Webシングルサインオン入門！認証連携とは

災害後の事業継続やシステム導入費用を抑えるためなど、多くの企業で本格的にクラウドサービスの利用を検討し始めています。

データセンターでは災害の際も、業務継続できるシステムの提供を行っています。企業は自社にシステムを置かずクラウドサービスを活用することで、万が一の際にも運用をストップすることなく、業務の継続ができるようになります。

また、自社でサーバやシステムを構築し導入を行うと、初期費用が高額になりがちです。同時にシステム導入期間も長くなり、不都合も生じてきます。しかし、クラウドサービスを利用すると、比較的低価格かつすぐにサービスを利用できます。利用の中止も比較的簡単に決断できます。

一方、経理上のシステムや人事システムなどで扱う機密性の高い情報は、社外に出したくないと考える企業も多くいます。そのような情報は社内にシステムを立て、管理するほうが適している場合もあります。
大多数の企業では、利用の用途や背景に応じて、自社保有システム（社内システム）とクラウドサービスを併用しています。

クラウドサービスと社内システムを併用する理由

• クラウドサービス(データセンタ)は災害時にも比較的安定したシステムを提供
• クラウドサービスは初期コストを抑え、短期導入(スモールスタート)が容易
• 経理情報や人事情報などの機密性の高い情報は社内管理したい

社内システムとクラウドサービスを併用する場合、環境の違いからいくつかの問題が見えてきました。
特に大きな問題が「認証」の問題です。

「認証」の問題点

	利用者 社内のシステムとクラウドサービスのアカウントが別々で、さらに認証も複数回行わなければならず不便
	管理者 重要なシステムへのアクセス権限管理は厳密に行わなければならない。しかし、社外にあるクラウドサービスへログインしているのは本当に自社の社員なのか判別できない

物理的・ネットワーク的に社内にあるシステムと社外のクラウドサービス上にあるシステムとで、管理や運用方法が異なってきます。システムへの入り口となる認証により、社内外問わずシステムのセキュリティを保つ必要はありますが、その認証が業務の効率化を低下させる要因になってはいけません。

そんな問題を解決させる方法が「認証連携(フェデレーション）」です。認証連携とはどういうものでしょうか？

社内システムと社外のクラウドサービスを、あたかも１つのサービスであるかのように、シームレスにログインできる仕組みがあります。それが認証連携です。 通常、ユーザはシステムを利用するたびに、別々のIＤ/パスワードを投入して正しいユーザか否か認証が行われます。認証連携が実現された場合、ユーザは1組のIＤ/パスワードで１度サービスにログインするだけで社内外複数サービスにアクセスできる（認証が自動で行われる）仕組みになります。このような仕組みのことを「シングルサインオン」といいます。 同一ドメインや同一ネットワーク上のサービスに対して一度の認証で複数のWebサイトへのログインができるシングルサインオンの仕組みは、認証連携以外の方法も知られています。しかし、クラウドサービスなどのドメインが異なり、かつ個別のカスタマイズが困難なシステムへのシングルサインオンを実現には、Cookie制約の問題や、サイト間の相互接続性の問題があるため、社内向けのシングルサインオン製品をそのまま適用することは困難です。 そこで、クラウドの普及などに伴いインターネット上での安全な認証連携を実現するために、技術の進化に伴い、標準化団体によって標準化された技術が登場しました。それが認証連携（フェデレーション）と呼ばれる技術です。認証連携により、異なるドメイン間でのシングルサインオン技術は大きく進化し、昨今のクラウド・シフトと呼ばれるクラウド活用の流れを支えてきました。

認証連携に対応した製品が販売され普及し始めたことで、多くの企業で比較的容易に認証連携の仕組みを導入することができるようになりました。社内向けシステムへの導入だけではなく、自社が運営するサイトに認証連携の仕組みを使ったサービスを提供する企業も増えてきました。

異なるWebサイト同士のシングルサインオンを実現する場合、認証の仕組みが各社バラバラでは、連携インタフェースの共通化は一苦労です。その苦労を軽減させるため、連携の仕組みを標準的な規格でまとめようという動きが起こりました。 認証連携の標準規格としては、SAMLやOpenIDなどが有名です。また、関連して、WebAPIに対するアクセス権限を扱う「認可」の標準規格としてOAuth2が広く普及しています。標準化された仕様を活用することで、認証連携の基盤を構築し、さまざまな要件や使用方法に柔軟に対応していくことができるようになっています。

※SAMLやOpenIDの詳細については、こちらのページで解説しております。