機能リクエストアプリリクエストホームへ戻る企業の情報システム部門で勤務されている方や、IT業界で勤務されている方の多くは「シングルサインオン」という言葉を聞いたことがあると思います。それ以外の方にとっては「何となく意味は分かるが、正確な意味は分からない」単語ではないでしょうか。ついて、改めてご説明いたします。(sign-on)」の2つの単語・フレーズが合わさった造語です。「シングル」はここでは「1度の」「1回の」という意味で用いられています。次に、「サインオン」という言葉ですが、本来は「テレビ局やラジオ局で、その日の放送開始の合図をする(無音の映像や局名告知を行う)」という意味です。放送終了の合図」として用いられています。「開始するときの合図」という意味が転じて、「システム利用開始時の認証」という意味合いとしても用いられています。無料で使える「トラスト・ログイン」の資料請求はこちらこの2つの語が合わさることで、「1度システム利用開始の認証を行うと、複数のシステムを利用開始する際に、都度認証を行う必要がないこと」、または「1度のシステム認証で複数システムに同時に認証できるようにする製品・システム・ツール」を意味するようになりました。(sign-in)」という言葉も全く同じ意味で利用されます。語の頭に「シングル」がついて利用されるのは「シングルサインオン」のみで、「シングルログイン」「シングルログオン」「シングルサインイン」という言葉はありません。時代と供に、利用されるシングルサインオンの技術も変化しています。ここでは、現在も利用されているシングルサインオンの種類・技術、そして製品に用いられている手法をご紹介します。1.Kerberos認証Kerberos認証は、ギリシャ神話の「3つの頭を持つ冥界の番犬」である「ケルベロス」からその名が取られています。最初のサインオン時には、ユーザーのID・パスワード情報の入力を行うと、チケットを取得します。その後、他のシステム・サービスを認証する場合にこのチケットを利用して認証を行うのがケルベロス認証の特徴です。ID・パスワード自体をやり取りするのでなく、有効期限が設定されたチケットを暗号化された通信上でやりとりをすることで高い安全性が確保されています。OSに導入された認証で、Kerberos認証やマイクロソフト独自の認証方式を組み合わせたものの総称となります。Directoryの認証などとして提供されています。認証ユーザーエージェント(ブラウザ)、IDサービスプロバイダ(シングルサインオンサービス)とサービスプロバイダ(クラウドサービス等サインオン先のサービス)の間で、認証情報を交換するXMLベースの認証方式です。クラウドサービスのシングルサインオンに利用されています。例として、当社シングルサインオンサービス「トラスト・ログイン」を利用した際に、SAMLを用いた認証の流れをご紹介します。ユーザー(クライアント)とサーバーの2者間の認証であるKerberos認証に対し、SAML認証は3者間の認証となっています。SAML認証においては、ID・パスワード情報はユーザーとシングルサインオンサービスの間でのみやり取りを行います。ユーザーとクラウドサービスの間、またシングルサインオンサービスとクラウドサービスの間では、「SAMLリクエスト」と「リクエストに対する回答」のみを行い、ID・パスワード情報のやり取りを行いません。初回のシングルサインオン時に、スマートカードのパスワードを入力し認証を行う方式です。一度サインオンを行った後、他のアプリケーションの認証時にはパスワード入力が不要となります。スマートカードベースのシングルサインオンでは、クライアント証明書かパスワードをスマートカード自体に保存し、利用できます。「エージェント方式」ともとも呼ばれます。(クッキー)を利用した方式です。Webアプリケーションのサーバーに、ユーザーの代理人(エージェント)となるアプリを入れます。このアプリがシングルサインオンサーバーに認証情報を確認し、認証できたらcookieを発行する、という流れです。初回のログイン時には、シングルサインオンサーバーに認証情報を確認しに行きますが、二度目以降のログインでは、Webアプリケーションのサーバー側で既にcookieを持っているため、cookieの所有者のみを確認しにいく、という動作を行います。「リバースプロキシ方式」とも呼ばれます。リバースプロキシ型は、シングルサインオン対象となるサーバーに対するアクセス時に、必ずリバースプロキシサーバーを経由します。