シングルサインオンを利用すると、ユーザーは一度ログインするだけで、複数のアプリケーションに認証情報を再度入力することなくアクセスできます。ユーザーはIDプロバイダーに対して認証を行い、プロバイダーはトークンまたはアサーションを発行します。各アプリケーションはプロバイダーを信頼し、トークンを受け入れます。ユーザーはシステム間をシームレスに移動できます。IT部門は、数十もの認証情報ではなく、1つの認証情報セットを管理すれば済みます。

SSOはセキュリティとユーザビリティを向上させます。パスワードが減れば、パスワードの使い回しやヘルプデスクへの問い合わせも減ります。認証が一元化されるため、多要素認証（MFA）の適用や、退職時のアクセス権の取り消しが容易になります。しかし、同時にリスクも集中します。IDプロバイダーが侵害されると、接続されているすべてのアプリケーションが危険にさらされます。2020年のSolarWinds攻撃では、SAMLトークンの偽造によってSSOを回避し、Microsoft 365アカウントにアクセスしました。この手法は、トークンの検証方法の脆弱性を悪用したものです。SSOは万能薬ではありません。プロバイダー側​​での強力な認証、異常なトークン使用の監視、そして慎重な設定が必要です。適切に実装すれば、攻撃対象領域を縮小し、ユーザーエクスペリエンスを向上させます。しかし、不適切に実装すれば、攻撃者が見つけやすい単一障害点を作り出してしまいます。

SSOプロトコル

• SAML — XMLベースで、エンタープライズアプリケーションでよく使用される
• OAuth 2.0 — 広く使用されている認証フレームワーク
• OpenID Connect — OAuthの上に構築された認証レイヤー
• Kerberos — チケットベースで、Windows環境でよく使われる。

SSOは便利であると同時に、同じくらい危険でもある。その便利さゆえに普及し、その危険さゆえに慎重なセキュリティ強化が必要となる。