シングルサインオン

Documentation Index

Fetch the complete documentation index at: https://auth0.generaltranslation.app/llms.txt

Use this file to discover all available pages before exploring further.

シングルサインオン（SSO）では、ユーザーが1つのアプリケーションにログインすると、使用しているプラットフォーム・テクノロジー・ドメインの種類に関係なく、他のアプリケーションにも自動的にサインインされます。ユーザーは1回しかサインインしないため、このような名称（シングルサインオン）で呼ばれています。 たとえば、GmailなどのGoogleサービスにログインしたユーザーは、自動的にYouTube、AdSense、Google AnalyticsといったGoogleアプリに認証されます。同様に、GmailなどのGoogleアプリからログアウトすると、自動的にすべてのGoogleアプリからログアウトされます。これを、シングルログアウトと言います。 SSOは、アプリケーションやサービスを使用するユーザーに、シームレスなエクスペリエンスを提供します。ユーザーは、アプリケーション・サービス別に資格情報を覚えておかなくても、一度ログインするだけですべてのアプリケーションにアクセスできます。 ユーザーが認証を必要とするドメインにアクセスすると、必ず認証ドメインにリダイレクトされ、ログインが求められます。ユーザーが認証ドメインにログイン済みの場合には、再度サインインを求めることなく、即座に元のドメインにリダイレクトできます。 シングルサインオンとシングルログアウトはセッションを使って実現されます。SSOでは、ユーザーに最大3つの異なるセッションが関与します。

• アプリケーションが管理するローカルセッション
• 認可サーバーセッション（SSOが有効化されている場合）
• IDプロバイダー（IdP）セッション（ユーザーがGoogleやFacebook、エンタープライズSAML IDプロバイダーなどのIDプロバイダーを通してログインした場合）

SSOの場合は中心となるドメインが認証を行い、そのセッションを他のドメインと共有します。セッションの共有方法はSSOプロトコル間で異なりますが、一般的な概念は同じです。 たとえば、認証ドメインが署名済みのJSON Web Token （JWT）（JSON Web Encryption（JWE）で暗号化）を生成することもあります。これには、認証を必要とする他のドメインのユーザーを識別するために必要なすべての情報が含まれます。このトークンはクライアントに渡されますが、署名付きであるため、クライアントが変更を加えることはできません。トークンは、リダイレクトによって元のドメインに渡されたり、認証ドメインや他のドメインによってユーザーの本人確認のために使用されたりします。 シングルサインオン（SSO）とAuth0を手軽で最も安全に実装するには、認証にユニバーサルログインを使用します。実際、アプリケーションがユニバーサルログインを使用している場合、現在のSSOの実装は、ネイティブプラットフォーム（iOSやAndroidなど）でのみ可能です。SwiftとAndroidのクイックスタートには、ユニバーサルログインの使用例が紹介されています。 アプリケーションでユニバーサルログインを使用できない場合は、埋め込み認証について、以下の追加情報を確認してください。

• Lock
• Auth0.js

Auth0を使用したSSOの場合、 中央サービス はAuth0認可サーバーです。 ユーザーが初めてログインする際のSSOフローの例を見てみましょう。

1. アプリケーションがユーザーをログインページへリダイレクトします。
2. Auth0が、SSOクッキーの存在を確認します。
3. ユーザーは、初めてログインページを訪問していてSSOのクッキーがないため、構成した接続の1つを使ってログインするよう求められます。
   
4. ユーザーがログインすると、Auth0がSSOのクッキーを設定してユーザーをアプリケーションへリダイレクトし、ユーザーの身元情報を含んだIDトークンを返します。

ユーザーが再びWebサイトに戻ってきたときのSSOフローの例を見てみましょう。

1. アプリケーションがユーザーをログインページへリダイレクトします。
2. Auth0が、SSOクッキーの存在を確認します。
3. Auth0がSSOのクッキーを見つけ、必要であれば更新します。ログイン画面は表示されません。
4. Auth0がユーザーをアプリケーションへリダイレクトし、ユーザーの身元情報を含んだIDトークンを返します。

auth0.js SDKのcheckSessionメソッドを呼び出すと、アプリケーションからユーザーのSSOステータスを確認することができます。このメソッドはiframe内でユーザーを暗黙に認証しようとします。認証が成功するかどうかは、ユーザーに有効なSSOのクッキーがあるかどうかによって決まります。 Security Assertion Markup Language（SAML）とWebサービスフェデレーション（WS-Fed）はどちらもSSOの実装に広く使用されているプロトコルです。SAMLとWS-Fedは、どちらもXML形式の認可・認証データを交換します。主要な部分は、ユーザー・IDプロバイダー・サービスプロバイダーです。 SAMLまたはWS-Fedでは：