初回のアクセス時に、IDとパスワードを入力すると、シングルサインオンを管理するサーバーがcookieを発行し、リバースプロキシに送ります。2回目以降の認証の際にリバースプロキシサーバーは、既に持っているcookieにあるID情報だけを、シングルサインオンを行うサーバーに送ります。リバースプロキシとシングルサインオン先のサーバーはあらかじめ連携しているため、再度パスワードを入れずともログインできます。シングルサインオンのメリット企業がシングルサインオンを利用するメリットは、以下の通りとなります。複数のシステムを利用する際に、都度パスワードを入力する手間を省略できる。システム利用者のパスワード忘れ、パスワード入力ミスによるアカウントロック、パスワード再発行といった手間を削減できる。システム利用者のパスワード関連の問題に対応するための人員(情報システム部のヘルプデスクなど)、コストを削減できる。用いることで)第三者にパスワード情報を渡すことなく、第三者のシステムへのサインオンが可能となる。このため、パスワード漏洩リスクを低減することにつながる。昨今、企業におけるクラウドサービスの利用が普及したため、クラウド経由で提供される第三者のサービス上に、企業の機密情報を保管することが当たり前となっています。逆に言えば、第三者のサービスに対する不正アクセスにより、企業の機密情報や従業員の認証情報が漏えいする危険がこれ以上ないほど高まっています。ここで、SAMLといった規格を利用すると、そもそもクラウドサービス側にパスワードを保存させずに認証を行えるため、安全性の向上に役立ちます。無料で使える「トラスト・ログイン」の資料請求はこちらまた、SAMLに対応していない場合においては、パスワードを第三者のクラウドサービスが保管することになります。この場合、ユーザーは各クラウドサービスごとに別な複雑なパスワードを作成する必要があります。いえ、それぞれ別の複雑なパスワードを記憶するのは難しいため、異なる複数のサービスで同じパスワードを利用してしまいがちです。いわゆる「パスワードの使い回し」です。シングルサインオン製品によっては、複数のパスワードを製品上に登録しておくことが可能であるため、「複雑で使い回しではないパスワード」を「自分で記憶」ではなく「シングルサインオン製品に登録」して利用できます。これにより、別々なパスワードを何十個でも安全に扱うことができます。シングルサインオンのデメリット次に、シングルサインオンのデメリットについて理解しておきましょう。シングルサインオン製品自体に不正アクセスされると、シングルサインオン製品の先にあるシステム・サービス全てに不正アクセスできてしまう。製品によって費用が高額となる。従業員数が多い企業にとっては、年間億単位の負担が求められる場合がある。リバースプロキシ型のように、一点にアクセスが集中する方式の場合は、シングルサインオンの認証速度に遅延がみられる場合がある。技術的なデメリットについてですが、シングルサインオン製品自体の認証が破られると、紐づく全てのシステムにアクセスし放題となってしまうという点です。この批判はかなり昔からなされていますが、「他の認証と併用することでシングルサインオンへのセキュリティを高める」ことでほぼ解決されていると言えます。「クライアント認証書を端末に入れ、シングルサインオン利用時には認証書の確認を行う」「シングルサインオン利用時に利用可能なIPアドレスを制限する」「シングルサインオンのパスワードを入力後に、ワンタイムパスワードの入力も合わせて求められる」「パスワードと生体認証を併用する」といったものです。仮にパスワードが破られても、他の認証が同時に破られない限りは、不正アクセスを防止できます。実際、2019年8月にマイクロソフトは、「多要素認証を利用することで、自動化された攻撃の99.9%を防ぐことができる」という調査レポートを発表しており、多要素認証の強度の高さを裏付けた形になっています。費用が高額であるという点ですが、多くのシングルサインオン製品は「従業員(ユーザー)1人あたり月額費用いくら」という従量制の課金形態をとっているためです。(5457万円)、2万人いると1億円を超える年額費用が必要となります。導入ユーザー数のスケールメリットを生かせずに、ユーザー数が多ければ多いほどコストが正比例で増大していく点が「コストが高い」と言われる理由です。年間費用を抑えるには、「必要な従業員だけ利用させる」「必要なプランだけを選択する」「必要なオプションだけを追加する」「機能で比較して安価な製品を選択する」といった方法があります。