカウントまたはセッションにより、接続された複数のアプリケーションが危険にさらされる可能性があります。
いいえ。SSOは認証を簡素化しますが、接続されているすべてのアプリケーションへのアクセス許可を自動的に付与するわけではありません。
ユーザーは、割り当てられたロール、アプリケーションのアクセス設定、および適用可能な承認ポリシーによって許可されたアプリケーションとリソースにのみアクセスできます。
Empower your organization's security at every endpoint — manage digital identities and control user access to critica...
続きを読むAccess Management streamlines operations by unifying authentication, authorization, and auditing in a single solution...
続きを読むConditional access is a modern security approach that integrates user and device identity into access control decisio...
続きを読むOne platform for endpoint management, endpoint security, and secure user access.
