SAML とは?

SAML には、以下の構成要素があります。

• ID サービス プロバイダー: ユーザーの認証と認可を行います。 ユーザーが資格情報を入力するためのサインイン ページを用意するとともに、セキュリティ ポリシーを施行します。たとえば、多要素認証やパスワードのリセットを必須にします。ユーザーが認可されると、そのデータが ID プロバイダーからサービス プロバイダーに渡されます。
  
  
• サービス プロバイダー: 人々がアクセスしようとするアプリや Web サイトのことです。 個々のアプリに人々をサインインさせる代わりに、サービス プロバイダーは SAML 認可を信頼するように自身のソリューションを構成し、ID の確認とアクセスの認可は ID プロバイダーに任せます。
  
  
• メタデータ: ID プロバイダーとサービス プロバイダーがアサーションをどのように交換するかを表します。これにはエンドポイントとテクノロジも含まれます。 
  
  
• アサーション: サインインする人が認証済みであることをサービス プロバイダーに対して証明する認証データです。 
  
  
• 署名証明書: ID プロバイダーとサービス プロバイダーの間の信頼を確立するために、アサーションがその 2 つのプロバイダー間を移動する間に操作されていないことを証明します。 
  
  
• システム クロック: サービス プロバイダーと ID プロバイダーの時間が同じであることを確認します。この目的は、リプレイ攻撃から保護することです。 

SAML には、組織、その従業員、およびパートナーにとって次のような利点があります。

• ユーザー エクスペリエンスの向上。SAML でシングル サインオンが可能になります。つまり、組織の従業員とパートナーは 1 回サインインすれば自分に必要なすべてのアプリにアクセスできるようになります。 これで作業がしやすくなり、利便性も向上します。覚える必要のあるパスワードが少なくなり、ツールを切り替えるたびにサインインする必要がなくなるからです。
  
  
• セキュリティの向上。パスワードの数が少なくなるため、アカウント侵害のリスクが縮小します。 さらに、セキュリティ チームは SAML を使用して強力なセキュリティ ポリシーをすべてのアプリに適用することができます。たとえば、サインイン時に多要素認証を必須にすることや、条件付きアクセス ポリシーを適用して、ユーザーがアクセスできるアプリとデータを制限することができます。 
  
  
• 統合型の管理。SAML を使用すると、ID とセキュリティ ポリシーの管理を 1 つのソリューションでできるようになります。つまり、アプリごとに個別の管理コンソールを使用する必要はありません。 これで、ユーザー プロビジョニングが大幅にシンプルになります。

SAML は、ID プロバイダー (たとえば Microsoft Entra ID) からサービス プロバイダー (たとえば SaaS アプリ) に認証データを渡すための、オープン標準の XML 技術です。
シングル サインオンとは、一度サインインすれば複数の異なる Web サイトやアプリにアクセスできるようになることです。SAML でシングル サインオンを実現できますが、他のテクノロジでシングル サインオンをデプロイすることもできます。

LDAP (Lightweight Directory Access Protocol) は、ユーザー ID の認証と認可に使用される ID 管理プロトコルです。多くのサービス プロバイダーによってサポートされているため、LDAP はシングル サインオンに適したソリューションと言えますが、やや古いテクノロジのため、Web アプリケーションではあまりうまく機能しません。

これよりも新しいテクノロジである SAML は、Web とクラウドの多数のアプリケーションで利用できるため、中央集中型 ID 管理のためのより一般的な選択肢となっています。

多要素認証 (MFA) は、本人であることを証明するために複数の要素を使用することをユーザーに要求するセキュリティ対策です。一般的には、その個人が持っているもの (たとえばデバイス) に加えて、その人が知っているもの (たとえばパスワードや PIN) を要求します。SAML を利用すると、技術チームが多要素認証を複数の Web サイトやアプリに適用することができます。SAML と統合されたすべてのアプリにこのレベルの認証を適用することも、多要素認証を一部のアプリだけに適用して他のアプリには適用しないことも可能です。