必要な機能だけ選んで利用することで、コストを抑えられる当社のシングルサインオン製品「トラスト・ログイン」を利用するのもよいでしょう。最後に、認証の速度についてですが、リバースプロキシ型でその仕組み上、アクセス集中時の速度に弱点がありますが、他の方式では、よほど大多数のユーザーが一気にアクセスしない限り、認証速度で問題が生じることは少ないと思われます。シングルサインオンの将来クラウドやスマートフォン、BYOD(個人端末の業務利用)が普及し、企業・組織の機密情報が外部に保管されることが増加したため、認証先(クラウドサービスなど)と認証を行う端末(企業PC、個人PC、企業スマホ、個人スマホなど)が増加しています。これにより、認証が求められる場面が急増したため、シングルサインオンの必要性は高まっています。シングルサインオンに求められるセキュリティも高まっていると言えます。シングルサインオンは2つの方向性があると言えます。1.パスワードを利用する多要素認証1つは、「シングルサインオン時に複数の認証要素を用いてセキュリティを高める」という方向性です。一般的に「多要素認証」と呼ばれていますが、パスワード認証に加えて、クライアント証明書、ワンタイムパスワード(OTP)、スマートフォンアプリによる認証(Authenticator認証含む)、指紋や静脈などの生体認証を併用することで、シングルサインオン時のセキュリティを高めるというものです。本人の肉体を認証に利用する知識要素パスワード、誕生日、秘密の質問など本人のみが知っている情報を認証に利用する所持情報ICカード、Authenticatorの数列、物理トークンなど、物理的またはソフトウェア的に所持しているデバイス上にある情報を認証に利用するシングルサインオン時に、パスワードのみを用いた場合、認証要素は1つとなりますが、これに別な要素を加えると認証要素は2つ、または3つとなり、セキュリティを高めることができます。パスワード認証(知識要素)と、指紋認証(生体情報)を組み合わせる、パスワード認証(知識要素)とクライアント証明書(所持要素)を組み合わせる、といった具合です。パスワードを利用する多要素認証シングルサインオンは、当社シングルサインオンサービス「トラスト・ログイン」を含め、現在既に多くのシングルサインオンサービスで導入されています。2.パスワードを利用しない多要素認証もう1つは、パスワードを利用しない認証です。現在、アメリカの大手IT企業やITベンチャーを中心に「脱パスワード」の動きが出始めています。(パスワードのない世界を作る)[英文ブログ]」というセキュリティブログを投稿しています。このブログでは、パスワードの長所は「どの端末でも使える」「(記憶だけすればよいので)持ち運べる」「簡単に導入展開できる」としたうえで、「安全でない」「不便」「(安全対策なども含めると)高価」であるとしています。Authenticatorアプリ、生体認証デバイスの利用)のみを使う、という選択肢を提供しています。パスワードのない世界が既に実現されているのがスマートフォンです。入力するのが一般的でした。デバイスの進化により、現在では多くの人は指紋認証や顔認証、Androidのパターン認証(表示される9つの点を指でなぞる)を利用し、都度パスワードを入力する人は急減しています。した脱パスワードの流れはシングルサインオンにも及んでおり、パスワード以外の認証方式を併用することでシングルサインオンを行うサービスを提供するベンチャー企業も登場しています。・参考記事パスワードが不要な時代がやって来る?この流れを促進させているのはFIDOです。Onlineの略で、オンラインサービスにアクセスする際に、パスワードを使わずに認証を行う規格を策定する組織です。2019年9月現在注目を集めているのが、FIDO2という規格で、既にヤフージャパンなどが対応をはじめています。[オンラインサービス担当者必読]このように、現在のIT企業の動向を見ると長期的には、パスワードを利用しないシングルサインオンサービスが一般的になる可能性が高いです。短期的・中期的にに見ると、パスワードを利用しないシングルサインオンサービスは、対応しているサービスがまだ少ないため、シングルサインオンからパスワードを根絶されるのは当面先になるでしょう。よって、シングルサインオンにおいても、パスワードは当面なくならない、という前提に立ったうえで、セキュリティと利便性を両立させる方法や製品を採用すべきでしょう。