シングルサインオン
単一のログインを使用して複数の関連システムのいずれかにアクセスすることができる仕組み
From Wikipedia, the free encyclopedia
シングルサインオン（英語：single sign-on、略称：SSO）は、一度のユーザ認証処理によって、独立した複数のソフトウェアシステム上のリソースが利用可能になる機能または環境である[1]。シングルサインオンによって、ユーザはシステムごとにユーザIDとパスワードの組を入力する必要がなくなる。
また、アイデンティティ管理を連邦化（federate）することによって、ひとつの組織（管理ドメイン）を超えて他の管理ドメインのWebサーバにも同一のユーザIDとパスワードの組でログインできるようにする処理も、しばしば「シングルサインオン」と呼ばれている。ユーザ認証結果をクレデンシャル（SAMLアサーションやOpenID ConnectのIDトークン）によって伝えて実現させるが、通常、各Webサーバに同一のユーザIDとパスワードの組を入力する必要がある。
必ずしも一度（single）の処理にならない実装についても含めるために「reduced sign-on」という用語が使われることがある[2]。
便益
批評
要求されるセキュリティレベルが異なるWebサーバに対して、同一のユーザIDとパスワードの組を入力させるのが適切ではない場合がある。
実装方式
イントラネット内のファイルサーバに対してシングルサインオンを実現する方式には次のものがある。
- ケルベロス認証
- ケルベロス認証はWindowsネットワークにおける「Integrated Windows Authentication」にも実装されている。
イントラネット内のWebサーバに対してシングルサインオンを実現する方式には次のものがある [4]。
- リバースプロキシ型
- リバースプロキシを介在させて処理する方式。ディジタル証明書を利用する場合もある。
- エージェント型
- 対象となるWebサーバに「エージェント」と呼ばれる専用のソフトウェアを導入し、エージェントによる処理をディレクトリ・サービスから統合管理する方式。HTTP cookieが利用されている。
連邦化された（federated）アイデンティティで複数のWebサーバに対して「Reduced sign-on」を実現する方式には次のものがある。
