フェデレーション認証・とは？初心者でも分かる仕組みと使い方共起語・同意語・対義語も併せて解説！

この記事を書いた人

高岡智則

年齢：33歳性別：男性職業：Webディレクター（兼ライティング・SNS運用担当）居住地：東京都杉並区・永福町の1LDKマンション出身地：神奈川県川崎市身長：176cm 体系：細身〜普通（最近ちょっとお腹が気になる）血液型：A型誕生日：1992年11月20日最終学歴：明治大学・情報コミュニケーション学部卒通勤：京王井の頭線で渋谷まで（通勤20分）家族構成：一人暮らし、実家には両親と2歳下の妹恋愛事情：独身。彼女は2年いない（本人は「忙しいだけ」と言い張る）

フェデレーション認証・とは？

フェデレーション認証とは、複数のサービス間で同じIDを使ってログインできる仕組みのことを指します。つまり、あなたのIDを管理する信頼できる機関（IDプロバイダ）があり、他のサービスはそのIDプロバイダからの認証情報だけを受け取って、あなたが本人であることを確認する、という流れです。

この仕組みを使えば、A社のサービスとB社のサービスを別々に登録して、それぞれ別のパスワードを管理する必要がなくなります。代わりに「IDプロバイダ」があなたの認証を一元管理し、各サービスはその認証情報を受け取るだけで済みます。つまり、一度の認証で複数のサービスにアクセスできるのが大きな特徴です。

フェデレーション認証の基本的な仕組み

フェデレーション認証には、主に次の三者が関わります。ユーザー、サービス提供者、IDプロバイダです。流れはこうなります。
1) ユーザーがサービスAにアクセスする。
2) サービスAはユーザーをIDプロバイダへ認証へリダイレクトする。
3) IDプロバイダはユーザーの身元を確認し、認証結果を返す。
4) ServiceAは返された情報を元に、ユーザーをログインさせる。
5) ユーザーはサービスAを使い続けられる。

技術と実例

現代のフェデレーション認証でよく使われる技術には、SAML、OpenID Connect、WS-Federationなどがあります。これらは、異なる組織やサービス間で信頼できる「認証情報の伝達」を安全に行う仕組みを提供します。たとえば、Googleアカウントを使って他のウェブサービスにログインするケースは、OpenID Connectの考え方を利用していることが多いです。

メリットとデメリット

メリットとしては、パスワードを複数回管理する負担が減る点、セキュリティ基盤の統一が進む点、そして企業やサービス間のシングルサインオン（SSO）を実現しやすくなる点が挙げられます。
デメリットとしては、IDプロバイダがダウンすると関連サービスへログインできなくなる可能性がある点、信頼関係の構築・維持が難しい点、そして実装・運用の複雑さが増す点が挙げられます。

実務での注意点

フェデレーション認証を導入する際には、信頼できるIDプロバイダの選定、二要素認証の導入、トークンの有効期限管理、最小権限の原則を守ることなどが重要です。特にIDプロバイダのセキュリティが全体の安全性を左右するため、運用ルールをしっかり決めておくことが大切です。

表で見る比較

<th>比較項目

従来の認証	フェデレーション認証
認証の主体	各サービスごと	IDプロバイダとサービス
管理の仕方	サービスごとに分散	中央のIDプロバイダで一元管理
利点	自由にサービスを使える	1つのIDで複数サービスへログイン可能
注意点	パスワード管理が煩雑になることがある	IDプロバイダの信頼性と可用性が重要

まとめ

フェデレーション認証は、複数のサービスで共通のIDを使って安全にログインするための強力な仕組みです。導入には技術的な準備と信頼関係の構築が必要ですが、正しく使えば利便性とセキュリティの両方を高めることができます。基本的な考え方を理解し、具体的な要件に合わせて段階的に導入を検討してみましょう。

フェデレーション認証の同意語

フェデレーション認証: 複数の組織間で信頼関係を利用し、外部のIDプロバイダ（IdP）を介してユーザーを認証する仕組み。1つの認証で複数のサービスにアクセスできるようにします（SAMLやOpenID Connectなどの標準を活用）。
連携認証: 異なる認証システムや組織間で認証情報を連携させ、利用者が再度ログインせずにサービスを利用できるようにするしくみ。
連邦認証: 複数の組織間で信頼を前提とした認証の形。IdPとSPの信頼関係を活用して認証情報を共有します。
SSO（シングルサインオン）: 1度のログインで、同一組織内外の複数のサービスにアクセスできる認証方式。フェデレーション認証を実現する代表的な方法の一つ。
IdP連携認証: Identity Provider（IdP）と連携して認証を行う方式。IdPで認証済みの情報を信頼されたサービスと共有します。
外部IdP認証: 外部のIdPを介して認証を受ける方式。サービス側はIdPから提供される認証情報を用います。
外部IDプロバイダ認証: 外部のIDプロバイダを介してユーザーを認証するしくみ。フェデレーションの核となる考え方です。
アイデンティティフェデレーション認証: アイデンティティフェデレーションを利用した認証。複数組織間の信頼を前提にした認証情報の共有。
認証連携: 認証情報を他の組織やサービスと連携して使い回す、認証の連携を指す表現。

フェデレーション認証の対義語・反対語

非連携認証: フェデレーション認証（外部のアイデンティティプロバイダとの連携）を使わず、各サービスが独自に認証情報を管理・検証する方式。
ローカル認証: サービス自体のデータベースや認証機構でのみ認証を行い、外部IdPを利用しない方式。
スタンドアロン認証: 他のサービスとIDを共有せず、単独で完結する認証の形。
独自認証基盤: 組織が自前で設計・運用する認証基盤を用いる方式。外部の連携を前提としません。
単独認証: 1つのアプリやサービス内だけで完結する認証のこと。
自社内認証: 自社や自組織内のシステムだけで完結する認証を指します。
オンプレミス認証: 自社内のサーバー上で完結する認証。外部クラウドの連携を前提としない場合に使われる言い換えです。