記事一覧ホームへ戻る企業の情報システム部門で勤務されている方や、IT業界で勤務されている方の多くは「シングルサインオン」という言葉を聞いたことがあると思います。それ以外の方にとっては「何となく意味は分かるが、正確な意味は分からない」単語ではないでしょうか。ついて、改めてご説明いたします。(sign-on)」の2つの単語・フレーズが合わさった造語です。「シングル」はここでは「1度の」「1回の」という意味で用いられています。次に、「サインオン」という言葉ですが、本来は「テレビ局やラジオ局で、その日の放送開始の合図をする(無音の映像や局名告知を行う)」という意味です。放送終了の合図」として用いられています。「開始するときの合図」という意味が転じて、「システム利用開始時の認証」という意味合いとしても用いられています。無料で使える「トラスト・ログイン」の資料請求はこちらこの2つの語が合わさることで、「1度システム利用開始の認証を行うと、複数のシステムを利用開始する際に、都度認証を行う必要がないこと」、または「1度のシステム認証で複数システムに同時に認証できるようにする製品・システム・ツール」を意味するようになりました。(sign-in)」という言葉も全く同じ意味で利用されます。語の頭に「シングル」がついて利用されるのは「シングルサインオン」のみで、「シングルログイン」「シングルログオン」「シングルサインイン」という言葉はありません。時代と供に、利用されるシングルサインオンの技術も変化しています。ここでは、現在も利用されているシングルサインオンの種類・技術、そして製品に用いられている手法をご紹介します。1.Kerberos認証Kerberos認証は、ギリシャ神話の「3つの頭を持つ冥界の番犬」である「ケルベロス」からその名が取られています。最初のサインオン時には、ユーザーのID・パスワード情報の入力を行うと、チケットを取得します。その後、他のシステム・サービスを認証する場合にこのチケットを利用して認証を行うのがケルベロス認証の特徴です。ID・パスワード自体をやり取りするのでなく、有効期限が設定されたチケットを暗号化された通信上でやりとりをすることで高い安全性が確保されています。OSに導入された認証で、Kerberos認証やマイクロソフト独自の認証方式を組み合わせたものの総称となります。Directoryの認証などとして提供されています。認証ユーザーエージェント(ブラウザ)、IDサービスプロバイダ(シングルサインオンサービス)とサービスプロバイダ(クラウドサービス等サインオン先のサービス)の間で、認証情報を交換するXMLベースの認証方式です。クラウドサービスのシングルサインオンに利用されています。例として、当社シングルサインオンサービス「トラスト・ログイン」を利用した際に、SAMLを用いた認証の流れをご紹介します。ユーザー(クライアント)とサーバーの2者間の認証であるKerberos認証に対し、SAML認証は3者間の認証となっています。SAML認証においては、ID・パスワード情報はユーザーとシングルサインオンサービスの間でのみやり取りを行います。ユーザーとクラウドサービスの間、またシングルサインオンサービスとクラウドサービスの間では、「SAMLリクエスト」と「リクエストに対する回答」のみを行い、ID・パスワード情報のやり取りを行いません。初回のシングルサインオン時に、スマートカードのパスワードを入力し認証を行う方式です。一度サインオンを行った後、他のアプリケーションの認証時にはパスワード入力が不要となります。スマートカードベースのシングルサインオンでは、クライアント証明書かパスワードをスマートカード自体に保存し、利用できます。「エージェント方式」ともとも呼ばれます。(クッキー)を利用した方式です。Webアプリケーションのサーバーに、ユーザーの代理人(エージェント)となるアプリを入れます。このアプリがシングルサインオンサーバーに認証情報を確認し、認証できたらcookieを発行する、という流れです。初回のログイン時には、シングルサインオンサーバーに認証情報を確認しに行きますが、二度目以降のログインでは、Webアプリケーションのサーバー側で既にcookieを持っているため、cookieの所有者のみを確認しにいく、という動作を行います。「リバースプロキシ方式」とも呼ばれます。リバースプロキシ型は、シングルサインオン対象となるサーバーに対するアクセス時に、必ずリバースプロキシサーバーを経由します。