IdP起点とSP起点のSSO、どちらのログインフローを選ぶべきか
IdPポータルとSaaSのどちらからログインを始めるかで変わるSSOの仕組み、セキュリティ確認項目、運用基準を解説します。
SSO連携では、OIDCとSAMLを選べば設計が終わると思われがちです。しかし、実際の利用体験は「どこからログインを始めるか」で大きく変わります。IdPポータルでアプリを選ぶIdP起点と、SaaSのログイン画面から進むSP起点です。
どちらか一方が常に安全、または便利というわけではありません。顧客の業務動線、利用するプロトコル、リクエストを検証できる範囲に合わせて標準フローを決め、もう一方を許可するか管理する必要があります。
IdP起点はアプリポータルから始まる
ユーザーが会社のIdPポータルにログインし、アプリのタイルを選ぶと、IdPが認証結果をSaaSへ送ります。複数の業務アプリを一つの画面から探せるため、社内ポータルを中心に働く組織には分かりやすい方式です。
便利でもリクエストの文脈が限られる
SAMLでは、IdPが先にレスポンスを作る構成がよく使われます。この場合、SaaSが最初に送った認証リクエストがないため、リクエストとレスポンスの対応を確認しにくく、ユーザーが開こうとしていた詳細画面へ戻すことにも制約があります。署名、対象サービス、ACS URL、有効期限、再利用防止を厳格に検証する必要があります。
SP起点はSaaSから始まる
ユーザーがSaaSのログインボタンを押すか、保護された画面へアクセスすると、SaaSがIdPへ認証リクエストを送ります。認証後は、検証済みのレスポンスとともに元の画面へ戻ります。連携全体の流れはSSO SP連携ガイドでも確認できます。
リクエストとレスポンスを結び付けやすい
SP起点では、リクエストID、state、nonceなどを使い、一つのログイン試行とレスポンスを対応させられます。OIDCではこの方式が一般的で、state、nonce、リダイレクトURIの検証が重要です。プロトコルの選び方はOIDCとSAMLの比較を参考にしてください。
選定基準は利用動線と検証可能性
次の質問から標準フローを決められます。
• 顧客は中央のアプリポータルから業務を始めるか
• メールアドレスやテナントURLから適切なIdPを判定できるか
• ログイン後に元のページへ安全に戻る必要があるか
• IdP起点を許可する場合、レスポンスの再利用や誤った宛先への送信を防げるか
両方を提供する場合は、開始方式、テナント、アプリ、結果を監査ログに残し、トークンや秘密情報は記録しないことが重要です。セッション期限やログアウトを含む運用基準はSSOセッション管理ガイドと合わせて確認しましょう。
AxiPassで顧客ごとのSSOフローを一貫して運用
AxiPassは、SaaS企業向けのマルチテナントIdPとして、OIDC・SAML SSO、SCIMプロビジョニング、MFA、SWA、監査ログを統合します。顧客ごとにテナントとアプリ設定を分離し、それぞれのログインフローにおける認証とアクセスの記録を一元管理できます。