フェデレーション認証の共起語

SAML: フェデレーション認証で最も古典的な標準。IdPが認証結果をXMLアサーションとしてSPに伝える仕組みで、企業の連携やオンプレ環境で広く使われる。
OpenID Connect（OIDC）: OAuth 2.0をベースにした、アイデンティティの認証と基本的なユーザ情報の取得を行うプロトコル。ウェブやモバイルアプリで広く採用されている。
OAuth 2.0: 認可フレームワーク。リソースへのアクセス権を第三者に委任する仕組みで、OIDCはこの上に認証情報を追加する形で使われる。
IdP（アイデンティティプロバイダー）: ユーザーの身元を検証し、認証結果を提供するサービス。フェデレーション認証の中核となる存在。
SP（サービスプロバイダー）: IdPからの認証結果を使って、ユーザーにサービスの利用を許可するアプリケーションやサービス。
SSO（シングルサインオン）: 1回の認証で複数のサービスへログイン状態を共有できる仕組み。
信頼関係: IdPとSPや各サービス間で結ばれる信頼の仕組み。署名・証明書で担保される。
メタデータ: IdPとSPの設定情報を交換するデータ。エンドポイント、署名証明書、サポートするプロトコルなどを含む。
証明書（X.509）: 署名検証に使われる公開証明書。トークンやアサーションの信頼性を保証する。
JWT（JSON Web Token）: 署名付きのトークン形式。認証情報や権限情報を安全に伝達するのに用いられる。
IDトークン: OIDCで発行される、ユーザーの身元を表すトークン。名前やメール等の属性情報の根拠になる。
アクセス・トークン: APIやリソースへのアクセス権を示す短期的なトークン。Bearerトークンとして利用される。
リダイレクトURI: 認証後にユーザーを戻すリダイレクト先のURL。安全性の確保が重要。
ユーザ属性（プロファイル情報）: 認証後に取得可能な名前、メール、所属、役職などの利用者情報。
MFA（多要素認証）: 追加の認証要素を要求してセキュリティを強化する仕組み。フェデレーション環境でも推奨される。
Shibboleth: SAMLを実装する代表的なSSOソリューションの一つ。特に教育機関や研究機関で利用されることが多い。
IdPの例: Azure AD、Okta、OneLogin、Ping Identity など、実装選択の参考になる主要なIdPの例。
署名検証: アサーションやトークンの署名を公開鍵で検証して、真正性を確認する作業。
トークン失効・再発行: トークンの有効期限や失効状態を管理し、必要に応じて再発行するセキュリティ対策。

フェデレーション認証の関連用語

フェデレーション認証: 複数の組織やサービス間で、1度の認証で複数のサービスにアクセスできる仕組み。IdPが認証情報をSPへ渡し、信頼関係を前提とする。
アイデンティティプロバイダ（IdP）: ユーザーの認証を実行し、認証済みの情報を他のサービスへ渡す役割を担う主体。例：Google、Azure AD。
サービスプロバイダ（SP）: 認証済みのユーザーに対してサービスを提供するアプリケーションやサービス。IdPを通じて信頼済みの認証を受け取る。
シングルサインオン（SSO）: 一度のログインで、連携する複数のサービスへ継続してアクセスできる仕組み。
SAML 2.0: フェデレーション認証で広く使われるXMLベースの標準。IdPがアサーションをSPへ渡すことで認証と属性情報を伝える。
SAMLアサーション: IdPが生成する、ユーザーの認証情報と属性情報を含むデジタル文書。SPは署名検証と検証後にアクセスを許可する。
アサーション: IdPからSPへ渡される認証情報・属性情報を含むデータ。SAMLのアサーションなどで使われる言葉。
メタデータ: IdPとSPが相互にエンドポイントや証明書、設定を記述した情報。接続先を自動設定するのに使われる。
メタデータ交換: IdPとSPが相手の機能情報を交換して、信頼関係を構築するプロセス。
署名と証明書: アサーションの改ざんを防ぐための署名と、その検証に使うX.509証明書。
X.509証明書: 公開鍵暗号の一種。アサーション署名の検証や暗号化に使われるデジタル証明書。
署名付きアサーション: アサーションが誰によって作成されたかを証明する署名が付いたアサーション。
WS-Federation: Microsoftを中心に用いられてきたフェデレーションの古い標準。SAMLと同様にIdPとSP間で認証をやり取りする。
OAuth 2.0: 認可のフレームワーク。資源サーバーへのアクセス権を第三者に委譲する仕組み。フェデレーションでの認証として直接使われることは少ないが、認証と組み合わせて使われることがある。
OpenID Connect: OAuth 2.0を拡張して認証情報（IDトークン）を提供する、現代的な認証プロトコル。フェデレーション認証の代表的選択肢。
IDトークン: OpenID Connectで発行される、ユーザーの識別情報を含むトークン。SPがユーザーを識別するために使う。
アクセストークン: OAuth 2.0/OpenID Connectで、リソースへアクセスする権利を示すトークン。
リフレッシュトークン: 有効期限切れのアクセストークンを再取得するためのトークン。
属性情報: IdPがユーザーについて持つ属性（例: 氏名、メール、所属グループなど）と、それをサービスへ伝える情報。
属性ベース認証（ABAC）: 属性情報を用いて、アクセスを決定する認証・認可の考え方。
信頼関係: IdPとSP間でお互いを信頼して認証情報を共有できる関係。セキュリティの前提となる。
連携設定: IdPとSPを連携させるための設定。エンドポイント、メタデータ、証明書などを含む。