シングルサインオン

シングル サインオン (SSO) は、1 つのアイデンティティ プロバイダー (IdP) がユーザーを 1 回認証し、その後複数のサービス プロバイダー (SP) (実際のアプリケーション) にアサーションを発行する認証スキームです。ユーザーは 1 か所で資格情報を入力し、接続されているすべてのアプリにアクセスできるようになります。 SSO はエンタープライズ ID 管理の基盤であり、企業 IT がそのように見える理由です。

SSO が存在する理由

代替案 (各アプリには独自のユーザー データベース、パスワード要件、ログイン フローがあります) には明らかな問題があります。

• ユーザーはアプリごとに異なるパスワードを使用しており、パスワードの再利用や脆弱なパスワードにつながる
• オンボーディングには 30 以上のアカウントのプロビジョニングが必要ですシステム
• オフボードにはすべてのプロビジョニングを解除する必要があり、見逃されることがよくあります
• 誰が何にアクセスできるかを監査するのは悪夢です
• MFA構成はすべてのシステムにわたって増加します

SSOはアイデンティティを統合します。 1 つのアカウント、1 つの MFA セットアップ、1 つの場所でポリシーを適用します。 IdP で従業員を追加または削除すると、アクセスはあらゆる場所に伝播されます。

2 つのプロトコル

• SAML 2.0 (Security Assertion Markup Language、2005) — XML ベースで成熟し、企業内で主流です。ほとんどの従来の企業 SSO の背後にあるプロトコル。冗長で複雑で、セキュリティ上の落とし穴がたくさんありますが、広くサポートされています。
• OpenID Connect (OIDC) — JSON ベースで、よりシンプルで、OAuth 2.0 に基づいて構築されています。消費者および現代の企業で主流。すべての「サインイン...」ボタンで使用されます。

SAML と OIDC は同様のことを実現します。 SAML が最初に発生し、定着しました。 OIDC は、新しい展開の最新のデフォルトです。

SAML フロー

S簡略化:

1. ユーザーがアプリ (SP) にアクセスします。 SP は有効なセッションを認識しません。
2. SP は、SAML AuthnRequest を使用してユーザーのブラウザを IdP にリダイレクトします。
3. IdP はユーザーを認証します (まだ認証されていない場合)。
4. IdP は、ユーザーの ID、属性 (電子メール、部門、グループ)、および有効性を含む署名付き SAML アサーションを作成します。 window.
5. IdP は、アサーションを使用してユーザーのブラウザを SP にリダイレクトします。
6. SP は、IdP の署名を検証し、ユーザー情報を抽出し、セッションを作成します。

SP と IdP の間の署名関係は、事前に構成されます (公開キーが交換され、メタデータ XML が交換されます)。新しい SP-IdP 関係のブートストラップは SAML の主な操作作業です。

OIDC フロー

OIDC は OAuth 2.0 + ID クレーム:

1. ユーザーは SP (OIDC では「証明書利用者」と呼ばれます) にアクセスします。
2. RP はユーザーをscope=openid を含む OAuth 認証リクエストを持つ IdP (「OpenID プロバイダー」)。
3. IdP はユーザーを認証し、認証コードを発行します。
4. RP は、ID トークン (ID クレームを含む署名付き JWT) とオプションのアクセス トークンおよびリフレッシュ トークンのコードを交換します。
5. RP は、 IdP の公開された JWKS (JSON Web キー セット) に対する JWT 署名、クレームの抽出、セッションの作成。

ID トークンは SAML のアサーションと同等です。同じ役割で、XML ではなく JSON であり、多くの場合短いです。

ID アサーションの内容

SAML と OIDC の両方carry:

• Subject — ユーザーが誰であるか (IdP での一意の ID)
• Attributes /claims — 電子メール、名前、部門、役割、グループ メンバーシップ、使用される MFA、 etc.
• Validity — 発行時および有効期限のタイムスタンプ
• Signature — IdP が発行したことを証明

グループとロールの伝播

最も便利な SSO 機能の 1 つ: グループIdP からのメンバーシップが SP に流れます。 IdP の「エンジニアリング」グループは、Jira の「管理者」ロール、GitHub の「開発者」、Notion の「編集者」ロールにマッピングできます。 IdP でのグループの変更は、ユーザーの次のセッションに反映されます。これは集中プロビジョニングの魔法です。

SCIM: ログインだけでなくプロビジョニング

SSO はログインを処理します。 SCIM (クロスドメイン ID 管理システム) は、ログイン前にユーザー アカウントの作成、更新、削除を処理します。誰かを雇用すると、IdP は SCIM 経由で接続されているすべてのアプリにそのアカウントをプッシュします。彼らが去ると、アカウントはどこでも無効になるか削除されます。 SCIM + SSO + SAML/OIDC は、標準のエンタープライズ ID スタックです。

主要な ID プロバイダー

• Okta — エンタープライズ中心の強力な SCIM サポート、広範な SP エコシステム
• Microsoft Entra ID (旧 Azure AD) — エンタープライズで主流の Microsoft 365 にバンドル
• Google Workspace — Google のエコシステム上の組織向け IdP
• OneLogin、Ping Identity、JumpCloud — その他の主要な商用プロバイダー
• Keycloak、Authentik、Authelia — オープンソースのセルフホスト型オプション

SSO セキュリティ考慮事項

• IdP が単一障害点になります。 IdP がダウンすると、すべてがダウンします。 IdP が侵害されると、すべてが侵害されます。 IdP には最も強力な認証が必要です (管理者にはハードウェア キー MFA が必須)。
• SAML 署名バイパス。 数年間の CVE により、XML 署名検証を正しく実装するのが難しいことはよく知られています。適切に保守された SAML ライブラリを使用してください。
• RelayState 経由のオープン リダイレクト。 SP は、OAuth スタイルのオープン リダイレクト攻撃を防ぐために RelayState パラメーターを検証する必要があります。
• セッションの有効期間が一致しません。 IdP は「4 時間有効」と表示します。 SP は 30 日間のセッションを作成します。ユーザーが会社を辞めた場合。 SPセッションは継続します。定期的に再認証を強制します。