--- title: "シングルサインオンのデメリット：単一障害点とID漏えいの被害拡大、費用と打ち消し方" url: "https://www.issoh.co.jp/column/details/18688/" published: 2026-10-21 updated: 2026-10-21 categories: ["セキュリティ"] publisher: "株式会社一創" --- # シングルサインオンのデメリット：単一障害点とID漏えいの被害拡大、費用と打ち消し方 シングルサインオン（SSO）を入れると、ログインの入口が1か所に集まります。入口が止まればすべてのシステムに入れなくなり、入口のIDが盗まれればすべてのシステムに入られる。これがSSOのデメリットの中心です。本記事では、SSOのデメリットを影響の大きい順に5つに分け、Oktaの2023年の侵害事例やMicrosoft Entra IDの稼働実績といった一次情報で、どの程度の頻度と規模で起きるのかを示します。そのうえで整理するのは、多要素認証・緊急アクセス用アカウント・セッションの長さの設定で打ち消す方法と、打ち消せない組織が導入を見送る条件です。メリットとの比べ方も扱うので、導入稟議の「リスク」欄をそのまま埋められます。 ## まとめ：SSOのデメリットは停止と乗っ取りの影響範囲、打ち消せるかで導入を判断 SSOのデメリットのうち、実務で最初に手を打つべきなのは「入口のIDが乗っ取られると全システムに入られる」点です。Oktaのサポートシステム侵害では134社のファイルが取得され、そのうち5社で正規のセッションが乗っ取られました。IdP（認証を担うサービス）へのログインにフィッシングに強い多要素認証を必須にし、ヘルプデスクでの認証リセット手順を固めることで、この影響はかなり抑えられます。 2番目はIdPの停止です。大手クラウドIdPの停止は年に数えるほどですが、起きたときの止まり方は全社規模になります。緊急アクセス用アカウントを2つ以上用意し、90日ごとに使えるかを確かめる運用を持てるかどうかが分かれ目です。 費用・セッションの長さ・古いシステムとの連携は、設定と計画で対処できる項目です。逆に、多要素認証を全員に配れない、緊急時の手順を管理する担当者がいない、連携先が2つ程度しかない組織では、SSOを入れてもデメリットのほうが残ります。その場合は導入を見送り、各システムの多要素認証を先に整えます。 ## シングルサインオンのデメリット5つと影響範囲の大きさで並べた優先順位 SSOの仕組みそのものは[シングルサインオン（SSO）とは？4つの実現方式とIDトークン検証・IdP選定を実装手順で解説](https://www.issoh.co.jp/tech/details/15821/)で扱っています。ここではデメリットだけを取り出し、起きたときの影響の大きさで順位をつけます。 ### 影響範囲と打ち消しやすさで比べたSSOのデメリット5項目の一覧 競合記事の多くはデメリットを同じ重さで並べますが、実務では重みがまったく違います。上の2つは全社に影響し、下の3つは設定と計画で小さくできます。 | 順位 | デメリット | 起きたときの影響 | 主な打ち消し手段 | | -- | ------------- | --------------- | ---------------- | | 1 | ID漏えい時の被害拡大 | 連携先すべてに不正ログイン | フィッシング耐性のある多要素認証 | | 2 | IdP停止の単一障害点 | 連携先すべてにログイン不可 | 緊急アクセス用アカウント | | 3 | セッションが長く残る | 放置端末・共有PCからの利用 | サインイン頻度の設定 | | 4 | 費用が人数に比例して増える | 年間数十万〜数百万円の固定費 | 人数と連携先数での試算 | | 5 | 古いシステムがつながらない | 代理認証が残りパスワードも残る | 改修計画と対象一覧の管理 | 1と2は「SSOだから大きくなる」リスクで、SSOをやめる以外に完全には消えません。3〜5は導入のやり方で差が出る項目です。稟議では1と2の対策が用意できるかを先に書くと、議論が早く進みます。 ### 1つのIDが漏れると連携先すべてに入られるOkta侵害で見た被害の広がり方 SSOでは、IdPに一度ログインした状態（セッション）があれば、連携先のシステムはパスワードを聞き直しません。便利さの源泉がそのまま弱点になります。 