シングルサインオン（SSO）を入れたのに、退職者が業務システムに入れる時間が残っていた。こうした相談の多くは、SSOとアクセス管理を同じものとして扱ったことから始まります。SSOが受け持つのは「この人は本人か」を1か所で確かめる認証で、「この人はこの端末・この場所から・この操作をしてよいか」を決める認可と、その記録はアクセス管理の仕事です。本記事では両者の担当範囲を分けたうえで、VPN中心の境界型からゼロトラストへ移るときにSSOが占める位置、条件付きアクセスや継続的アクセス評価で補う範囲、業務システム側に残る権限チェックを整理します。最後に、導入の順番と見送ってよい場面を条件付きで示します。
まとめ：SSOは入口を1つにする認証、アクセス管理は入った後の可否を決める仕組み
アクセス管理とシングルサインオンは、置き換えの関係ではなく前後の関係にあります。SSOでIDとログインを1か所に集め、その結果を材料にアクセス管理が「許可・追加認証・拒否」を判定し、業務システムが画面やAPIの単位で最後の権限チェックを行う。この3段がそろって初めて、ゼロトラストで言う「毎回確かめるアクセス」になります。
ゼロトラストとSSOは真逆ではありません。真逆にあたるのは「社内ネットワークに入れた人を信用する」VPN中心の境界型です。導入の順番は、SSOで入口を集約し、条件付きアクセスをログ確認モードで試してから有効にし、最後に業務システムの権限設計を見直す流れを勧めます。利用者が数十人でクラウドサービスが2〜3個の組織なら、SSOとアクセス管理を急がず、多要素認証の徹底を先に済ませる判断で問題ありません。
アクセス管理とシングルサインオンの担当範囲を認証と認可の分担で整理
最初に、2つの言葉がどこからどこまでを指すのかを分けます。ここが曖昧なまま製品を選ぶと、「SSOを入れたから権限管理も済んだ」という誤解が残ります。
シングルサインオンが担うのは本人確認を1回に集約するところまで
SSOは、IdP（IDプロバイダー）で一度ログインすれば、連携した複数のシステムに追加のパスワード入力なしで入れる仕組みです。SAML 2.0やOpenID Connect（OIDC）といった標準で、IdPが「この人を認証した」という結果をシステム側へ渡します。OpenID Connect Core 1.0の仕様でも、IDトークンはエンドユーザーの「認証」に関する情報を運ぶトークンと定義されています。
つまりSSOが保証するのは「誰がいつ、どの方式でログインしたか」までです。その人が経理システムの支払承認を押してよいかは、SSOの仕組みだけでは決まりません。SSOの方式や実装の流れはシングルサインオン（SSO）とは？4つの実現方式とIDトークン検証・IdP選定を実装手順で解説で詳しく扱っています。
アクセス管理が担うのは誰が何をいつまで許されるかの判定と記録
アクセス管理は、認証が済んだ人に対して「どのシステムに、どの条件で、どこまで操作させるか」を決め、その結果を記録する仕組みの総称です。判定の材料には、所属部署やロールのほか、端末が会社管理か、接続元がどこか、サインインに不審な点がないかといった状況も含みます。
認証と認可を分けて考える土台は、APIの設計でも同じです。OAuth 2.0は名前のとおり認可の枠組みで、ログインの仕組みではありません。両者の違いはOAuth 2.0とは？仕組み・認可フローと認証との違いで整理しています。アクセス管理の判定結果が記録として残っていれば、監査や事故調査で「なぜその操作が許されたか」を後から説明できます。
SSO・アクセス管理・ID管理の担当範囲と代表的な機能の対応表
現場では「IAM」「IDaaS」「ID管理」も混ざって使われます。担当範囲で並べると次のとおりです。
| 区分 | 答える問い | 代表的な機能 |
|---|---|---|
| シングルサインオン | この人は本人か | SAML・OIDC連携、多要素認証 |
| アクセス管理 | 今この操作を許すか | 条件付きアクセス、ロール、監査ログ |
| ID管理 | このIDは今も有効か | 入社・異動・退職の反映、SCIM |
| 業務システムの権限 | この画面とデータを扱えるか | 画面・API単位の権限チェック |
