シングルサインオン とは？

メールや経費精算など、連携したサービスごとに認証情報を入力する手間を減らせるよ。全てのサービスへ無条件に入れるわけではなく、連携設定と利用権限が必要だね。認証なしになるのではなく、認証結果やログイン状態を利用するんだ。

Googleなど外部の提供者が確認した本人の情報を、別のサービスのログインに使う例だよ。こうした連携をフェデレーションと呼び、SSOに利用できる。ただしボタンがあるだけで、いつも追加の操作なしに入れるとは限らない。初回の登録や同意、本人の再確認が必要な場合もあるんだ。

一つのアカウントへの攻撃が、連携した複数のサービスへ影響する可能性があるよ。多要素認証、必要最小限の権限や利用履歴の確認を組み合わせよう。期限切れや重要な操作などの条件によって、再認証を求める設計も必要だね。

SAMLはXMLを使って認証結果などを連携する規格。OIDCはOAuth 2.0の上に本人認証の機能を加え、IDトークンなどを使う規格だよ。OAuth 2.0は資源へのアクセスを認める認可の仕組みで、単独で標準的な本人認証を定めるものではない。アプリが対応する方式を確認しよう。

新しいログインや再認証は影響を受け得るよ。一方、各サービスが持つログイン状態は認証側と別に管理されるので、既に使っているサービスが全て直ちに使えなくなるとは限らない。実際の依存関係や期限を確認し、必要な可用性と復旧手順を考えよう。

各サービスや認証側のログイン状態は別なので、一つのログアウトが全てへ反映されるとは限らないよ。連携したログアウトやログイン状態の失効がどう動くか確認しよう。特に共用の端末では、利用したサービスと認証側の状態を確かめることが大切だね。