シングルサインオン(SSO)とは?

どういうものか

シングルサインオンでは、アプリケーションが独自のパスワードを保持しなくなります。ログインの処理は、会社のアカウントを管理するシステムであるIDプロバイダーに任せます。業務アプリケーションの「Microsoftでサインイン」がシングルサインオンです。アプリケーションは、あなたが誰であるかをMicrosoftが示すことを信頼しています。

サインインのとき何が起きるか

1. ヘルプデスクや会計システムなどのアプリケーションを開きます。
2. アプリケーションは、ブラウザを会社のIDプロバイダーに誘導します。
3. まだサインインしていない場合は、パスワードを入力し、アプリでの確認などの二つ目の手順を完了します。
4. IDプロバイダーは、あなたが誰であるかを示す署名付きのメッセージを添えて、あなたを元のアプリケーションに戻します。
5. アプリケーションがあなたを通します。次に開くアプリケーションでは、すでにサインイン済みのため、手順3が省かれます。

企業にとって重要な理由

• 退職者の処理が一度で済みます:一つのアカウントを無効にすれば、それに接続されたすべてのアプリケーションが閉じられます。
• 二つ目の認証要素がすべてをカバーします:多要素サインインは、ログインの時点で一度だけ強制され、接続されたすべてのアプリケーションに適用されます。
• リセット依頼が減ります:覚えるパスワードが一つになるため、ロックアウトが減り、パスワードをメモに書く人も減ります。
• 新しい社員がすぐ使い始められます:一つのアカウントで、役割に必要なすべてにアクセスできます。

注意すべき点

• 一つのアカウントですべてが開きます:そのアカウントには多要素サインインが必要です。それなしのシングルサインオンは、リスクを一か所に集中させます。
• すべてのアプリケーションが対応するわけではありません:シングルサインオンを上位の高額プランにしか含めないベンダーもあり、古いソフトウェアには全く対応できないものもあります。そうしたものの前にログインページを置ける場合もあります。
• サインインできることと、アカウントがあることは別です:アプリケーションは、その人が存在すること、何をしてよいかも把握する必要があります。初回ログインでアカウントを作成するものもあれば、事前の設定が必要なものもあります。
• 入口を確保しておく:IDプロバイダーに届かなくなった日のために、管理者にはテスト済みの緊急用アカウントが必要です。

始め方

ほとんどのオフィスは、すでに必要なものを持っています。Microsoft 365やGoogle Workspaceのアカウントで、多くの業務アプリケーションに社員をサインインさせられます。人々がログインしているアプリケーションを一覧にし、そのサインインに対応するものを確認して、まずそれらを接続します。セルフホストや独自開発のアプリケーションは、AuthentikやKeycloakのようなセルフホストのIDプロバイダーで接続できます。

KawaConnectとシングルサインオンの関わり

当社は、お客様向けにMicrosoft 365のサインインを、MFAと条件付きアクセスとともに設定し運用しています。詳しくはMicrosoft 365のページをご覧ください。他のアプリケーションがある場合は、同じサインインを使えるものを確認して接続し、人のアクセスの開始から終了までを一つのアカウントで管理できるようにします。

詳しく見る

• Wikipediaのシングルサインオンメリットと批判の両方を含む、中立的な概要です。
• What is single sign-on in Microsoft Entra ID?アプリケーションがMicrosoft 365のサインインに接続する仕組みについてのMicrosoftの説明です。
• How OpenID Connect works多くの「〜でサインイン」ボタンの背後にある標準の短い解説です。