IDaaSと呼ばれる製品は、上の3行目までをまとめて提供するものが多い一方、4行目の業務システム内の権限は各システムの実装に残ります。MFAやIDaaSの位置づけを含む認証全体の地図は認証・ID管理とは？MFA・SSO・OIDC・IDaaSの違いと選定を解説を参照してください。
VPN中心の境界型からゼロトラストへ移るときにシングルサインオンが占める位置
「vpn アクセス管理 シングルサインオン」と並べて検索する人の多くは、VPNで守ってきた社内システムをどう組み替えるかを考えています。ここではSSOがその移行のどこに入るかを示します。
VPN接続後は社内を通れる前提と、侵入経路の約5割がVPN機器という統計
VPN中心の守り方では、VPNのログインを通った端末は社内ネットワークの一員として扱われ、ファイルサーバーや業務システムにはネットワークの到達可否で入れるかどうかが決まります。入口が1つでも、入った後の判定がほとんどない構造です。
この入口そのものが狙われています。警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」では、ランサムウェア被害組織へのアンケートで侵入経路はVPN機器が約5割を占め、未修正の脆弱性や漏えいした認証情報が悪用されていると報告されています。VPN機器を突破された時点で社内を横に動けてしまうことが、境界型の弱点です。VPNの仕組みと種類はVPNとは？仕組み・種類・メリットとデメリットにまとめています。
ゼロトラストとシングルサインオンが「真逆」と誤解される理由と実際の関係
「ゼロトラスト シングルサインオン 真逆」という検索があるのは、「一度ログインすれば全部使える」というSSOの説明が、「毎回確かめる」というゼロトラストの説明と正反対に聞こえるからです。
実際には逆の関係ではありません。SSOが省くのは利用者のパスワード入力の回数であって、システム側の確認ではないためです。連携先のシステムは、アクセスのたびにIdPが発行したトークンの署名と有効期限を検証しています。むしろSSOでログインの入口が1つになると、強い多要素認証や端末の条件を全システムに一律でかけられるようになり、ゼロトラストの判定を置く場所ができます。真逆なのは、ネットワークの内側を信用する境界型の考え方のほうです。
NISTのゼロトラストでSSOは判定の入力、許可の決定と実施は別の部品
NIST SP 800-207（2020年8月公開）は、ネットワーク上の位置や端末の所有者だけを理由に暗黙の信頼を与えないことをゼロトラストの前提に置き、利用者と端末の認証と認可を、リソースへのセッションを張る前に行う別々の機能として扱っています。同文書の構成では、アクセスの可否を決めるポリシーエンジン、決定を通信路に伝えるポリシー管理者、実際に通す・止めるポリシー実施点が分かれています。
この図式に当てはめると、SSOのIdPはポリシーエンジンに「誰が・どの方式で認証したか」を渡す入力側です。許可の決定は条件付きアクセスなどのアクセス管理が、実施はアプリやプロキシが担います。構成要素の全体はゼロトラストアーキテクチャとは？NISTの構成要素と設計ステップで解説しています。
SSOの上に条件付きアクセスを重ねるときに決める判定条件と再評価の間隔
SSOで集めたログインに、アクセス管理の判定を重ねる具体策が条件付きアクセスです。ここではMicrosoft Entra IDの公式ドキュメントを例に、決める項目を示します。
条件付きアクセスの判定材料はユーザー・端末・場所・サインインのリスク
Microsoft Entraの条件付きアクセスは、ユーザーやグループ、IPアドレスの場所、端末の状態、対象アプリ、リアルタイムに計算されたサインインのリスクといった材料から、「ブロック」「許可」「多要素認証や準拠端末を条件に許可」を決めます。公式ドキュメントには、条件付きアクセスのポリシーは第1段階の認証が完了した後に適用されると明記されています。SSOの認証が先、アクセス管理の判定が後という順序が、製品の動きにもそのまま表れている形です。
