サービスを止めずにIdPを移行する6段階チェックリスト
既存IdPから新しいIdPへ移行する際、ログイン不能やアカウント漏れを減らす方法をOIDC・SAML・SCIM・MFA・監査ログの観点から解説します。
IdP移行は、ログイン画面を一つ変更するだけの作業ではありません。建物を利用しながら入退室ゲートを交換することに似ています。OIDC・SAML連携、ユーザーとグループ、MFAポリシー、セッション、緊急用アカウントが互いに連動しているためです。準備せず一斉に切り替えると、一部のユーザーがログインできなくなったり、退職者のアカウントが残ったりする可能性があります。
近年のIAMで重視されるアイデンティティレジリエンス、最小権限、継続的なアクセスレビューも、「新しいシステムを導入したか」ではなく「移行中も統制を維持できるか」を問います。次の6段階でリスクを分けて管理しましょう。
1. 現在の連携とアカウントを棚卸しする
まず、すべてのアプリをOIDC、SAML、非SSOアプリに分類します。アプリごとの所有者、ログインURL、ユーザー数、グループポリシー、管理者アカウント、証明書・シークレットの有効期限も記録します。プロトコルの違いはOIDCとSAMLの比較で確認できます。
この一覧は単なる資産台帳ではなく、移行の完了条件です。一覧にないアプリはテストからも漏れ、後から「誰も管理していないログイン経路」になりやすいためです。
2. 成功条件と失敗条件を先に決める
ユーザー種別ごとのテストアカウントを用意する
一般ユーザー、管理者、複数グループ所属者、MFA対象者、停止済みアカウントをそれぞれ用意します。ログイン成功だけでなく、アクセス拒否、ログアウト、トークン失効、誤ったグループ権限も確認します。SSOのSP連携ガイドを基準に点検すると、設定漏れを減らせます。
3. アカウントとグループを先にそろえる
認証経路を切り替える前に、ユーザー識別子とグループマッピングを確定します。メールアドレスの大文字・小文字、変更済みアドレス、重複アカウント、部署名の差異は、移行当日のエラーにつながりやすい項目です。SCIMを使う場合は、作成・更新・無効化がテストテナントへ期待どおり反映されるか検証し、手動対応が必要な例外も記録します。
4. アプリを小さな単位で並行移行する
重要度が低く、利用者が少ないアプリから小規模グループに適用します。観察期間中は既存IdPの連携をすぐに削除せず、新しい経路のログイン成功、アクセス拒否、SCIM処理結果を比較します。非SSOアプリはSWAとして分け、標準連携の対象外となるアカウントも同じ移行計画に含めます。
5. 復旧経路を実際に試す
ロールバック基準、担当者、連絡網、旧設定の復元手順を文書化します。IdP障害時に使う緊急用アカウントは通常業務に使わず、MFA、分離保管、定期点検を適用します。詳しい運用原則はSSO緊急用アカウントガイドを参照してください。
6. 移行後に残ったアクセスを回収する
安定稼働を確認したら、旧IdPのアプリ連携、長期セッション、APIトークン、未使用アカウントを順番に終了します。誰がいつポリシーや権限を変更したかを監査ログに残し、一定期間後にアクセス権を再確認して初めて移行完了です。
AxiPassで移行の複雑さを一元管理する
AxiPassは、SaaS企業向けのマルチテナントIdPとして、OIDC、SAML、SCIM、MFA、SWA、監査ログを一つの基盤で提供します。顧客企業ごとにテナントとグループポリシーを分離し、標準SSOアプリと既存の非SSOアプリを一貫したアクセス管理の流れに整理できます。