Oktaが2023年11月3日に公開した[サポートシステム不正アクセスの根本原因報告](https://sec.okta.com/articles/2023/11/unauthorized-access-oktas-support-case-management-system-root-cause/)によると、攻撃者は従業員の個人Googleアカウントに保存されていたサービスアカウントの認証情報で侵入しました。9月28日から10月17日までに134社（全顧客の1%未満）のファイルが取得され、その中のHARファイル（ブラウザの通信記録）に含まれていたセッショントークンで、5社の正規のOktaセッションが乗っ取られています。 注目すべきは、パスワードも多要素認証も突破されていない点です。ログイン済みの証拠（セッショントークン）が盗まれれば、それだけで中に入れます。SSOでは、この1つのトークンで届く範囲が連携先すべてに広がります。 ### IdP停止で全システムに入れなくなる単一障害点とEntra IDの稼働実績 IdPが止まると、連携したシステムが個別には動いていても、誰もログインできなくなります。Microsoftが公開している[Microsoft Entra IDのSLAパフォーマンス](https://learn.microsoft.com/ja-jp/entra/identity/monitoring-health/reference-sla-performance)では、2022年以降の月別の認証可用性はほぼ99.998〜99.999%で推移しています。一方で2021年3月は99.568%でした。 99.568%は、ひと月を30日として単純に換算すると約3時間分の認証失敗に当たります（実際の算出はユーザーごとの分単位で、時刻の長さそのものではありません）。頻度は低くても、起きた月は全社の業務が同時に止まります。自前でIdPを運用する場合は、この稼働率を自社で出す必要があり、大手クラウドより低くなるのが普通です。 ### セッションが長く残るため放置端末や共有PCから入られる既定値の問題 SSOのセッションは、ユーザーの手間を減らすために長めに設定されています。Microsoft Entra IDの[セッションの有効期間に関する公式ドキュメント](https://learn.microsoft.com/ja-jp/entra/identity/conditional-access/concept-session-lifetime)では、サインイン頻度の既定値は90日間のローリング ウィンドウと書かれています。パスワード変更やアカウント無効化があればセッションは取り消されますが、何も起きなければ再ログインは求められません。 個人の業務PCなら合理的な既定値です。問題は、共有PCや私物端末、退職予定者の端末にこの長いセッションが残る場面です。端末を持ち出されると、連携先すべてにそのまま入れます。 ### 導入費と運用費が人数と連携先の数に比例して増える費用面の負担 SSOは1ユーザーあたりの月額課金が基本です。[Microsoft Entraの価格ページ](https://www.microsoft.com/ja-jp/security/microsoft-entra-pricing)ではEntra ID P1が1,049円（ユーザー・月相当、年払い、税抜）、[Oktaのプランと価格](https://www.okta.com/ja-jp/pricing/)ではStarterが940円で、年間契約の最低額は240,000円です（いずれも2026年10月21日時点）。300人でEntra ID P1なら年間3,776,400円になります。 ライセンス費のほかに、自社開発システムをSAMLやOIDCに対応させる改修費、IdPの設定変更や連携追加の作業が毎年発生します。製品ごとの費用の試算は[シングルサインオン比較：SSO製品・IDaaSの選び方と料金、自社システム組込みの判断](https://www.issoh.co.jp/column/details/18686/)で人数別に並べています。 ### SAML非対応の古い業務システムが残り代理認証でパスワードも残る制約 SAMLにもOIDCにも対応していない古いシステムは、ID・パスワードを代わりに入力する代理認証でつなぐことになります。この場合、システム側には従来のパスワードが残り、SSOを通らない裏口になります。 SSOの多要素認証も裏口には効きません。代理認証でつないだシステムは一覧にし、改修か廃止の時期を決めておきます。