SSO
SSO（シングルサインオン）とは。SAMLとOpenID Connectの違いと、SaaS導入時の確認項目
SSOは、1回のログインで複数のサービスを使えるようにする仕組みです。IdPとSPの関係、SAML 2.0とOpenID Connectの違い、メリットと注意点を整理し、SaaSを導入するときに情報システム部門が確認する項目と、退職者のアクセスを止める確認の手順を紹介します。
更新日：執筆・運営：Klang AI AB
SSOの仕組み：IdPとSP
SSOには2つの役割が登場します。認証する側がIdP、ログインされる側がSP（またはRP）です。
- 01
利用者がSaaSを開く
ログインしていなければ、SaaSは利用者を会社のIdPへ送ります。
- 02
IdPで認証する
利用者はIdPでログインします（すでにログイン済みなら省略されます）。多要素認証もここで行います。
- 03
認証結果をSaaSに渡す
IdPは、署名した認証結果をSaaSに渡します。SaaSはその署名を検証し、ログインを許可します。
| 役割 | 意味 | 例 |
|---|---|---|
| IdP（IDプロバイダー） | 利用者を認証し、その結果をサービスに伝える | 会社のID管理サービス（Microsoft Entra ID、Okta、Google Workspaceなど） |
| SP（サービスプロバイダー） | IdPの認証結果を受け取り、ログインを許可する | 業務で使うSaaS |
| 利用者 | IdPで一度ログインし、各サービスを使う | 従業員 |
SAML 2.0とOpenID Connectの違い
どちらもSSOを実現する標準の方式です。利用者から見た違いはほとんどなく、主に技術的な仕組みと、得意な場面が異なります。
SaaSを選ぶときに大切なのは、自社のIdPが対応している方式と、SaaSが対応している方式が一致していることです。主要なIdPは両方に対応していることが多いため、両方に対応したSaaSであれば、組み合わせで困ることは少なくなります。
| 観点 | SAML 2.0 | OpenID Connect |
|---|---|---|
| 策定 | OASIS | OpenID Foundation |
| データの形式 | XML | JSON（IDトークンはJWT） |
| 土台の技術 | 独自の仕様 | OAuth 2.0の上に認証を追加 |
| よく使われる場面 | 企業向けのWebアプリ、以前からある業務システム | Webアプリとスマホアプリ、新しいサービス |
SSOのメリットと注意点
SSOは利便性のための仕組みと思われがちですが、企業にとっての主な価値は管理のしやすさにあります。
退職者のアクセスを一括で止められる
IdPでアカウントを無効にすれば、連携したサービスにはログインできなくなります。サービスごとの削除漏れを防げます。
パスワードの使い回しが減る
覚えるパスワードが1つになり、サービスごとの弱いパスワードや使い回しが減ります。
多要素認証をまとめてかけられる
IdP側で多要素認証を必須にすれば、連携したすべてのサービスに適用されます。
注意：IdPが止まると全部止まる
IdPに障害が起きると、連携したサービスすべてにログインできなくなります。緊急用の管理者アカウントの扱いを決めておきます。
注意：IdPのアカウントが狙われる
1つのアカウントで多くのサービスに入れるため、IdPのアカウントの保護（多要素認証）が前提になります。
注意：SSO以外のログインが残る
SSOを設定しても、メールとパスワードでのログインが残っていると、IdPで止めても入れてしまう場合があります。
SaaS導入時のSSO確認項目
情報システム部門がSaaSを審査するときに、SSOについて確認する項目です。営業資料に「SSO対応」とあっても、条件が付いていることがあります。
SCIMは、IdPとサービスの間で、利用者の追加・変更・削除を自動で同期するための標準の方式です。SSOがログインの仕組みであるのに対し、SCIMはアカウントの作成と削除の仕組みです。対応の有無はサービスごとに異なるため、個別に確認してください。
| 確認項目 | 確かめること |
|---|---|
| 対応方式 | SAML 2.0、OpenID Connectのどちらに対応しているか |
| 対象プラン | どの料金プランで使えるか。追加料金が必要か |
