アイデンティティプロバイダーとは?

どういうものか

どのアプリケーションも、誰が使っているのかを知る必要があります。アイデンティティプロバイダーがなければ、アプリケーションごとにユーザー名とパスワードの一覧を持つことになります。アイデンティティプロバイダーがあれば、アプリケーションは本人をアイデンティティプロバイダーに送ってサインインさせ、アイデンティティプロバイダーが、本人が誰であるかを示す署名付きメッセージを返します。アプリケーションがパスワードを目にすることはありません。

この仕組みはシングルサインオン(SSO)と呼ばれます。1 回サインインすれば、他のアプリケーションも再度確認することなく入れます。メッセージは、主に OpenID Connect、OAuth 2.0、SAML といったオープンな標準でやり取りされるため、異なるメーカーの製品どうしでも連携できます。

企業にとって重要な理由

• 停止するアカウントは 1 つだけ:誰かが退職したとき、1 つのアカウントを無効にすれば、それを信頼するすべてのアプリケーションが閉じられます。
• 多要素サインインを 1 か所で:2 つ目のステップはアイデンティティプロバイダーで強制されるため、自力では対応できないアプリケーションを含め、接続されたすべてのアプリケーションに適用されます。
• パスワードが減る:スタッフが覚えるのは 1 つだけなので、長くて固有のパスワードが現実的になります。
• サインインのログが 1 つに:誰が、どこから、何にサインインしたかが、1 か所に記録されます。
• 重要な存在になる:アイデンティティプロバイダーが止まると、誰も何にもサインインできません。バックアップ、監視、そして管理者が戻るための、テスト済みの方法が必要です。

主なアイデンティティプロバイダー

• Microsoft Entra ID:Microsoft 365 の背後にあるアイデンティティプロバイダーで、ほとんどのオフィスがすでに持っています。位置づけはMicrosoft ガイドで説明しています。
• Google Workspace:Google Workspace を使う会社では、Google アカウントが同じ役割を果たします。
• Authentik:オープンソースでセルフホスト型。ログイン機能を持たないアプリケーションの前にログインを置く仕組みが組み込まれています。Authentik ガイドをご覧ください。
• Keycloak:オープンソースでセルフホスト型。カスタムアプリケーションに標準準拠のログインを加えるために広く使われています。Keycloak ガイドをご覧ください。
• Okta などのサービス:サブスクリプションで運用してもらう、商用のアイデンティティプロバイダー。

これらは連鎖させることもできます。セルフホスト型のアイデンティティプロバイダーが、実際のサインインを Microsoft Entra ID に任せれば、スタッフは引き続き Microsoft 365 アカウントを使いながら、社内ツールではシングルサインオンが使えます。

よく耳にする用語

• SSO:シングルサインオン。1 つのログインで多くのアプリケーションを利用できます。
• MFA:多要素認証。アプリの通知やセキュリティキーなど、2 つ目の証明です。
• OIDC と SAML:多くのアプリケーションがアイデンティティプロバイダーとやり取りするために使う 2 つの標準。
• 条件付きアクセス:デバイス、場所、リスクに基づいて、サインインを許可またはブロックするルール。

KawaConnect におけるアイデンティティプロバイダーの扱い方

アイデンティティに関する業務の大半は Microsoft 365 にあります。Entra ID アカウント、MFA、条件付きアクセスを設定し、1 つのアカウントで、その人のメール、ファイル、ノート PC を制御できるようにします。詳しくは Microsoft 365 とエンドポイントセキュリティのページで説明しています。企業がセルフホスト型やカスタムのアプリケーションも運用している場合は、それらを同じサインインに接続し、別々のパスワードを持たないようにします。

詳しく見る

• Wikipedia のアイデンティティプロバイダーアイデンティティプロバイダーの役割と種類についての中立的な概要。
• Wikipedia のシングルサインオンシングルサインオンの仕組みと、その利点とリスク。
• OpenID Connect の仕組み新しいアプリケーションの多くが使う標準についての、OpenID Foundation による簡潔な説明。
• Microsoft Entra ID とは?Microsoft 365 の背後にあるアイデンティティプロバイダーについての、Microsoft による紹介。