費用の前提も確認しておきます。条件付きアクセスの利用にはMicrosoft Entra ID P1ライセンス（Microsoft 365 Business Premiumにも含まれる）が必要で、サインインのリスクを使うポリシーはP2の機能です（2026年10月時点の公式ドキュメント）。SSOの見積もりにアクセス管理まで含めるなら、ライセンス区分を最初に確かめてください。
ログイン時だけの判定では退職や端末紛失に間に合わないトークン1時間の壁
条件付きアクセスはログインやトークン更新のタイミングで判定します。継続的アクセス評価（CAE）の公式解説によると、アクセストークンの既定の有効期間は1時間で、その間はアカウントを無効にしても発行済みのトークンが使われ続ける余地があります。
CAEはこの隙間を埋める仕組みです。アカウントの削除・無効化、パスワードの変更、多要素認証の有効化、管理者による更新トークンの取り消し、高いユーザーリスクの検出という5つの重大イベントを、対応するサービスがほぼリアルタイムで受け取り、トークンを拒否します。ただしイベントの伝搬で最大15分の遅れがあり、初期の対応先はExchange Online、SharePoint Online、Teamsが中心です。自社開発の業務システムは、そのままではCAEの恩恵を受けません。退職当日にアクセスを止めたいなら、業務システム側のセッションを短めにするか、IdPの無効化と連動してセッションを消す処理を用意する必要があります。
業務システム側に残る画面とAPIの権限チェックはSSOで代替できない
SSOと条件付きアクセスが決めるのは、多くの場合「そのアプリに入れるか」までです。アプリの中で「他部署の申請を見られるか」「金額の上限を超えた承認を押せるか」は、業務システムが自分で判定するしかありません。
ここが抜けると、ログインは堅いのにURLのIDを書き換えるだけで他人のデータが見える、という事故になります。ロールで権限を割り当てる設計はRBACとは？ロールベースアクセス制御の仕組みと導入判断、部署や時間帯などの属性で判定する設計はABACとは？属性ベースアクセス制御の仕組みとRBACとの使い分け、権限チェックの抜けが招く被害は認可バイパスとは？IDOR・権限昇格の仕組みとサーバ側で止める実装対策で扱っています。
アクセス管理とシングルサインオンを導入する順番と見送る場面の判断基準
ここまでの役割分担を前提に、どの順番で入れるか、どこで止めてよいかを言い切ります。
先にSSOで入口を集約し条件付きアクセスはログ確認後に段階的に有効化
勧める順番は次のとおりです。
- 利用中のクラウドサービスと業務システムを洗い出し、SAMLやOIDCに対応しているものからSSOに連携する
- IdPへのログインに、全員一律で多要素認証をかける
- 条件付きアクセスを「レポートのみ」で数週間動かし、止まる業務がないかをログで確かめる
- 管理者権限と社外からのアクセスから順に、条件付きアクセスを有効にする
- 業務システムの権限設計と、IdPでの無効化に連動したセッション失効を見直す
3番目を飛ばして一斉に有効化すると、営業の外出先からの接続や、古い認証方式を使う複合機の送信がまとめて止まります。先にアクセス管理の製品を選び、SSO連携が後回しになる順番も勧めません。判定の材料になるログインが1か所に集まっていない状態では、ポリシーを書いても全システムには効かないからです。
VPNを残してよい場面とSSOやアクセス管理を急がなくてよい組織の条件
VPNをすぐに廃止する必要はありません。SSOやZTNAに対応しない古い社内システムや、拠点間の通信が残るうちは、VPNを特定のシステム専用に絞って残すのが現実的な形です。その場合もVPN機器のパッチ適用を最優先にし、VPNのログインをIdP経由の多要素認証に切り替えるだけで、境界型の弱点はかなり減らせます。VPNからの移行先の比較はゼロトラストネットワーク（ZTNA）とは？VPNとの違いと製品選定・導入判断にまとめています。
反対に、SSOとアクセス管理への投資を見送ってよいのは、利用者が数十人以下、使うクラウドサービスが2〜3個で、それぞれに多要素認証を設定し終えている組織です。この規模ではライセンス費と設定の手間に対して、入口を集約する効果が小さいためです。退職者のアカウント削除漏れが一度でも起きた、またはクラウドサービスが10個を超えた時点で、SSOの導入を検討する段階に入ったと判断してください。
