シングルサインオン（SSO）

シングルサインオン（SSO）は、一度の認証で得た認証結果を利用し、許可された複数のアプリケーションやサービスへ、個別に資格情報を再入力せずアクセスできる仕組みです。

■ 試験で押さえるポイント

• 認証を担うIdPとサービスを提供するSP等の間で、SAMLやOpenID Connect等により署名付きアサーション・トークンを受け渡す連携方式があります。

• 利用者のパスワード数を減らし、MFA、退職者停止、認証ログを集中管理できますが、SSO資格やIdPが侵害されると複数サービスへ影響します。

• IdPへ強い認証と高可用性を持たせ、各サービスへの対象者・受信者・有効期限・署名を検証し、最小権限と条件付きアクセスを適用します。

• アプリのセッションは個別に残る場合があるため、シングルログアウト、セッション期限、緊急失効、アカウント作成・変更・削除の同期を設計します。

■ 過去問での着眼点

一度の認証結果を複数サービスで利用する仕組みです。一つの同じパスワードを各サービスへ使い回すことはSSOではありません。

例: 社員がIdPでFIDO認証すると、IdPが対象サービス向けの署名付き情報を発行し、メールと勤怠へ入れます。退職時はIdP停止と各セッション失効を行います。