初回のアクセス時に、IDとパスワードを入力すると、シングルサインオンを管理するサーバーがcookieを発行し、リバースプロキシに送ります。2回目以降の認証の際にリバースプロキシサーバーは、既に持っているcookieにあるID情報だけを、シングルサインオンを行うサーバーに送ります。リバースプロキシとシングルサインオン先のサーバーはあらかじめ連携しているため、再度パスワードを入れずともログインできます。シングルサインオンのメリット企業がシングルサインオンを利用するメリットは、以下の通りとなります。複数のシステムを利用する際に、都度パスワードを入力する手間を省略できる。システム利用者のパスワード忘れ、パスワード入力ミスによるアカウントロック、パスワード再発行といった手間を削減できる。システム利用者のパスワード関連の問題に対応するための人員(情報システム部のヘルプデスクなど)、コストを削減できる。用いることで)第三者にパスワード情報を渡すことなく、第三者のシステムへのサインオンが可能となる。このため、パスワード漏洩リスクを低減することにつながる。昨今、企業におけるクラウドサービスの利用が普及したため、クラウド経由で提供される第三者のサービス上に、企業の機密情報を保管することが当たり前となっています。逆に言えば、第三者のサービスに対する不正アクセスにより、企業の機密情報や従業員の認証情報が漏えいする危険がこれ以上ないほど高まっています。ここで、SAMLといった規格を利用すると、そもそもクラウドサービス側にパスワードを保存させずに認証を行えるため、安全性の向上に役立ちます。無料で使える「トラスト・ログイン」の資料請求はこちらまた、SAMLに対応していない場合においては、パスワードを第三者のクラウドサービスが保管することになります。この場合、ユーザーは各クラウドサービスごとに別な複雑なパスワードを作成する必要があります。いえ、それぞれ別の複雑なパスワードを記憶するのは難しいため、異なる複数のサービスで同じパスワードを利用してしまいがちです。いわゆる「パスワードの使い回し」です。シングルサインオン製品によっては、複数のパスワードを製品上に登録しておくことが可能であるため、「複雑で使い回しではないパスワード」を「自分で記憶」ではなく「シングルサインオン製品に登録」して利用できます。これにより、別々なパスワードを何十個でも安全に扱うことができます。シングルサインオンのデメリット次に、シングルサインオンのデメリットについて理解しておきましょう。シングルサインオン製品自体に不正アクセスされると、シングルサインオン製品の先にあるシステム・サービス全てに不正アクセスできてしまう。製品によって費用が高額となる。従業員数が多い企業にとっては、年間億単位の負担が求められる場合がある。リバースプロキシ型のように、一点にアクセスが集中する方式の場合は、シングルサインオンの認証速度に遅延がみられる場合がある。技術的なデメリットについてですが、シングルサインオン製品自体の認証が破られると、紐づく全てのシステムにアクセスし放題となってしまうという点です。この批判はかなり昔からなされていますが、「他の認証と併用することでシングルサインオンへのセキュリティを高める」ことでほぼ解決されていると言えます。「クライアント認証書を端末に入れ、シングルサインオン利用時には認証書の確認を行う」「シングルサインオン利用時に利用可能なIPアドレスを制限する」「シングルサインオンのパスワードを入力後に、ワンタイムパスワードの入力も合わせて求められる」「パスワードと生体認証を併用する」といったものです。仮にパスワードが破られても、他の認証が同時に破られない限りは、不正アクセスを防止できます。実際、2019年8月にマイクロソフトは、「多要素認証を利用することで、自動化された攻撃の99.9%を防ぐことができる」という調査レポートを発表しており、多要素認証の強度の高さを裏付けた形になっています。費用が高額であるという点ですが、多くのシングルサインオン製品は「従業員(ユーザー)1人あたり月額費用いくら」という従量制の課金形態をとっているためです。(5457万円)、2万人いると1億円を超える年額費用が必要となります。導入ユーザー数のスケールメリットを生かせずに、ユーザー数が多ければ多いほどコストが正比例で増大していく点が「コストが高い」と言われる理由です。年間費用を抑えるには、「必要な従業員だけ利用させる」「必要なプランだけを選択する」「必要なオプションだけを追加する」「機能で比較して安価な製品を選択する」といった方法があります。