フェデレーション
ある組織やサービスが確かめた認証の結果と属性の情報を、別のサービスへ受け渡し、そのサービスが自分で認証器（パスワードやセキュリティキーなど、本人であることを示すために持つもの）を確かめなくても利用者を受け入れられるようにする仕組みです（英語では federation。ID 連携とも呼ばれる）。代表的なプロトコルに、SAML と OpenID Connect があります（
認証）。
定義
NIST SP 800-63-4（2025年7月）の用語集は、フェデレーションを「身元と認証の情報を、ネットワークでつながった一群のシステムの間で受け渡す過程」としています。
登場する役割
NIST SP 800-63C-4 は、フェデレーションを「利用者の認証器を、利用者が使うサービス（RP）が直接確かめることなく、利用者を RP に認証する過程」と説明しています。
| 役割 |
内容 |
| IdP（identity provider） |
利用者のアカウントを RP に使えるようにし、利用者の認証をきっかけに「アサーション」（利用者のアカウントについての、確かめられる言明）を作り、RP に送る。SP 800-63C-4 は、IdP の形として、アカウントに結び付いた認証器を確かめる形と、利用者が管理する端末のソフトウェア（デジタルウォレット）や提供者が運用するサービス（クラウドウォレット）の形を挙げている |
| RP（relying party） |
IdP のアサーションを確かめ、利用者との認証済みのセッションを作り、サービスを使わせる |
| 利用者（サブスクライバ） |
IdP にアカウントを持つ |
何がうれしいか
SP 800-63C-4 は、フェデレーションによって、利用者は RP ごとに別の認証器を持たなくても、複数の RP のサービスを使えるとしています（
シングルサインオン）。また、RP と利用者のアカウントが共通のセキュリティの管理範囲（security domain）で一緒に管理されていないときは、RP が別の認証器を発行しなくて済むので、一般に好ましい方法だとしています。同じ管理範囲の中でも、アカウントを一か所で管理できるといった利点があるとしています。
確からしさの段階（FAL）
SP 800-63-4 は、フェデレーションの取引で、認証の出来事と利用者の属性を RP に伝える過程を、FAL（federation assurance level）という段階で表します。SP 800-63C-4 の要件から、守る側が知っておきたい点を挙げます。
| 段階 |
主な要件（要約） |
| FAL1 |
識別子に、ユーザー名・メールアドレス・社員番号などの平文の個人情報を含めないことが推奨される（SHOULD NOT） |
| FAL2 |
FAL1 に加え、アサーションの注入の攻撃から強く守る。アサーションの宛先を1つの RP に限る。識別子に平文の個人情報を含めてはならない（SHALL NOT）。信頼の取り決めは事前に結ぶ |
| FAL3 |
さらに強い要件を課す（詳しくは SP 800-63C-4） |
RP に求められる確認
SP 800-63C-4 は、RP に、アサーションの署名を確かめること、自分が宛先の一つであることを確かめること、同じアサーションを二度受け入れないようにすること（再送の防止）などを求めています（SHALL）。
注意点
- IdP が乗っ取られると、つながる RP に広く影響しうる。IdP の認証を強くし（多要素認証）、IdP の管理者の権限を絞る（特権アクセス管理）
- IdP でセッションを終えても、RP のセッションが終わるとは限らない（SP 800-63C-4）。退職や乗っ取りのときは、RP 側のセッションも止める
- IdP が RP に渡す属性は、RP に必要なものに絞る。SP 800-63C-4 は、アカウントの作成・停止を RP に伝える仕組みを使う場合、渡す属性を最小限にすることを IdP に求めている
最初の項目は、役割の分担から導いた筆者の整理です。
関連するページ
出典
確認日：2026年10月17日
最終更新：2026年10月17日 17:54
