Security Assertion Markup Language（SAML）は、認証プロセスです。毎朝、仕事を始める際にコンピューターにログインするときには、SAMLが使用されるケースが多いのではないでしょうか。SAMLは、XML形式のマークアップ言語の一種で、シングルサインオン（SSO）のプロトコルの一種としても使用されています。

Open Authorization（OAuth）は、認可プロセスです。新たなユーザー名とパスワードを使用せずに、あるサービスから別のサービスに移ることができます。例えばGoogleにログインし、その資格情報を使用してHootsuiteにアクセスする場合は、OAuthを使用したことになります。

どちらのアプリケーションもWebのシングルサインオン（SSO）に使用できますが、SAMLがユーザー固有になる傾向があるのに対して、OAuthはアプリケーション固有になる傾向があります。一方を他方の代わりとして使用することはできないため、ここでは単純に比較するのではなく、SAMLとOAuthの2つをどのように一緒に使うのかについて説明します。

→Okta Japanの資料請求はこちら

SAMLの仕組み

SAML は、アイデンティティを検証して認証を提供するオープン標準です。一般的なオフィス環境では、従業員は社内の機能の一部にアクセスするためにログオンする必要があります。

SAML認証が完了すると、ユーザーは、企業のイントラネット、Microsoft Office、ブラウザなどのツールスイート全体にアクセスできるようになります。SAMLを使用することにより、ユーザーは1つのデジタル署名でこれらのリソースをすべて利用できるようになります。

セキュリティがより厳しい企業の場合、SAMLは、ユーザーがドアを開けたり、コンピューター画面のロックを解除したりといったことしか許可しません。ユーザーがファイルへのアクセスを含む他の操作を実行する前には、認可が必要となります。

ネットワーク管理者はSAMLを使用して、一元的にユーザーを管理できます。1つのパスワードでユーザーが必要とするすべてのサービスを使用可能にし、企業のセキュリティも保護します。

SAMLの一般的なワークフローは以下のようになります。

• 要求：ユーザーが 「ログイン」 ボタンをタップします。
• 検証：SAMLとアイデンティティプロバイダーが認証のために接続します。
• ログイン：ユーザー名とパスワードの入力画面が表示されます。
• トークンの作成：ユーザーが正しい情報を入力すると、SAMLトークンがサービスプロバイダーに渡され、ユーザーはサーバーにログインできます。

このワークフローにより、サービスプロバイダー、ブラウザ、アイデンティティプロバイダーは情報をシームレスにやりとりできます。このプロセスは通常数秒で処理されるため、ユーザーが遅延に気付かないこともあります。

OAuthの仕組み

「Auth」 は認証（Authentication）の意味とも認可（Authorization）の意味とも言えますが、OAuthプロトコルについては認可を意味します。このOAuthプロトコルは、ユーザーのユーザー名とパスワードを保護しながら、あるユーザーから別のユーザーに認可を渡すために使用されます。

平均的な従業員が業務上重要なアプリケーションを1日に1,100回も切り替えて使用するような環境では、OAuthは時間を節約する上で重要な役割を担います。従業員は、再度ログインすることなく複数のアプリ間を行き来して使用する方法を必要とすることがあり、これを可能にするのがOAuthです。

たとえば、有効なGoogleアカウントを持つ従業員は、同じ資格情報を使用して以下に含まれるデータを活用できます。

• Hootsuite
• SurveyMonkey
• HotJar
• Microsoft 365
• Salesforce
• Marketo
• Box

従業員が業務遂行のため、これらのWebベースのプログラムをすべて必要とする場合も、そのためにユーザー名/パスワードを何セットも作成する（さらに記憶する）となると、気後れするのではないでしょうか。

ユーザー名とパスワードの使い回しは、セキュリティのリスクを引き起こします。いずれかのサイトが侵害されると、ユーザーの重要データがすべてのプラットフォームで公開され、脆弱になります。しかし、最初のサイトによって提供される検証を使用して別のサイトにログインすることは、大きく異なります。

データマイニングについて懸念する一部の消費者は、このようなツールを使用することで、Facebookのような企業に過度に大きな権限が集中するリスクについて論じています。ユーザーが他のアプリやサイト向けにFacebookログインを選択するたびに、Facebookはより多くの顧客インサイトを得ることができます。Facebookのデータが侵害された場合、追加されたログインも侵害される可能性があります。

しかし、ほとんどの従業員は、忙しくストレスの大きな時期に時間を節約できることは歓迎すべきことだと受け止めるのではないでしょうか。