シングルサインオン
1つのアカウントで一度認証すれば、複数のアプリケーションやサービスを、そのたびにログインし直さずに使えるようにする仕組みです（英語では single sign-on。SSO と略す）。
定義
NIST SP 800-63-4（2025年7月）は、シングルサインオンを「1つのアカウントとその認証器（パスワード、セキュリティキー、パスキーなど、本人であることを示すために持つもの）を使って、複数のアプリケーションにまとめてアクセスする認証の流れ。一般に、フェデレーションのプロトコルで実現される」としています。代表的なプロトコルに、SAML と OpenID Connect があります（
認証）。
フェデレーションとの関係
シングルサインオンの多くは、
フェデレーションの仕組みで作られます。利用者は、利用者の認証を担うサービス（IdP、identity provider）で一度認証し、IdP がその結果を各サービス（RP、relying party）に伝えます。NIST SP 800-63C-4 は、フェデレーションによって、利用者は各サービスごとに別の認証器を持たなくても、複数のサービスを使えるとし、これをシングルサインオンと呼ぶことがあるとしています。
良い点と注意点
| 面 |
内容 |
| 良い点 |
サービスごとのパスワードが減り、使い回しや管理の負担が減る。アカウントを一か所で管理できる（アカウント管理） |
| 注意点 |
IdP でセッションを止めても、各サービス（RP）で確立したセッションが自動で終わるとは限らない。SP 800-63C-4 は、IdP でセッションを終えても、その先の RP のセッションが終わるとは限らないとしている。退職や乗っ取りのときは、RP 側のセッションとトークンの取り消しも手順に入れる |
| 注意点 |
入口が一つにまとまるので、その入口のアカウントが乗っ取られると、つながるサービスに広く入られうる。入口の認証は、フィッシングに強い方式にする（多要素認証） |
| 注意点 |
入口のアカウントの回復や再設定の手続き（ヘルプデスクでの再設定や多要素認証の付け替え）が弱いと、強い認証を迂回される。米国の CISA などの注意喚起（AA23-320A）は、攻撃者がヘルプデスクにパスワードの再設定や多要素認証の移し替えをさせ、シングルサインオンの環境でアカウントを乗っ取ったと書いている（身元確認、ビッシング） |
注意点の1つ目の SP 800-63C-4 の記述と、3つ目の CISA の記述のほかは、入口が一つになることから導いた筆者の整理です。
関連するページ
出典
確認日：2026年10月17日
最終更新：2026年10月17日 17:54
