SP 開始 SSO と IdP 開始 SSO

SP 開始 SSO と IdP 開始 SSO のどちらを選択するかは、単なる技術的な話ではありません。適切な選択を行うことで、企業のセキュリティと生産性を強化できます。

市場分析は目を見張るものがある。Fortune Business Insightsによると、サイバーセキュリティの脅威が高まるにつれ、世界のシングルサインオン（SSO）市場は成長すると予想されており、SSOはシステムセキュリティの確保を目指す組織にとって最適なソリューションとなっている。

この記事では、どのタイプの SSO ソリューション (IdP 開始型または SP 開始型) がビジネスに最適な選択肢となるかについて説明します。miniOrange は、組織のニーズに一致し、現在の市場動向に沿った SSO ソリューションを提供します。

要するに、適切なSSOアプローチは単にスマートなだけでなく、ビッグリーグへの切符となるということです。もしあなたが遅れをとれば、競合他社が先を行くでしょう。

シングル サインオン (SSO) とは何でしょうか?

シングルサインオン（SSO）とは、ユーザーが単一の認証情報で複数のアプリケーションにアクセスできるセキュリティ手法であり、利便性とセキュリティを向上させます。

ユーザーはアイデンティティプロバイダー（IdP）に認証情報を入力し、IdPはActive Directoryなどのデータベースに保存されている認証情報と照合します。認証情報が確認されると、ユーザーはアプリケーションへのアクセスを許可されます。

SSOはフェデレーションIDの原則に基づいて動作し、OpenID Connect（OIDC）やSAML 2.0などのプロトコルを使用して、信頼できるシステム間で属性を共有します。SSOは1990年代以降、軽量ディレクトリアクセスプロトコル（LDAP）やActive Directory（AD）と並行して進化し、現代の認証ニーズを満たしてきました。

IdP 開始 SSO とは何ですか?

IDプロバイダー（IdP）とは、ユーザーの身元を認証し、複数のアプリケーションへの安全なアクセスを許可する信頼できるサービスです。認証プロセスを一元化することで、セキュリティを強化し、アクセス管理を簡素化します。

IdP 開始 SSO とは、Google Workspace、Okta、Microsoft Entra ID、AWS などの IdP によってユーザー認証リクエストが開始されるプロセスです。簡単に言えば、IdP はユーザーのログインプロセスの起点となります。

実際の運用においては、WordPressのようなプラットフォームはIDプロバイダーとしても機能します。WordPress向けSAML IDP SSOを利用することで、組織はIDプロバイダー主導の認証フローをサポートしつつ、複数のSAML対応サービスプロバイダーへの安全なアクセスを提供できます。

SP 開始 SSO とは何ですか?

In アイデンティティとアクセス管理（IAM)サービス プロバイダー (SP) は、ユーザーがアクセスしたい Web サイト、アプリ、またはサービスになります。

SPはユーザー認証を信頼できるIdPに依存しており、IdPがユーザーのIDを確認すると、SPはユーザーにリソースへのアクセスを許可します。サービスプロバイダーの例としては、プロジェクト管理ツール、ソーシャルメディアアカウント、クラウドベースのアプリなどが挙げられます。

SP 開始 SSO は、サービス プロバイダー (SP) によって認証要求が開始されるプロセスです。

IdP 開始 SSO と SP 開始 SSO の違いは何ですか?

IdP SSOは、ログインフローからユースケースまで、SP主導のSSOとはさまざまな点で異なります。その違いを詳しく見ていきましょう。

IdP 主導 SSO の長所と短所

IdP 開始 SSO を使用する利点と欠点をまとめたリストを以下に示します。

メリット

• すべてが 1 か所に集中しているので、ユーザーにとってシンプルです。
• IdP は柔軟性があるため、特定のユースケースに合わせて複数の SP で構成できます。
• IdPによるログインは、 認証ソリューションパスワードレス、生体認証、2FAなど 適応型MFA、その他、miniOrange 限定の特典もございます。

デメリット

• 脆弱な 中間者攻撃サイバー犯罪者が SAML アサーションを妨害します。
• ログイン メッセージが傍受された場合、第三者 (有害な存在) がユーザーになりすます可能性があります。

SP 開始 SSO の長所と短所

ここでは、SP 開始 SSO の利点と欠点について簡単に説明します。

メリット

• ユーザーは、IdP からログインするのではなく、使用したいアプリから直接ログインできます。
• SP によって開始された SSO はリクエストを IdP にリダイレクトするため、セッションの書き換えは行われません。

デメリット

• 一部のSPは適していません SAML これらは、シングルページ アプリケーション (SPA)、API、または消費者向けアプリです。
• SP 側に問題がある場合はトラブルシューティングが困難です。

IdP 開始 SSO ワークフロー

IdP 開始ワークフローでは、ユーザーは Google Workspace などの IdP にログインし、目的のアプリケーションまたはリソースにアクセスしようとします。ワークフローの仕組みは以下のとおりです。

1. IdPでのユーザー認証

• ユーザーは IdP ポータルにアクセスし、資格情報を使用してログインします。
• IdP は、データベース (AD または LDAP) に対して ID を検証します。

2. SAMLトークンの作成

• IdP は、ユーザーの認証情報を含む署名付き SAML アサーションを生成します。
• このアサーションには、SP に必要なユーザー属性が含まれます。

3. トークンの送信

• IdP はアサーションを SAML 応答にパッケージ化します。
• IdP は、デジタル署名された応答を HTTP POST 経由で SP に送信します。

4. SP検証

• SP は SAML 応答を受信します。
• サービス プロバイダーは IdP のデジタル署名を検証します。
• SP による SAML アサーションの抽出と検証。