自社開発システムをSSOとアクセス管理につなぐときに改修が要る箇所
市販のクラウドサービスは設定画面でSSOにつなげますが、自社開発の業務システムは改修が必要です。改修の中心は3か所で、ログイン処理をOIDCやSAMLの受け取りに置き換えること、IdPから受け取ったグループや属性をシステム内のロールに対応づけること、IdP側の無効化に合わせてシステムのセッションとアカウントを止めることです。
特に2つ目の対応づけは、既存の権限テーブルの作りによって工数が大きく変わります。ログイン画面だけ差し替えて権限は手作業で管理し続けると、異動のたびに権限の付け替え漏れが起き、SSOを入れた効果が半分になります。自社システムのSSO対応や、ロール設計を含めた認証基盤の見直しを外部に相談したい場合は、認証基盤・ID管理システム開発の支援範囲をご覧ください。
アクセス管理とシングルサインオンでよくある質問：違い・VPN・ゼロトラストの疑問
導入検討の場でよく出る質問に答えます。
シングルサインオンを入れればアクセス管理は不要になりますか？
不要にはなりません。SSOが決めるのは「本人かどうか」と「そのアプリにログインできるか」までで、端末や接続元に応じた判定や、アプリ内の操作ごとの権限は別の仕組みで決める必要があります。SSOのIdPにアクセス管理の機能が付いている製品もありますが、その場合も上位のライセンスが要ることが多く、業務システム内の権限チェックは残ります。
ゼロトラストとシングルサインオンは真逆の考え方ですか？
真逆ではありません。SSOが減らすのは利用者のパスワード入力の回数で、システム側はアクセスのたびにトークンを検証しています。ゼロトラストの反対にあたるのは、社内ネットワークに入れた人を信用する境界型の守り方です。SSOで入口を1つにすると、多要素認証や端末条件を全システムに一律でかけられるため、ゼロトラストを進める土台になります。
VPNとシングルサインオンは併用できますか？
併用できます。VPNのログインをIdPに連携させ、SSOと同じ多要素認証を通す構成が一般的です。こうするとVPN専用のパスワードがなくなり、退職時もIdPでアカウントを止めればVPNにも入れなくなります。ただし、VPNに入った後に社内システムを自由に行き来できる構造は変わらないため、重要なシステムには個別の認可を残してください。
アクセス管理とID管理はどう違いますか？
ID管理は、入社・異動・退職に合わせてアカウントを作る・変える・止める仕事で、「このIDは今も有効か」に答えます。アクセス管理は、有効なIDに対して「今この操作を許すか」を決める仕事です。ID管理が遅れると、アクセス管理のポリシーが正しくても退職者のIDが残ります。システムへのアカウント反映を自動化する方法はSCIMとは？ID自動プロビジョニングの仕組みで解説しています。
条件付きアクセスを入れると利用者の手間は増えますか？
設計次第で、むしろ減らせます。会社管理の端末から社内の場所で使うときは追加の確認なし、私物端末や海外からの接続のときだけ多要素認証を求める、という分け方ができるためです。手間が増えるのは、すべてのアクセスに毎回の多要素認証を一律で求める設定にした場合です。最初はレポートのみのモードで、どの利用者がどの条件に当たるかを確かめてから有効にしてください。
関連記事
- ゼロトラストとは？境界型防御との違い・NIST7原則と導入判断を解説：ゼロトラストの原則と境界型との違いを全体から整理しています。
- シングルサインオンのデメリット：単一障害点とID漏えいの被害拡大、費用と打ち消し方：入口を1つにしたときのリスクと打ち消し方です。
- シングルサインオン比較：SSO製品・IDaaSの選び方と料金、自社システム組込みの判断：SSO製品を選ぶ段階の比較軸と料金です。
- IDaaSとは？SSO・IdPとの違いとSAML・OIDC・SCIM連携を実装視点で解説：SSOとID管理をまとめて提供するIDaaSの機能範囲です。