| SSOの強制 | SSO以外のログイン方法を止められるか |
| アカウントの作成 | 初回ログイン時に自動で作られるか。事前の招待が必要か |
| アカウントの停止 | IdPで止めた利用者が、既存のログイン状態のまま使い続けられないか |
| プロビジョニング | SCIMなどで、IdPの変更（異動・退職）を自動で反映できるか |
| 操作ログ | 誰がいつログインし、何をしたかの記録（監査ログ）を見られるか |
退職者のアクセスを止められるかの確認手順
SSOを設定したら、本番の前に、退職を想定した確認を一度行っておきます。
会議の録音や文字起こしのように、個人が作った記録が業務の資産になるサービスでは、4つ目の確認が特に重要です。個人のアカウントに紐づいて記録が消える、あるいは退職後も個人が見られる状態は、シャドーAIと同じ問題を生みます。
- 01
テスト用の利用者を作る
IdPにテスト用のアカウントを作り、SaaSに割り当ててSSOでログインします。
- 02
IdPでアカウントを止める
ログインした状態のまま、IdPでそのアカウントを無効にします。
- 03
アクセスが止まるかを確かめる
新しくログインできないこと、既存のログイン状態がどのくらいの時間で切れるかを確認します。
- 04
データの扱いを確かめる
そのアカウントが作った記録が、会社の管理下に残るか（ほかの人が引き継げるか）を確認します。
KlangのSSO対応
Klangを例に、AI議事録ツールでのSSOの扱いを示します。
Klangのチームプランは、SAML 2.0とOpenID ConnectによるSSO・IdP連携に対応しています。既存のIdPと連携し、会社のアカウントでログインを管理できます。あわせて、監査ログとアクセス制御、データ保持期間のカスタマイズもチームプランで提供しています。
プロビジョニングの方式や、利用中のIdPとの具体的な設定手順は、要件に応じて個別にご案内します。
会議の記録を、会社のアカウントで管理する
Klangのチームプランは、SAML 2.0・OpenID ConnectによるSSOに対応し、監査ログとアクセス制御で、誰が記録を見て何をしたかを把握できます。
- SSO・IdP連携（SAML 2.0／OpenID Connect）に対応します。
- ISO/IEC 27001:2022（ISMS）の認証を取得しています。
- お客様の会話データをAIモデルの学習に利用しません。
よくある質問
SSOとは何ですか。
シングルサインオンの略で、一度の認証で複数のシステムやクラウドサービスにログインできる仕組みです。認証は会社のID基盤（IdP）にまとめて任せ、各サービスはその結果を受け取ってログインを許可します。
SAMLとOpenID Connectはどちらがよいですか。
どちらもSSOの標準の方式で、優劣より自社のIdPとサービスの対応が一致しているかが大切です。SAML 2.0は企業向けのWebアプリで、OpenID Connectは新しいサービスやスマホアプリで多く使われます。
SSOとSCIMの違いは何ですか。
SSOはログインの仕組み、SCIMはアカウントの作成・変更・削除を自動で同期する仕組みです。SSOだけでもIdPでログインを止められますが、サービス側のアカウントを自動で整理するにはSCIMなどのプロビジョニングが必要です。
SSOを導入すればセキュリティは十分ですか。
SSOは管理を楽にしますが、IdPのアカウントが乗っ取られると多くのサービスに入られます。IdP側で多要素認証を必須にし、SSO以外のログイン方法を止められるかも確認してください。
KlangはSSOに対応していますか。
はい。チームプランで、SAML 2.0とOpenID ConnectによるSSO・IdP連携に対応しています。監査ログとアクセス制御、データ保持期間のカスタマイズもチームプランで提供しています。
AI導入ガイド：いまの段階から読む
社内でAIツールを使い始めるまでの流れを、目的の整理、ルールづくり、ツールの審査、承認と定着の4段階に分けています。会議の録音・文字起こしを例にしていますが、ほかのAIツールにも使える手順です。
1. 目的を決める
2. ルールとリスク
3. ツールを審査する
- AIツールのセキュリティチェックシート
- ISMS（ISO/IEC 27001）の読み方
- SSO（SAML・OIDC）の確認項目（このページ）
4. 承認と定着