SAML証明書の期限切れでSSOを止めないための無停止ローテーションガイド
SAML署名証明書の役割から、期限前の切り替え計画、新旧証明書の併用、ロールバック、監査記録までを解説します。
正常に動いていたSAML SSOが、ある日すべてのユーザーで同時に失敗する場合、原因は複雑なコードではなく証明書の期限切れかもしれません。SAML署名証明書は、IdPから届いた認証レスポンスが改ざんされていないことをSPが確認するための信頼の鍵です。期限が切れた場合や、SPに登録された公開証明書とIdPの署名鍵が一致しない場合、正規ユーザーもログインできません。
証明書のローテーションは、単なるファイル交換ではありません。鍵を替えながら、顧客ごとの錠前も順番に合わせる作業です。複数の顧客へSAMLを提供するB2B SaaSでは、期限より前に影響範囲、切り替え期間、ロールバック方法を準備する必要があります。
最初に証明書の役割と管理者を区別する
SAML設定には、IdP署名証明書、SP証明書、TLS証明書が並ぶことがありますが、それぞれ役割が異なります。何を交換するのか、秘密鍵を誰が管理するのか、どのメタデータとSP設定に影響するのかを確認しましょう。プロトコルの構造はOIDCとSAMLの比較でも確認できます。
有効期限だけでは管理できない
顧客とアプリごとに、次の項目を一覧化します。
• 証明書のフィンガープリントと有効期間
• 接続するテナント、SP、ACS URL
• メタデータの自動更新または手動登録の別
• 顧客側の担当者と変更に必要なリードタイム
• 最終ログイン成功時刻と確認方法
一つの証明書を複数テナントで共有すると、切り替え失敗の影響も広がります。顧客ごとの境界設計はマルチテナントIdPの分離を参考にしてください。
無停止切り替えには新旧の重複期間が必要
可能であれば新しい証明書を先に配布し、一定期間は旧証明書でも検証できるようにします。SPが複数証明書に対応しない場合は、顧客ごとに切り替え時刻を決め、その直前に新証明書を登録してすぐにテストします。
推奨する切り替え手順
- 期限より十分前に対象アプリと担当者を確定します。
- 新しい秘密鍵と証明書を安全に生成し、秘密鍵へのアクセスを最小限にします。
- 新証明書を含むメタデータ、またはフィンガープリントを顧客へ渡します。
- テストアカウントでSP起点とIdP起点のログインを確認します。
- 失敗率と署名検証エラーを監視してから旧鍵を廃止します。
旧鍵を早く廃止すると、まだ更新していない顧客がログインできません。一方、長く残しすぎると、廃止予定の鍵が露出する期間も延びます。併用の終了時刻とロールバック条件を明確にしましょう。フロー別の確認ポイントはIdP起点とSP起点のSSOでも解説しています。
切り替え作業も監査可能な記録にする
誰が、いつ、どの証明書を作成・配布したか、どのSPが切り替わったか、テスト結果と旧鍵の廃止時刻を記録します。ただし、秘密鍵や機密値をログやチケットに残してはいけません。障害時の旧証明書への復旧、対象SPの一時除外、顧客への通知基準も事前に決めておきます。
AxiPassは、SaaS企業が顧客ごとのSAML SP設定と証明書ローテーション、OIDC SSO、SCIM、MFA、SWA、監査ログを一元運用できるよう支援します。期限直前に慌てるのではなく、繰り返せる手順でログインの継続性と顧客の信頼を守りましょう。