Salesforce セキュリティ：シングルサインオン（SSO）の概念に飛び込む
ブラウザベースの認証と認可について話す、学びの多い旅を続けています。今日はさらに深く掘り下げ、シングルサインオン（SSO）の複雑な網の目と、外部の ID プロバイダーが Salesforce への認証を制御するという考え方を解きほぐします。
ID プロバイダーとしての Salesforce
手順1：Salesforce の認証サーバーで認証が成立します。
手順2：セッションが生成され、インスタンスの Web サーバーへと進みます。
手順3：その後認可が与えられ、ページとリソースにアクセスできるようになります。
では、別のシステムが認証を管理している場合はどうでしょう？ ここでサードパーティのシングルサインオンの出番です。
[caption id="" align=“alignnone” width=“1780”]
外部 ID プロバイダー（IdP）の認証フローの概要 [/caption]
サードパーティの SSO：全体を俯瞰する
サードパーティが ID プロバイダーになる場合：
手順1：サードパーティの ID プロバイダー（IdP）が認証を行います。
手順2：SAML アサーションのトークンが Salesforce の認証サーバーに中継されます。
手順3：検証されると、このセッションによってブラウザが Salesforce のインスタンスの Web サーバーにアクセスでき、その後の認可が進みます。
SSO の用語を読み解く
[caption id="" align=“alignnone” width=“1800”]
複数のサービスプロバイダーを持つシングルサインオンの概要 [/caption]
サービスプロバイダー（SP）： Salesforce、Workday など、一つの ID プロバイダー（IDP）の下にまとめられた保護されたシステムのことです。
ID プロバイダー（IDP）： 中心となる ID の拠点で、通常は業務用の本格的なシステムが、ユーザーの認証を管理します。
ID ストア： Salesforce の中、または Active Directory や LDAP のような外部にある保管庫で、認証情報を保持します。重要なのは、セキュリティを高めるためにパスワードがハッシュ化された形式で保存されることです。
デジタル証明書： ID プロバイダー（IDP）とサービスプロバイダー（SP）の間に信頼関係を築き、スムーズで安全な受け渡しを保証するために使われます。
SAML アサーション： IDP と SP の間でやり取りされるトークンで、ユーザーの身元を確認します。
シングルサインオンの利点
ユーザー体験の簡素化： 一つの IDP が複数のサービスプロバイダーを統括するので、ユーザーは一組の認証情報だけで済み、パスワード疲れや弱いパスワードのリスクが減ります。
一元化されたセキュリティ： 全体を統括する IDP があれば一貫したセキュリティ基準を保てるので、あるアプリケーションのセキュリティの仕組みが弱くても、ユーザーは守られます。
効率的な管理： 従業員が辞めたり侵害が疑われたりしたときは、中心の IDP からすぐにアクセスを取り消せるので、即座にセキュリティ対応ができます。
一貫性： パスワードの回復とリセットの仕組みが一つになるので、統一性が保たれます。
シングルサインオンの実際
ユーザーが一日の始まりに、Salesforce のようなサービスプロバイダーにアクセスするところを想像してください。SAML リクエストが IDP に送られます。認証に成功すると、SAML レスポンス（SAML アサーション）がサービスプロバイダーに返されます。このやり取りでユーザーの身元が確認され、スムーズに移動できる体験が実現します。
まとめ
SSO は現代のデジタルセキュリティの要であり、IDP の注意深い目のもとで、複数のプラットフォームにまたがるユーザーのアクセスを合理化します。今日は SSO の基本的な概念と利点を紹介しました。
今後のセッションでは、さらに多くの構成要素を掘り下げていきます。引き続きお付き合いください。
STA 3.3