企業内でさまざまな業務アプリケーションを導入していくと、企業が管理するID／パスワードも比例して増え続けることになります。一方利用者側は、利用するアプリケーションが増えると、覚えるID／パスワードの数も増加し、結局、ID／パスワードを忘れてしまわないようにとメモに書き留めることになります。そこからID／パスワードの情報漏えいにつながり、結果として、いまだ途絶えない企業の守秘情報漏えいの原因にもなっています。

また、ID／パスワード忘れが頻発すると、運用側はパスワード忘れの問い合わせや、初期化作業など利用者を管理する多くの稼動、コストがかかることになります。そしてIDの管理が複雑になり、ゴーストアカウントを生む原因にもなります。

そこで有効になるのが、1回の認証で複数のOSやその人が利用可能なアプリケーションにアクセスできるシングルサインオンです。シングルサインオンを導入することで、利用者は1組のID／パスワードを覚えればよく、複数の認証機能を持った業務アプリケーションを利用する場合の利便性が向上します。また、たくさんのID／パスワードを覚える必要がないため、ID／パスワードをメモ書きすることもなく、情報漏えいリスクも抑えることができます。管理者にとってもアカウントの管理を一元化でき、管理の手間が軽減されます。ID／パスワード忘れの問い合わせが減るなど、ヘルプデスクの管理コストも軽減されるでしょう。

シングルサインオンの仕組みを設けることで、アカウントだけでなく、利用者のアクセス制御情報も一元管理できることにより、高度なセキュリティを確保することができます。アクセス制御が正確に行われていないと、業務システムが正しく利用されていることを保証できないため、業務処理の正確性、信頼性が保証されません。

また、アカウントが分散管理されていると、各システム間でログの整合性を保つのが難しくなり、追跡の際も大変困難になります。これらを解決できるシングルサインオンは、内部統制強化にもつながるソリューションといえます。米国のSOX法対応においても、一番必要と認識されたのが、このシングルサインオンとアクセス制御の仕組みです。

NTTソフトウェア株式会社では、シングルサインオン製品として「CSLGuard（コンソールガード) 」を提供しています。CSLGuardはWebアプリケーションだけでなく、クライアントサーバ系のアプリケーションまでも統合したシングルサインオンシステムの構築が可能です。さらに、ユーザーの属性情報（年齢や会員制サイトのポイント情報など）などを使ったアクセス制御環境を提供します。

また、アイデンティティマネジメント製品「ACTCenter(アクトセンター)」とあわせて導入することで、各サーバのOSやDB、アプリケーションのID／パスワードなどのアイデンティティ情報の一元化も図れ、より厳密な統制環境の構築と運用管理者の管理負担の軽減が行えます。

IT内部統制の基盤となるアクセス制御、アイデンティティ管理、アクセスログ一元管理を行うCSLGuard、ACTCenterは自社パッケージ製品であり、システム導入のユーザーニーズに合わせて、製品のインテグレーションや迅速な対応が可能です。今まで、金融機関や官公庁、大学など豊富な導入実績があり、今後の内部統制環境を構築するためにも最適なソリューションといえます。

ここまでは、企業内における認証基盤としてのシングルサインオンをご説明しましたが、ここからはもう少し将来の認証基盤についてご紹介したいと思います。

企業やサービスをまたがる企業間連携におけるシングルサインオンを実現するための標準化として、SAML（Security Assertion Markup Language）が取り決められ、採用が始まっています。SAMLは標準化団体OASISが策定したXMLを基盤にした異なるWebサービス間で認証情報、属性情報、認可情報を交換するための標準仕様で、各情報をAssertionという形式でHTTPもしくはSOAPを利用し安全にやり取りを行います。

現在の最新バージョンはSAML2.0で、多くのシングルサインオン製品ベンダーがSAML2.0対応を行っています。各サービスで異なるシングルサインオン製品を利用していても、SAML2.0対応製品同士であれば連携可能であり、Webサービス間のシングルサインオンを実現します。

SAML2.0対応をしているWebサービス間では、ある1つのサイトで認証を受けると、提携しているサイトでは、ユーザーのプライバシーを保ったままアカウントの関連付け（認証）が行われ、サイトごと、サービスごとの認証が不要となります。

