ID連携（フェデレーション） とは？

違うよ。IdPという認証を行う側が認証結果などを示し、利用先がそれを検証して受け入れる仕組みだ。例えば会社の認証基盤と、利用する業務サービスを連携する。通常、利用先に利用者のパスワードを渡して照合させる方法ではない。

IdPは利用者を認証し、利用先へ認証結果などを示す情報を発行する。利用先は、その発行元を信頼してよいか、情報が自分向けで有効かを検証する。OIDCなどでは利用先をRPと呼び、SAMLではSPという呼び方も使うよ。

どんな認証をしたか、どんな本人確認や登録をしたかは、方式と構成による。アカウントを認証したことから、現実の身元や、どんな操作でも許可してよいことまで自動で保証されるわけではない。必要な条件を利用先が確かめるんだ。

SSOは、複数のサービスを使うときのログインの手間を減らすこと。ID連携は、それを実現するために使える仕組みだ。設定やセッション、利用先の要求によって再認証や追加の認証が必要になることもあり、常に一度だけとは限らないよ。

SAMLはXMLのアサーションなどを使う標準。OIDCはOAuth 2.0の上に認証の仕組みを加え、IDトークンなどを使う。単に「古い企業向け」と「新しいAPI向け」で分けるのではなく、対応する製品と使う手順、必要な検証を確かめるよ。

署名だけでは足りない。信頼する発行元、受け取る対象、期限などを方式に沿って検証し、使い回しや誤った応答を受け入れないようにする。属性に個人の情報が含まれることもある。渡す情報と利用権限、IdPが使えない場合の運用も考えよう。