IdP・SAML(認証の連携)
読み: あいていーひー別名: Identity Provider、IdP、SAML 2.0、ID基盤、ID管理基盤、SP
社員のアカウントと認証をまとめて管理するIdPと、それを各サービスにつなぐ規格SAMLのことです。ログインの流れと、設定で決めることを解説します。
IdP(Identity Provider)は、社員のアカウントと認証をまとめて管理する仕組みです。 「ID基盤」とも呼ばれ、Microsoft Entra ID・Okta・Google Workspace などがよく使われています。
SAML(Security Assertion Markup Language)は、IdPと各サービスのあいだで 「この人は本人だと確認できた」という情報をやりとりする規格です。 IdPとSAMLを使うと、会社のアカウントで各サービスにログインする SSO(シングルサインオン)を実現できます。 SSOを入れる利点はSSOのページで、ここでは連携の仕組みと設定を扱います。
IdPとSPの役割
| 役割 | 例 | |
|---|---|---|
| IdP | 本人かどうかを確かめる(パスワード・2段階認証など) | 会社のID基盤 |
| SP(Service Provider) | IdPの確認の結果を受け取り、ログインさせる | 研修システムなど各サービス |
ログインの流れ
- 利用者がサービスのログイン画面で、会社のアカウントでのログインを選ぶ
- IdPの画面に移り、IdPで本人の確認を受ける
- IdPが、署名を付けた確認の結果をサービスへ渡す
- サービスは署名を確かめ、その人としてログインさせる
サービスの側は、会社のアカウントのパスワードを受け取りません。
設定のときにやりとりする情報
- サービスからIdPへ — 確認の結果の受け取り先のアドレス(ACS URL)と、サービスの識別子(Entity ID)
- IdPからサービスへ — IdPの情報をまとめたメタデータ(署名の確認に使う証明書を含む)
- 対象のメールアドレスのドメイン — どの人をIdPでのログインに回すか
- IdPで割り当てる人 — このサービスを使わせる人やグループ
運用で決めておくこと
パスワードでのログインを残すか SSOを必須にすると、退職者の停止などをIdPに一本化できます。 一方で、IdPの設定に問題が起きたときに管理者が入れる手段を確保しておきます。
証明書の期限 IdPの署名用の証明書には有効期限があります。 更新の際にサービス側の設定も直さないと、ログインできなくなります。
アカウントの作成・停止は別の仕組み SAMLが扱うのはログインだけです。アカウントの作成や停止を自動にするには SCIMを合わせて使います。
パレットLMS・パレットCBTでの扱い
パレットLMSは、組織のIdPとのSAML 2.0によるシングルサインオンに対応しています。 受講者も、会社のアカウントでログインできます。
- スタンダード以上のご契約に含まれます(追加料金はかかりません)。詳しくは料金プランをご覧ください
- IdPからのユーザーの同期(SCIM)も、同じ条件で使えます
- 管理画面へのログインに使う共通のアカウント「パレットID」も、SAML 2.0によるシングルサインオンと、 SCIM 2.0によるユーザーの同期に対応しています。シングルサインオンを必須にして、パスワードでのログインを止めることもできます
認証の設定の全体はセキュリティのページをご覧ください。
