シングルサインオン（SSO）とは

シングルサインオン（SSO）とは、システムへのサインインを一度行うことで、他に認証が必要な複数のアプリケーションやサービスを利用可能となる仕組みのことを指します。
 
シングルサインオンを構成することにより、下記のようなメリットが得られます。

• システム利用者の利便性の向上：
  複数のアプリケーションを利用する場合に、ログインの手順が1度のみで完了します。また各アプリケーションのパスワードをそれぞれに管理する必要がなくなります。
  
  
• 管理者の運用負荷の軽減：
  パスワード忘れによる利用者からの問い合わせ対応など、ユーザー対応の負担が軽減されます。
  
  
• システム全体の安全性の担保：
  対象システムすべてにおいてセキュリティレベルが統一されるため、例えばパスワードの要件（複雑性や変更期間など）が脆弱な古いシステムが残ったままになっている、といった状況を解消することが可能です。

シングルサインオン方式の種類

Webアプリケーションのシングルサインオンを実現するための方式には様々なものがあります。代表的なものをいくつかご紹介します。

フェデレーション方式
それぞれのWebアプリケーションが、信頼関係を結んだ外部の認証サーバーを利用して認証を行います。（例：SAML、OIDC、OAuth）

代理認証方式
ユーザーは初めに代理認証サーバーにログインを行います。代理認証サーバーがユーザーに代わってそれぞれのWebアプリケーションへ自動的にログイン処理を行います。

リバースプロキシ方式
リバースプロキシとなるサーバーを経由して各Webアプリケーションへアクセスする構成です。リバースプロキシサーバでのログインが必要になります。

エージェント方式
それぞれのWebアプリケーションにエージェントが組み込まれ、ユーザーのアクセス時に認証が完了しているかどうかを認証サーバーへ問い合わせます。

シングルサインオンを構成する要素

シングルサインオン環境を実現するにあたっては、ID・パスワードによる認証の他に、セキュリティレベルを高めるために複数の要素から成る認証方式を取り入れることが一般的です。以下に示す3種類の要素から2種類以上を組み合わせて認証を行う「多要素認証」が推奨されます。

知識情報
本人のみが知っている情報を利用します。

• ユーザーID/パスワード：
  ユーザーIDと、固定のパスワード文字列の組み合わせです。
• PIN：
  暗証番号のような4～8桁前後の数字や英字です。主に所持情報と併せて提示することで、本人確認の強度を高めるのに用いられます。

所持情報
本人のみが所有している端末やデバイスを利用します。

• ハードウェアトークン：
  パスワードを表示する機能などを持った小型の専用デバイスを認証に利用します。
• ソフトウェアトークン：
  利用者のクライアントPCやスマートフォンなどで動作するアプリケーションを利用して認証を行います。
• ワンタイムパスワード：
  一定時間ごと、または発行を行うごとに変更されるパスワードを使った認証です。一度認証に利用したパスワードは再利用できないことが特徴であり、第三者にパスワードを盗まれても不正アクセスの被害を防ぐことができます。
• モバイルプッシュ：
  ログインを行う際、利用者のスマートフォンにプッシュ通知機能による応答操作が要求されます。
• クライアント証明書：
  端末のクライアント証明書を元にアクセス可否の判定を行います。
• SMS認証：
  利用者からの認証リクエストに応じて、スマートフォンのSMSを通してワンタイムパスワードを送付する方法です。
• FIDOトークン：
  FIDO（Fast Identity Online）準拠のデバイスを認証に利用します。

生体情報
本人の生体情報を利用します。

• 生体認証：
  指紋や静脈などの情報による本人認証を行います。盗聴や盗難の被害を受けることがないことが利点となります。利用するためには、生体情報を読み取るための装置が必要となりますが、近年はスマートフォンやノートPCに付属している指紋認証や顔認証などの機能をそのまま利用できるシステムも登場しています。

おわりに

近年は様々なシステムのクラウド化が進んでおり、オフィスワークの場において、いくつものクラウドサービスを利用することが一般的となっています。パスワード管理や、セキュリティ強度の統一といった観点からも、シングルサインオン環境を実現することの価値は非常に高まっていると言えるでしょう。
 
RSAセキュリティ社のID Plus製品では、オンプレミス/クラウドを問わず様々なWebアプリケーションと連携し、Webアプリケーションの認証強化、シングルサインオン、ポリシーによるアクセス制御などの機能を提供することが可能です。また、Webアプリケーション以外にもWindows、macOS、Linuxなどのクライアント端末/サーバー機器へのログインや、VPN機器などサードパーティ製品の認証強化の用途でもご利用いただけます。
 
シングルサインオン環境や認証強化にご興味がございましたら、下記のページのフォームよりご連絡いただければと思います。無償トライアルのご相談もお受けしております。
https://techmatrix-nws.jp/public/application/add/1455