一覧が無いまま運用すると、「SSOで守っているつもり」の範囲と実際の範囲がずれていきます。 ## シングルサインオンのメリットと比べてデメリットが上回る組織の条件 ### パスワード入力の削減と退職者アカウントの一括停止というメリットの大きさ SSOのメリットは大きく2つです。1つはログインの手間とパスワードの数が減ること、もう1つは退職者や異動者のアカウントをIdPで止めれば連携先すべてに入れなくなることです。実務上の価値は後者のほうが大きく、10以上のSaaSを使う組織では、退職時に各システムのアカウントを手作業で消す漏れがなくなります。 ただし、IdPで止めても連携先のアカウント自体は残ります。台帳から消すところまで自動にするには、SCIMでの連携が別に必要です。仕組みは[SCIMとは？ID自動プロビジョニングの仕組みとエンドポイント実装を解説](https://www.issoh.co.jp/tech/details/15876/)で確認できます。 ### 連携先が3システム未満でパスワード管理ツールで足りる組織はデメリットが勝つ 使うシステムが2つ程度なら、メリットの「手間の削減」はほとんど感じられません。一方で単一障害点と乗っ取り時の影響は、連携先の数にかかわらず発生します。Oktaの年間最低額240,000円をこの規模で払うと、1システムあたり年12万円の負担になります。 連携先が3未満、かつ入退社が年に数件という組織では、各システムで多要素認証を有効にし、パスワード管理ツールで強いパスワードを配るほうが費用もリスクも小さく済みます。 ## SSOのセキュリティ上のデメリットを多要素認証とセッション設定で打ち消す手順 ### IdPへのログインにフィッシング耐性のある多要素認証を必須にする設定 入口が1つになるなら、その入口だけを最も強く守ればよい、という発想に切り替えます。米CISAの[Scattered Spiderに関する注意喚起（AA23-320A）](https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a)は、認証通知を繰り返し送って承認させるMFA疲労攻撃やSIMスワップの手口を挙げ、FIDO/WebAuthnまたはPKIベースの多要素認証の導入を推奨しています。 SMSや承認ボタンだけの通知は、この手口に弱い方式です。IdPへのログインはパスキーやセキュリティキーに寄せます。方式ごとの強さの違いは[多要素認証（MFA）とは？3要素と実装方式・耐フィッシングMFAをコード付きで解説](https://www.issoh.co.jp/tech/details/13314/)、従業員向けの導入の進め方は[パスキー認証とは？仕組み・パスワードとの違い・企業の導入判断を解説](https://www.issoh.co.jp/column/details/15368/)で扱っています。 ### ヘルプデスクでの多要素認証リセットを本人確認つきの手順に改める理由 多要素認証を強くしても、ヘルプデスクが電話一本で認証端末の再登録を受け付けると突破されます。AA23-320Aの2025年7月29日の改訂では、従業員になりすましてヘルプデスクにパスワードリセットやMFAの別端末への移行を依頼し、SSO環境でアカウントを乗っ取る手口が追加されました。 リセットの依頼は、登録済みの連絡先へのかけ直し、上長の承認、対面またはビデオでの本人確認のうち2つ以上を条件にします。手順が文書になっていない組織は、SSOを入れる前にここを決めてください。 ### サインイン頻度と条件付きアクセスで長すぎるセッションを短く切る基準 Microsoft Entra IDでは、条件付きアクセスのサインイン頻度でセッションの長さを対象ごとに変えられます。条件付きアクセスはEntra ID P1以上の機能です。全員を短くするのではなく、管理画面・共有端末・社外ネットワークからの利用など、対象を絞って短くします。 公式ドキュメントは、再認証を頻繁に求めるとユーザーが考えずに資格情報を入力する癖がつき、偽のログイン画面にも入力してしまう危険があると注意しています。既定の90日はそのままにし、管理者権限と共有端末だけを1日以内にする、という絞り方が現実的です。 ### IdPの署名鍵と管理者権限を守るSAMLトークン偽造への備え IdPそのものが乗っ取られた場合の被害は、利用者1人のID漏えいより桁違いに大きくなります。