シングルサインオン（SSO）とは？

シングルサインオン（SSO）の意味

一度の認証（ログイン）で、連携する複数のシステムやサービスを個別に再ログインすることなく利用できるようにする仕組み。利用者の利便性向上と、パスワード管理の一元化によるセキュリティ向上の両方をねらいとする。

シングルサインオン（SSO）の具体例

社内の複数の業務システムをグループウェアに一度ログインするだけで横断的に使えるようにする仕組みは、シングルサインオンの典型例。

シングルサインオン（SSO）は試験でどう引っ掛けられる？

SSOは1つの認証情報が漏れると連携する全システムに波及するため、「SSOを導入すればセキュリティが上がる」とは言い切れない（だから多要素認証との併用が前提になる）。また認証（本人であることの確認）と認可（何をしてよいかの決定）は別で、SSOが担うのは認証。方式の区別も問われる：クッキーを使うエージェント型・リバースプロキシ型は同一ドメイン内が中心で、ドメインをまたぐ連携にはSAMLやOpenID Connectを使う。

シングルサインオン（SSO）と関連する用語

• 多要素認証とリスクベース認証

シングルサインオン（SSO）が出た過去問

• 複数のシステムやサービスの間で利用されるSAML（Security Assertion Markup Language）はどれか。

  正解：認証や認可に関する情報を交換するための仕様

  要点：SAMLは認証・認可情報を組織間で交換しSSOを支える

  SAMLは、認証の結果や利用者の属性、アクセスの可否といった情報をXML形式で記述し、組織やサービスをまたいでやり取りするための規格である。認証を行う側（IdP）が発行したアサーションをサービス提供側（SP）が信頼することで、一度の認証で複数サービスを利用するシングルサインオンを実現できる。

  出典：令和4年度 春期 応用情報技術者試験 午前 問36（IPA）

• クライアント証明書で利用者を認証するリバースプロキシサーバを用いて、複数のWebサーバにシングルサインオンを行うシステムがある。このシステムに関する記述のうち、…

  正解：利用者IDなどの情報をWebサーバに送信するのは、利用者のPCではなく、リバースプロキシサーバである。

  要点：リバースプロキシ型SSOは代理認証しIDを各サーバに渡す

  リバースプロキシ型のシングルサインオンでは、利用者からの通信をいったんリバースプロキシが受け止め、クライアント証明書によって本人確認を行う。認証に成功すると、プロキシが利用者IDなどの認証済み情報を後段の各Webサーバへ引き渡すので、各サーバは個別に認証しなくてよい。クライアント証明書はあらかじめ利用者のPCに導入しておくもので、サーバ側が配布する流れではない。

  出典：令和4年度 春期 応用情報技術者試験 午前 問41（IPA）

• 企業内のクライアントからクラウドサービスへのアクセスにSAML認証を利用したときのシステムの動作に関する記述のうち、適切なものはどれか。ここで、利用者IDとパス…

  正解：認証サーバから認証結果をクライアント経由でクラウドサービスに送信する。

  要点：SAMLは認証結果をクライアント経由でSPへ渡しパスワードを渡さない

  SAMLでは、企業内の認証サーバ（IdP）が利用者を認証し、その結果をデジタル署名付きのアサーションとして発行する。アサーションは利用者のブラウザ（クライアント）経由でクラウドサービス（SP）へ渡され、SPは署名を検証して利用者を受け入れる。パスワード自体がクラウドサービス側へ渡らないことが、この方式の要点である。

  出典：令和6年度 秋期 応用情報技術者試験 午前 問37（IPA）