1. ユーザーがサービスプロバイダーからのリソースを要求します。
2. サービスプロバイダーは、ユーザーにリソースへのアクセスを許可すべきか、IDプロバイダーに確認を取ります。
3. IDプロバイダーは、ユーザーの身元を検証し、有効であれば、ユーザーによるアクセスを許可するようサービスプロバイダーに伝えます。

OpenID Connect（OIDC）は、消費者向けのSSO実装で広く使用されている認証プロトコルです。OIDCプロトコルは、JSON Web Tokenと中央IDプロバイダーを介して認証を処理します。 OIDCでは：

1. ユーザーがアプリケーションへのアクセスを要求します。
2. アプリケーションは、認証のためにユーザーをIDプロバイダーへリダイレクトします。
3. IDプロバイダーはユーザーを検証し、成功すると、ユーザーにアプリケーションへのデータアクセス権を付与するよう求めます。
4. アクセス権が付与されると、IDプロバイダーは、IDトークンを生成します。このトークンには、アプリケーションが使用できるユーザー身元情報が含まれます。
5. IDプロバイダーがユーザーをアプリケーションへ戻します。

Lightweight Directory Access Protocol（LDAP）は、複数のアプリケーションで共有できる資格情報のディレクトリにアクセスするためのアプリケーションプトロコルで、イントラネットで広く使用されています。Active Directory（AD）と併用することでユーザーIDの一元管理が可能になり、アプリケーションはLDAP/ADサーバーに認証要求を送信するようになります。LDAPプロトコルは、LDAP Data Interchange Format（LDIF）で情報を交換します。 SP-initiated SSOでは、Auth0がSSOサービスプロバイダー（SP）になります。 ユーザーがアプリケーションにログインすると：

1. アプリケーションがユーザーに1つ以上の外部IDプロバイダーを提示します。
2. ユーザーが認証に使用するIDプロバイダーを選択してログインします。
3. 認証が成功すると、ユーザーがアプリケーションへ戻されます。

Auth0では、SP起点のSSOは接続別に処理されます。 IdP起点SSOでは、サードパーティーのIDプロバイダー（IdP）がSSOプロバイダーになります。 ユーザーがアプリケーションにログインすると：

1. アプリケーションがユーザーをIDプロバイダーにリダイレクトします。
2. サードパーティのIDプロバイダーが認証と認可を行います。
3. 認証が成功すると、ユーザーがアプリケーションへ戻されます。

IdP起点SSOの実装を計画するときに、Auth0のSSO Dashboard拡張機能の使用を選んだ場合には、SSOに有効化できる複数のエンタープライズアプリケーションをダッシュボードが一覧表示するように作成できます。その場合には、ログインするユーザーにそのダッシュボードが表示されます。 企業間（B2B）のシナリオでは、SSOにより、エンタープライズで使用するアプリケーションのパッケージ化が簡単になります。Auth0を使用すると、Active Directory（AD）、Lightweight Directory Access Protocol（LDAP）、Ping・Security Assertion Markup Language（SAML）など、一般的なエンタープライズフェデレーションのシナリオにアプリケーションを対応させることができます。そのため、パートナーや企業顧客は、各自のエンタープライズID技術を使ってログインできます。

• 事例研究：O’Reilly

企業と消費者間（B2C）またはCustomer Identity Access Management（CIAM）のシナリオでは、SSOによりアプリケーションやサービスにスムーズなアクセスを提供できます。お客様にアカウントの作成を要求するのではなく、Google・Facebook・LinkedIn・X・Microsoftなど、人気のソーシャルIDプロバイダーで認証できるようにします。

• 事例研究：Giving Compass

• サービスプロバイダー開始のシングルサインオン
• IDプロバイダー開始のシングルサインオン
• シングルサインオンのAPIエンドポイント
• SAML構成のトラブルシューティング
• 接続を確認する