必要な機能だけ選んで利用することで、コストを抑えられる当社のシングルサインオン製品「トラスト・ログイン」を利用するのもよいでしょう。最後に、認証の速度についてですが、リバースプロキシ型でその仕組み上、アクセス集中時の速度に弱点がありますが、他の方式では、よほど大多数のユーザーが一気にアクセスしない限り、認証速度で問題が生じることは少ないと思われます。シングルサインオンの将来クラウドやスマートフォン、BYOD(個人端末の業務利用)が普及し、企業・組織の機密情報が外部に保管されることが増加したため、認証先(クラウドサービスなど)と認証を行う端末(企業PC、個人PC、企業スマホ、個人スマホなど)が増加しています。これにより、認証が求められる場面が急増したため、シングルサインオンの必要性は高まっています。シングルサインオンに求められるセキュリティも高まっていると言えます。シングルサインオンは2つの方向性があると言えます。1.パスワードを利用する多要素認証1つは、「シングルサインオン時に複数の認証要素を用いてセキュリティを高める」という方向性です。一般的に「多要素認証」と呼ばれていますが、パスワード認証に加えて、クライアント証明書、ワンタイムパスワード(OTP)、スマートフォンアプリによる認証(Authenticator認証含む)、指紋や静脈などの生体認証を併用することで、シングルサインオン時のセキュリティを高めるというものです。本人の肉体を認証に利用する知識要素パスワード、誕生日、秘密の質問など本人のみが知っている情報を認証に利用する所持情報ICカード、Authenticatorの数列、物理トークンなど、物理的またはソフトウェア的に所持しているデバイス上にある情報を認証に利用するシングルサインオン時に、パスワードのみを用いた場合、認証要素は1つとなりますが、これに別な要素を加えると認証要素は2つ、または3つとなり、セキュリティを高めることができます。パスワード認証(知識要素)と、指紋認証(生体情報)を組み合わせる、パスワード認証(知識要素)とクライアント証明書(所持要素)を組み合わせる、といった具合です。パスワードを利用する多要素認証シングルサインオンは、当社シングルサインオンサービス「トラスト・ログイン」を含め、現在既に多くのシングルサインオンサービスで導入されています。2.パスワードを利用しない多要素認証もう1つは、パスワードを利用しない認証です。現在、アメリカの大手IT企業やITベンチャーを中心に「脱パスワード」の動きが出始めています。(パスワードのない世界を作る)[英文ブログ]」というセキュリティブログを投稿しています。このブログでは、パスワードの長所は「どの端末でも使える」「(記憶だけすればよいので)持ち運べる」「簡単に導入展開できる」としたうえで、「安全でない」「不便」「(安全対策なども含めると)高価」であるとしています。Authenticatorアプリ、生体認証デバイスの利用)のみを使う、という選択肢を提供しています。パスワードのない世界が既に実現されているのがスマートフォンです。入力するのが一般的でした。デバイスの進化により、現在では多くの人は指紋認証や顔認証、Androidのパターン認証(表示される9つの点を指でなぞる)を利用し、都度パスワードを入力する人は急減しています。した脱パスワードの流れはシングルサインオンにも及んでおり、パスワード以外の認証方式を併用することでシングルサインオンを行うサービスを提供するベンチャー企業も登場しています。・参考記事パスワードが不要な時代がやって来る?この流れを促進させているのはFIDOです。Onlineの略で、オンラインサービスにアクセスする際に、パスワードを使わずに認証を行う規格を策定する組織です。2019年9月現在注目を集めているのが、FIDO2という規格で、既にヤフージャパンなどが対応をはじめています。[オンラインサービス担当者必読]このように、現在のIT企業の動向を見ると長期的には、パスワードを利用しないシングルサインオンサービスが一般的になる可能性が高いです。短期的・中期的にに見ると、パスワードを利用しないシングルサインオンサービスは、対応しているサービスがまだ少ないため、シングルサインオンからパスワードを根絶されるのは当面先になるでしょう。よって、シングルサインオンにおいても、パスワードは当面なくならない、という前提に立ったうえで、セキュリティと利便性を両立させる方法や製品を採用すべきでしょう。