MITRE ATT&CKの[T1606.002（SAMLトークンの偽造）](https://attack.mitre.org/techniques/T1606/002/)では、トークン署名証明書を入手した攻撃者が、任意の権限と有効期間を持つSAMLトークンを作れると説明されています。この場合、多要素認証による防御も迂回の対象です。 自前でIdPを運用する場合は、署名鍵を置くサーバーへの管理者アクセスを専用端末からに限り、IdPの管理者権限を持つ人数を最小にします。偽造が疑われるときに必要なのは、署名証明書を短期間に2回続けて入れ替え、既存のトークンを無効にする対応です。SAMLの署名の仕組みは[SAMLとは？認証フロー・IdP/SPの仕組みとOAuth・OIDCとの使い分けを実装視点で解説](https://www.issoh.co.jp/tech/details/13299/)にまとめています。 ## IdP停止の単一障害点に備える緊急アクセス用アカウントと停止時の手順 ### 緊急アクセス用アカウントを2つ以上クラウド専用で用意する構成の条件 Microsoftの[緊急アクセス用管理者アカウントの管理ガイド](https://learn.microsoft.com/ja-jp/entra/identity/role-based-access-control/security-emergency-access)は、IdPの停止や多要素認証の端末が使えない事態に備え、次の条件で緊急用アカウントを持つよう求めています。 - 少なくとも2つ用意し、特定の個人に結びつけない - 外部のIdPやオンプレミスのADに依存しないクラウド専用アカウントにする - 通常の管理者とは別の、パスキー（FIDO2）または証明書ベースの認証を使う - サインインを制限する条件付きアクセスの対象から外す - 使われたら必ず通知が飛ぶよう、サインインと監査ログを監視する ガイドは、フェデレーションしたSaaSや社内の重要システムにも同じ考え方の緊急用アカウントが要ると述べています。SSOでつないだ業務システムごとに、SSOを経由しない管理者アカウントを1つ残し、その資格情報を耐火金庫などに保管します。 ### 停止時の手順書と90日ごとの検証訓練で備えを形骸化させない運用 緊急用アカウントは、使えることを確かめていなければ存在しないのと同じです。同じガイドは、少なくとも90日ごとの検証と、IT担当者の退職・異動時の見直しを求めています。 1. IdPが停止したと判断する基準（ステータスページ、社内からの申告件数）を決める 2. 緊急用アカウントを使う担当者と、金庫を開ける承認者を2名以上決めておく 3. 止まると業務が止まるシステムの順に、緊急用アカウントでログインする手順を書く 4. 90日ごとに実際にログインし、監視の通知が届くかまで確認する 5. 使った後はパスワードや鍵を入れ替え、使った理由と操作を記録する この手順を持てない組織にとって、IdP停止は「対策のない全社停止」になります。次の章の見送り条件に入る典型です。 ## SSOの導入を見送る条件と自社開発システムに組み込む前の判断基準 ### 多要素認証の配布と緊急時の手順を担う人がいない組織は導入を見送る SSOのデメリットを打ち消す手段は、どれも「人が運用し続けること」を前提にしています。次のどれかに当てはまる組織は、導入を見送るか、先に条件を整えます。 全員にパスキーやセキュリティキーを配る予算と手間がかけられない。ヘルプデスクの本人確認手順を決める担当がいない。緊急用アカウントの90日ごとの検証を回す担当がいない。この状態でSSOを入れると、入口は1つに集まったのに、その入口を守る人がいないことになります。 見送る場合も、各システムの多要素認証は今日から有効にできます。SSOのセキュリティ面の効果の多くは、多要素認証で先に得られます。 ### 自社開発システムにSSOを組み込むときログアウトと権限で詰まる箇所 自社開発の業務システムや会員サイトをSSOにつなぐ場合、デメリットは製品の選び方よりシステム側の設計で大きくなります。IdPでログアウトしても業務システム側のセッションが残る、ユーザーIDの持ち方が違い権限が正しく付かない、といった問題がよく起きます。他社がどの型でSSOを入れたかは[シングルサインオンの公開事例](https://www.issoh.co.jp/column/details/18690/)で整理しています。 業務システム側のセッションを短めにし、IdPでアカウントを止めたときに業務システムのセッションも失効する仕組みを入れておくと、退職者が残ったセッションで入れる時間を短くできます。