Saml認証とSSO(シングルサインオン)について

投稿日：2024年4月11日

現在の案件ではSaml認証でSSO(シングルサインオン)をつかっているのでこちらについての調査を。

Contents

認証情報をやりとりする書式のようです。そもそもがSaml=SecurityAssertionMarkupLanguageになります。

XML形式でユーザーの認識情報をやりとりするようで、異なるインターネットドメイン間でユーザーの認証情報を交換することでシングルサインオン(=1回認証を通れば、関連するすべてのサービスが使える)を実現する場合によく使われます。

現場ではMicrosoftアカウントにログインをすると、他のサービスでも自動的にログインができるようになっています。

これだけ聞くと、Oauthと近いのかな？なんておもわれることが多いと思いますが、Oauthとの違いとして、「認証(=本人か否かの特定)」と「認可(=ある行動をとってよいかいなか)」の違いがあるようです。

Oauth=単純なアクセス権の付与、認可。

Saml=ユーザー自体の特定を行う、認証。

登場人部としては

ユーザー・・読んで字の如くログインするユーザーです。

Idp(IDプロパイダー)・・ユーザーの認証情報を管理し、ユーザーがサービスにアクセスしようとした際の認証を行います。例 Microsoftアカウント

SP(サービスプロバイダー)・・ユーザーが利用するクラウドサービスやWebアプリケーションになります。例上記のアカウントを利用したWebサービス

簡単なフローは下記のようになります。実際にログインしていると下記が高速に行われます。

あるサービスにログインできれば、他の関連したサービスにもログインできるため、パスワードを覚える必要がなく、そういった意味ではセキュリティリスクの低減につながります。

SSOのメリットですが、一度のログインで複数のアプリケーションにアクセスできるため、大変効率的です。(個人的には確かにメリットが大きいなあと思っております。)

Idpを経由してすべてのサービスにアクセスしているため、SSOに依存しているサービスが停止すると、連携しているサービスの全てへのアクセスが困難になります。

SSOで一元管理されているため、Idpサービスの認証を突破されてしまうと情報漏洩被害の影響が広範囲に及びます。

参考リンク

SAML（読：サムル）とは