例えば、航空会社とホテルとレンタカー会社が提携しており、それぞれのWebサイトに個別の認証が必要だったとします。このWebサービスが SAML2.0対応していれば、利用者が旅行の予約をする際、いつも利用する航空会社のサイトで一度認証を行うだけで、ホテルやレンタカー会社のサービスを本人として受けることができます。

また、航空会社に登録した個人情報を、SAML2.0により安全にレンタカーサイトに渡すことが可能なため、利用者は再度個人情報を入力しなくても、航空会社に登録されている情報で簡単にレンタカーの予約が行えます。

ここで重要なのが“安全に情報を交換する”ということです。SAML2.0ではWebサービス間で、認証、属性、そして認可情報を安全に交換することを可能にし、製品ベンダーに依存しないWebシングルサインオンと安全なe-businessを実現します。

Webサービスは、ますます複雑化し巨大化するシステムを何とかしたい、という声に応えて実現されてきました。Webサービスの目指す世界は、各サービスが自律的にほかのサービスと連携し、ネットワーク上で1つのサービスを提供することです。例えば、家電製品がネットワークを通じて、自分で必要な情報を集めたり、ほかの製品の情報を提供することで、ユーザーにとって常に最適な状態を保ち続けられる、という世界です。

こうしたWebサービス連携の中で、セキュリティ技術は不可欠なものです。SAML2.0は、サービスアプリケーションレイヤでのセキュリティを担い、Webサービスの連携に最適であることを目指して設計されています。

Webサービス連携においては、サービス要求を利用者に代わって、仲介者（ブローカー）が行う場面が想定されます。そのため、サービスの要求者とともに、そのサービスは誰のためか、という情報を通知する必要があります。これまでのCookieやSSLを用いた認証では、その通知ができませんでした。

SAML2.0では、CookieやSSLによるセッションの認証と、アイデンティティを証明するAssertionを分離し、メッセージが誰から送信されたもので、誰のためのサービス要求であるかを特定することが可能になります。その仕組みをユーザー認証に応用することで、サービス間でアイデンティティを連携し、連携によるシングルサインオンを実現しています。

また、このAssertionを利用して、アイデンティティの属性情報交換ができます。属性情報とは、そのユーザーに固有な情報（住所や電話番号など）と、ユーザーの状態に関する動的な情報（認証方法や、どのサーバで認証されたかなど）のことです。

この動的な情報を利用することで、あるサービスの認証結果を、第三者機関がお墨付きで認めているといった認証レベルの情報を付加することができます。例えば、銀行振り込みなど高い認証レベルが必要なサービスでは、アクセス制御のポリシーを動的な属性情報によってコントロールすることが可能になります。

SAML2.0は、これからのさまざまなサービスが融合して1つのサービスが提供されるWebサービスの世界において、自由度の高い認証と属性交換の仕組みを提供するものとして重要なものとなっていくことでしょう。

SAML2.0仕様に準拠したアイデンティティ連携モジュール

NTTソフトウェア株式会社では、SAML2.0仕様に準拠したアイデンティティ連携モジュールTrustBind/Federation Manager (トラストバインド/フェデレーションマネージャ）を販売しております。TrustBind/Federation Managerは、2006年12月に開催されたSAML2.0仕様の相互接続性認定試験に合格し、仕様への準拠性が確認されています。

TrustBind/Federation Managerは、NTT情報流通プラットフォーム研究所のI-dLive（アイドライブ）を商品化したものです。純国産製品であり、既存システムとの連携、およびシステム特有の機能に対応するインタフェースを多数備えているため、拡張からカスタマイズまで柔軟に対応することが可能です。

今後は、企業間を連携したサービスの提供も増えていくことでしょう。それに伴う個人IDの管理も複雑性が増していくと予測されます。その中で、いかに個人のID情報をコントロールし、使い勝手が良く、かつ統制された環境を築いていくかがますます重要となり、企業内をはじめ、企業間にわたるシングルサインオンの導入が進んでいくことと思われます。