現代のアイデンティティ：SAML、OIDC、ハイブリッドアプローチ

Security Assertion Markup Language 2.0（SAML）は、エンタープライズ環境でシングルサインオンを実現する XML ベースのオープン標準です。2005 年に標準化され、SAML では Identity Provider（IdP）がデジタル署名付きの XML アサーションを Service Provider（SP）に発行できます。これにより、ユーザーは一度認証するだけで、認証情報を再入力せずに複数のサービスへアクセスできます。

SAML では、Identity Provider（IdP）がユーザーを認証し、アサーションを発行する認証機関です。例として Okta、Microsoft Entra ID、PingFederate があります。Service Provider（SP）は、IdP のアサーションを信頼するアプリケーションです。例として Salesforce、Workday、ServiceNow があります。SP は IdP の署名を信頼してアクセスを許可します。

SAML アサーションには、IdP が RSA または EC の鍵ペアを使ってデジタル署名を付ける必要があり、SP はこれによって真正性を検証できます。アサーションは、転送中の機密性を確保するために暗号化することもできます。SP は署名を検証し、アサーションの NotBefore と NotOnOrAfter のタイムスタンプを確認するとともに、リプレイ攻撃を防ぐために audience 制限を検証する必要があります。

OpenID Connect（OIDC）は OAuth 2.0 上に構築された最新のアイデンティティレイヤーです。SAML と同じく SSO を実現しますが、XML の代わりに JSON と JWT を使用します。2014 年に公開された OIDC は、モバイルアプリ、シングルページアプリケーション、REST API に適しています。一方、SAML は従来型のエンタープライズ Web アプリケーションで引き続き主流です。

OIDC は、OAuth 2.0 の認可フローに ID トークン（アイデンティティのクレームを含む JWT）を追加することで OAuth 2.0 を拡張します。OAuth 2.0 は認可（API への委任アクセス）を処理し、OIDC は認証（ユーザーのアイデンティティの検証）を追加します。OIDC では openid スコープが必須であり、OAuth のアクセストークンとともに ID トークンを返します。

Microsoft Entra ID（旧称 Azure Active Directory）は、フェデレーション SSO 用に SAML と OIDC/OAuth 2.0 の両方をサポートするクラウドネイティブなアイデンティティプロバイダーです。Entra Connect を介してオンプレミスの Active Directory と同期できるため、クラウドとオンプレミスのリソースが単一のアイデンティティディレクトリを共有するハイブリッドなアイデンティティ管理を実現できます。

Active Directory Federation Services（AD FS）は、オンプレミスの Active Directory 向けに SAML および WS-Federation エンドポイントを公開する、Microsoft のオンプレミス フェデレーションサーバーです。AD FS は、レガシーな SAML ベースのアプリケーションと Active Directory の認証情報を橋渡しします。また、ハイブリッド環境では Entra ID とフェデレーションし、クラウドアプリケーションにも SSO を拡張します。

System for Cross-domain Identity Management（SCIM）は、アイデンティティシステムとアプリケーション間のユーザープロビジョニングとプロビジョニング解除を自動化するための REST API 標準です。新しい従業員が Entra ID または Okta に追加されると、SCIM は接続された SaaS アプリケーションに対応するアカウントを自動的に作成し、従業員が退職するとそのアカウントを削除します。

最新のアイデンティティプロバイダーは、アクセスを許可する前にリスクシグナル（デバイスのコンプライアンス、場所、ユーザーの行動）を評価する条件付きアクセス ポリシーを実装しています。これらのポリシーでは、機密性の高いリソースに対してステップアップ多要素認証を要求できます。OIDC または SAML による SSO と組み合わせることで、条件付きアクセスは再認証による煩わしさを抑えながら適応型セキュリティを提供します。

ゼロトラストアーキテクチャでは、アクセスの判断においてネットワーク上の場所を意味のないものとして扱います。企業ネットワークの内部にいるという理由だけで、暗黙の信頼を与えることはありません。Kerberos による境界認証の代わりに、ゼロトラストでは継続的なアイデンティティ検証、デバイスの健全性チェック、最小権限のアクセスポリシーを使用し、OIDC または SAML を介してリソースへのアクセス要求ごとに適用します。

2014 年より前に構築され、すでに SAML をサポートしているレガシーなエンタープライズアプリケーションには SAML を使用します。新しいアプリケーション、モバイルアプリ、SPA、API には OIDC を使用します。どちらも主要な IdP でサポートされているため、選択はセキュリティ上の違いよりも、アプリケーションが既存のどちらをサポートしているかによって決まることが多いです。新規開発では OIDC が推奨されます。

SAML と OIDC の重要な違いを正しく説明している文はどれですか？

SAML 2.0 は、従来型のエンタープライズアプリケーション向けに XML ベースの SSO を提供します。OIDC は JWT トークンを使って OAuth 2.0 にアイデンティティを追加し、最新のアプリケーションに推奨されます。Entra ID はハイブリッドクラウド IdP として両方をサポートします。AD FS はオンプレミスの AD と SAML ベースのアプリケーションを橋渡しします。SCIM はプロビジョニングを自動化します。ゼロトラストは、境界を基盤とする Kerberos を、継続的でポリシーに基づくアイデンティティ検証に置き換えます。