自社システムのログイン改修や、緊急用アカウントを含めた認証基盤の設計から相談したい場合は、[認証基盤・ID管理システム開発](https://www.issoh.co.jp/service/system/identity/)の支援範囲をご覧ください。 ## シングルサインオンのデメリットでよくある質問：安全性・停止時・費用の疑問 SSOの導入を検討する担当者から出やすい、リスクと費用の質問に答えます。 ### シングルサインオンを導入するとセキュリティは下がりますか？ 入口が1つになるため、入口を突破されたときの被害は大きくなります。一方で、入口が1つなので強い多要素認証を全員に一律でかけやすくなります。IdPへのログインにパスキーやセキュリティキーを必須にし、ヘルプデスクの本人確認手順を固めれば、各システムで別々のパスワードを使う状態より安全になる組織が多いです。認証全体の考え方は[認証・ID管理とは？MFA・SSO・OIDC・IDaaSの違いと選定を解説【2026年版】](https://www.issoh.co.jp/column/details/13631/)で整理しています。 ### IdPが停止したら業務はどうなりますか？ 連携したシステムが動いていても、新しくログインすることはできなくなります。すでにログイン済みのセッションは、システムによってはしばらく利用を続けられる状態です。停止中に管理作業を行うために、SSOを経由しない緊急アクセス用アカウントを2つ以上用意し、使う担当者・保管場所・手順を決めておきます。90日ごとに実際にログインできるかを確かめます。 ### SSOを入れれば多要素認証は不要になりますか？ 不要にはなりません。SSOは「ログインの回数を減らす仕組み」で、ログインそのものの強さは変わらないためです。むしろ入口が1つになる分、IdPへのログインには多要素認証が必須です。SMSや承認ボタンだけの方式は、通知を連打して承認させる攻撃に弱いため、パスキーなどフィッシングに強い方式を選びます。 ### シングルサインオンの費用は年間でどのくらいかかりますか？ ライセンス費は1ユーザー月額数百円から3,000円程度です。Microsoft Entra ID P1の1,049円なら、300人で年間約378万円になります（2026年10月21日時点の公開価格・税抜）。これに、自社開発システムをSAMLやOIDCに対応させる改修費と、連携追加や設定変更の運用工数が加わります。人数が少ない場合は、最低契約数や年間最低額で1人あたりの単価が上がる点にも注意が必要です。 ### SSOのデメリットを減らすために導入前に決めておくことは何ですか？ 4つあります。IdPへのログインに使う多要素認証の方式、ヘルプデスクでの認証リセットの本人確認手順、緊急アクセス用アカウントの数と保管場所、共有端末や管理者権限のセッションの長さです。加えて、SAMLやOIDCに対応していないシステムの一覧を作り、代理認証でつなぐか改修するかを決めておくと、導入後に裏口が残りません。 ## 関連記事 - [IDaaSとは？SSO・IdPとの違いとSAML・OIDC・SCIM連携を実装視点で解説](https://www.issoh.co.jp/tech/details/16401/)：SSOをクラウドで提供するIDaaSの機能範囲を整理しています。 - [ゼロトラストとは？境界型防御との違い・NIST7原則と導入判断を解説](https://www.issoh.co.jp/column/details/13096/)：SSOを入口にしたアクセス管理全体の考え方です。 - [アクセス管理とシングルサインオンの違い：認証と認可の分担とゼロトラスト移行の順番](https://www.issoh.co.jp/column/details/18692/)：SSOとアクセス管理の役割分担と、SSOだけでは埋まらない認可の範囲です。 - [パスワードレス認証とは？方式4分類の実装難度と移行判断を実装者向けに解説](https://www.issoh.co.jp/tech/details/16411/)：IdPへのログインをパスワードなしに移す方式の比較です。 - [SAML NameIDFormatとメタデータの不一致でSSOが失敗する原因の切り分け](https://www.issoh.co.jp/tech/details/17589/)：SSO導入後につながらないときの確認手順です。 --- 出典: [シングルサインオンのデメリット：単一障害点とID漏えいの被害拡大、費用と打ち消し方]()（株式会社一創）