5. アクセス認証

• SP は、アクセス ポリシーに対してユーザーの権限をチェックします。
• 検証が成功した場合、サービス プロバイダーは要求されたサービスへのアクセスを許可します。

このワークフローにより、スムーズで安全なログインエクスペリエンスが保証され、異なるサービス間での複数回のログインの必要性が軽減されます。

SP 開始 SSO ワークフロー

SP によって開始される SSO は、ユーザーがアクセスするアプリケーションから開始され、ワー​​クフローは次のようになります。

1. 初期SPアクセスとリダイレクト

• ユーザーは SP にアクセスしようとします。
• SP は、認証されていないユーザーを SAML リクエストとともに IdP にリダイレクトします。

2. ユーザー認証

• ユーザーは IdP ログイン ページにアクセスします。
• 検証のための資格情報はユーザーによって提供されます。
• IdP は、ユーザー データベースに対して資格情報を検証します。

3. SAMLトークンの生成とパッケージ化

• IdP は、ユーザーの認証情報を使用して SAML アサーションを作成します。
• 次に、アサーションを署名された SAML 応答にパッケージ化します。
• IdP には SP に必須の属性も含まれています。

4. トークンの送信と受信

• IdP は、署名された SAML 応答を HTTP Post 経由で SP に送信します。
• SP はそれを受信し、SAML アサーションを抽出します。
• IdP のデジタル署名は SP によって検証されます。

5. 検証と承認

• SP は、アクセス ポリシーに対して SAML アサーションを検証します。
• ユーザーの権限とロールを確認します。
• ユーザーが検証された場合は、要求されたサービスへのアクセスを許可します。それ以外の場合は、エントリは拒否されます。

このワークフローは、最初のリダイレクトのために少し複雑になる可能性がありますが、特定のアプリケーションに直接ログインするユーザーにとっては、頼りになるオプションの 1 つです。

IdP と SP 開始 SSO の実際の使用例

IdP 開始および SP 開始の SSO を実装できる領域の統合リストを以下に示します。

IdP による SSO の使用例

IdP SSO は、次の 4 つの異なる業界で使用されています。

• 企業： さまざまな内部および外部のアプリ/リソースへの簡単なアクセスを保証します。
• 教育： Moodle、Coursera、Udemy、Blackboard などの学習管理システム (LMS) へのシームレスなアクセス。
• 健康管理： 患者ポータル、ヘルスケア アプリ、ウェルネス アプリケーションへの迅速かつ安全なアクセス。
• Eコマース： 1 つの ID を使用して、Shopify、Amazon、Walmart などの複数の e コマース プラットフォームで買い物できます。

SP 開始 SSO の使用例

SP 開始 SSO は次の目的で使用できます。

• フェデレーション ID シナリオ: これはフェデレーション SSO に使用され、SP がユーザーのアプリへのアクセス意図を確認できるため、安全性が高まります。
• 顧客向けアプリケーション: ヘルスケア ポータル、銀行、電子商取引など、顧客が直接ログインする消費者向けアプリ。
• 公開アプリ: ユーザーがさまざまな組織からアクセスするアプリ。ユーザーは直接ログインし、組織の IdP で認証できます。

SP 開始 SSO と IdP 開始 SSO: どちらを選択するべきでしょうか?

IdPとSPは、多くの点で異なります。ログインプロセスを制御する必要がある場合や、消費者向けアプリケーションの場合は、SP主導のSSOを選択できます。また、きめ細かなセキュリティ、より優れた監査証跡、そして様々なIdPとの互換性が求められる環境にも最適です。

IdP によって開始されるログインは、厳密に管理されたビジネス組織、集中アクセス シーン、およびレガシー ソフトウェア統合に最適です。

miniOrangeはどのように役立ちますか?

miniOrangeは、多様な認証ニーズに対応するため、SP開始型、IdP開始型、フェデレーション型SSOなど、包括的なSSOソリューションを提供しています。miniOrangeのSSOソリューションは、OAuth、JWT、OpenID Connectプロトコルにも対応しており、様々なアプリケーションとのシームレスな統合を可能にします。

ユーザーエクスペリエンスとセキュリティの両方をサポートする製品で、組織の防御体制を強化しましょう。さらに、多要素認証（MFA）ソフトウェア、リスクベース認証（RBA）、フィッシング対策MFAなど、さまざまな追加機能もご利用いただけます。

今すぐお問い合わせいただき、無料のSSOトライアルをお試しください。また、柔軟な料金プランもご用意しておりますので、ぜひご確認ください。

よくあるご質問

IdP 開始 SSO と SP 開始 SSO の両方を使用するのはどのような場合ですか?

IdP ログイン ページで認証が開始される場合は IdP 開始 SSO を使用し、ユーザーがアプリへのアクセスを直接許可する場合は SP 開始 SSO を使用します。

SAML IdP 開始 SSO のリスクを軽減するにはどうすればよいですか?

SAMLアサーションが検証され、署名されていることを確認し、改ざんを防止します。また、特定のサービスプロバイダ（SP）に対してのみアサーションを許可します。さらに、ログイン時のセキュリティを強化するためにMFAを使用し、不正アクセスを防ぐために信頼できるIdPからのSSOのみを許可します。ログイン試行と異常を常に追跡することで、迅速なインシデント対応が可能になります。また、セッションハイジャックを防ぐため、SAMLトークンに有効期限を設定します。

アイデンティティフェデレーションとは何ですか?

アイデンティティ フェデレーションは、さまざまな組織間で信頼を確立し、ユーザーが 1 セットの資格情報だけでさまざまなアプリにアクセスできるようにするプロセスです。