「業務システムのユーザー管理とSSO」

認証とは、利用者が誰であるのかを確認・特定するための仕組みです。英語では「Authentication」と呼ばれます。
例として、システムへのログイン時にIDやパスワードを入力するパスワード認証（知識認証）や、顔や指紋などの身体的特徴を利用する生体認証などがあります。
近年では、セキュリティ強化のために複数の認証を組み合わせる「多要素認証（MFA:Multi-Factor Authentication）」も広く利用されています。
例えば、IDとパスワードによる認証後に、SMSや認証アプリを利用したワンタイムパスワードによる追加認証を行う方式が、多要素認証の代表的な例です。

認可とは、認証された利用者に対して機能や情報へのアクセス権限を制御する仕組みです。英語では「Authorization」と呼ばれます。
例えば、業務システムを利用する際に、一般利用者はデータの閲覧のみ、管理者はデータの登録・更新・削除を行えるなど、利用者ごとに操作権限を制御します。
認可は、一般的に認証の後に行われ、認証によって利用者を特定したのち、所属や役職、付与された権限情報などに基づいて利用可能な機能やデータを判断します。 適切に認可設定を行うことで、一般利用者による機密情報の漏洩や、誤操作などを防止します。

独自認証は、ユーザーIDやパスワードなどを内部ファイルやデータベースなどで管理する認証方式です。
多くの業務システムで採用されており、それぞれのシステムが個別にユーザー情報を保持します。
メリットとしては、構築が容易であり、他システムに依存せず運用できる点が挙げられます。
一方、システムごとにユーザー登録や権限設定が必要となり、管理が煩雑というデメリットがあります。例えば、すべての業務システムが独自認証を採用している場合、新入社員の入社時には、システムごとにアカウント設定が必要となってしまいます。

Active Directoryとは、Windows環境においてユーザーやコンピュータの情報を一元管理するためのディレクトリサービスです。
Active Directory認証では、対象の端末をドメインに参加させ、Windowsへのログインユーザー情報を利用してシステムの認証を行います。
ユーザー情報や、パスワード変更を一元管理できるのがメリットの一つです。また、利用者は、PC起動時に認証済みとなり、業務システム起動時に再度パスワード入力を不要にできます。
一方で、利用する端末をドメインへ参加させる必要があるため、利用環境により導入が難しい場合があります。

LDAP (Lightweight Directory Access Protocol)は、ユーザー情報や組織情報などを管理するディレクトリサービスへアクセスするための仕組みです。
Active Directory認証と混同されることがありますが、Active Directoryはディレクトリサービスの一種であり、LDAPに対応しています。そのため、LDAP認証の認証先としてActive Directoryを利用することも可能です。
LDAP認証の場合は、端末のドメイン参加は必須ではありません。
ユーザー情報をディレクトリサービスで一元管理できるため、複数のシステムで同じユーザー情報を利用できます。例えば、新しいシステムを導入する場合でも、LDAPと連携することで既存のユーザー情報を利用できます。
ただし、LDAP認証ではユーザー情報を共有できても、利用者は各システムでログインを行う必要があります。

4.1. ユーザー管理の課題

4.2. SSOとは

4.3. SSOソリューション例

ここまで、業務システムで利用される代表的な認証方式を紹介しました。
今回紹介した他にも、様々な認証方式があり、システムの利用環境や運用方針に応じて適切な方式を選択することが重要です。
私自身も、複数のシステムを利用する中でパスワード管理の煩雑さを感じることがありますが、システム開発に携わるようになり、その背景には認証方式やユーザー管理の仕組みが大きく関わっていることやSSOの有用性を学びました。利用者や管理者の利便性とシステムのセキュリティを両立したシステムを実現できるよう、今後も認証技術やユーザー管理について学びを深めていきたいと思います。
今回の技術レポートが、認証方式やユーザー管理について考えるきっかけとなれば幸いです。