社内のVPNはVPN専用のID、クラウドサービスは別のID、Active Directoryはまた別――このようにログイン情報が分散していると、退職者のアカウント削除漏れやパスワードの使い回しが起こりやすくなります。企業への侵入経路としてVPN機器が大きな割合を占めるなか、ID管理の見直しは多くの情報システム担当者にとって切実な課題です。
こうした状況を整理する手段が、VPNのログインを社内のID基盤（Active DirectoryやクラウドのIdPなど）と統合し、シングルサインオン（SSO）でまとめる方法です。本記事では、VPNをSSO化する実現方式の全体像と、FortiGateなど自社のVPN製品での設定の流れ、SSOとアクセス管理（認証と認可）の違い、そして実現できるID管理サービスまでを解説します。
読み終えるころには、自社のVPNに使える方式を1〜2つに絞り込み、設定で何を準備すればよいか、どのID管理サービスが候補になるかを判断できる状態を目指します。
目次
一括ダウンロードする
VPNをSSO化する実現方式の一覧
VPNをSSO化する方式は、大きく4つに分けられます。SAML／IdP連携、AD・LDAP連携、証明書による端末認証、代理認証です。自社のVPNやID基盤の構成によって当てはまる方式が変わるため、まずはそれぞれが何と何を結び、どんな環境に向くかを下の比較表で整理します。
| SAML／IdP連携 | AD・LDAP連携 | 証明書による端末認証 | 代理認証 | |
|---|---|---|---|---|
| 主に結ぶ認証先 | クラウドサービス／SAML対応のVPN機器（FortiGateなど） | 社内のActive Directory／LDAPディレクトリ | 端末（デバイス証明書）／クライアント証明書に対応したVPN | 標準的な認証連携を持たないVPN・デスクトップアプリなど |
| できること | VPNをSP（サービス提供者）、Entra IDなどをIdP（ID提供者）とし、IdPでの認証結果でVPNにログインする。多要素認証や条件付きアクセスをIdP側に集約できる | 普段社内で使うアカウントでVPNにログインする。所属グループ単位でアクセスを制御できる | 配布した証明書を持つ端末だけにVPN接続を許可する。MDMやSCEPで証明書を配布する | 保管した資格情報をエージェントなどが代理で入力し、ログインを自動化する |
| メリット | クラウドと同じIDに一元化でき、退職時はIdPを止めればVPNも使えなくなる | 既存のADをそのまま活かせ、オンプレ中心の環境で設定しやすい | パスワードに依存せず、許可した端末に接続を限定できる | 標準規格に対応しないシステムもSSOの対象に含めやすい |
| 注意点 | VPN機器がSAMLに対応している必要がある。FortiGateではIKEv2のみ対応などの制約がある | クラウドのSSOまでまとめるには別途連携が必要。多要素認証はRADIUSなどで補う | 証明書の発行・更新・失効を管理する運用（PKI）が前提になる | 業界共通の標準規格がなく実装は製品ごとに異なる。資格情報の保護が前提になる |
| 向く環境 | Entra IDなどのクラウドIdPを導入済み、または統合したい環境 | オンプレミスのADが社内IDの中心になっている環境 | 会社が管理する端末からのみ接続を許したい環境 | SAMLなどに対応しない既存システムも含めてまとめたい環境 |
※上記は各方式の一般的な特徴の整理です。実際の対応可否や制約は、利用するVPN機器・ID管理サービスの仕様によって異なるため、各社情報をご確認ください。
SAML／IdP連携（クラウドIdP・AD FS）
SAML（Security Assertion Markup Language）は、利用者の本人確認を担うIdP（ID提供者）と、サービス側のSP（サービス提供者）との間で認証結果を安全に受け渡しするための標準規格です。VPNをSPとして登録し、クラウドのIdPやAD FSと連携させると、IdPでの一度の認証結果をもとにVPNへログインできます。
to support Multi-Domain Single Sign-On (MDSSO, or often just SSO), SAML defines the roles called identity provider (IdP) and service provider (SP).
出典：Security Assertion Markup Language (SAML) V2.0 Technical Overview｜OASIS
IdPは、アサーションと呼ばれる情報のまとまりで「この利用者が誰で、どのような方法で認証されたか」をSPに伝え、SPはその情報をもとにアクセスを許可します。クラウドサービスと同じID基盤でVPNのログインをまとめられるため、多要素認証や接続元・端末に応じた条件付きアクセスをIdP側に集約できる点が、この方式の中心的な利点です。
クラウド中心の環境では、OAuth 2.0の上に本人確認の仕組みを載せたOpenID Connect（OIDC）を用いる構成もあります。いずれの場合も、VPN単体でID・パスワードを持たせず、ID基盤に認証を預ける考え方は共通です。
AD・LDAP連携
Active Directory（AD）やLDAPは、社内のアカウント情報を集約して管理するディレクトリサービスです。VPNをこのディレクトリと連携させると、利用者は普段社内で使っているアカウントでVPNにログインでき、所属グループに応じたアクセス制御も設定できます。
すでにオンプレミスのADが社内IDの中心になっている環境では、既存の資産をそのまま活かせるため導入のハードルが低い方式です。Windowsドメイン環境では、VPN接続時にドメインの資格情報をそのまま使うSSOの仕組みも用意されており、必要な前提は後述の設定の章で扱います。
一方で、クラウドサービスのSSOまで一度にまとめるには、ADとクラウドIdPを連携させる追加の構成が必要です。多要素認証を加える場合も、RADIUSなどの仕組みを別途組み合わせるのが一般的です。
証明書による端末認証
証明書による端末認証は、あらかじめ配布したデジタル証明書を持つ端末だけにVPN接続を許可する方式です。パスワードの入力に頼らず、端末そのものを本人確認の材料にできます。
証明書は、MDM（モバイルデバイス管理）やSCEP（証明書を自動で発行・配布する仕組み）を使って端末へ配布します。Microsoftの公式ドキュメントでも、VPN接続時の資格情報として、ユーザー名とパスワードのほかに、TPMやスマートカードに保存した証明書を利用する構成が示されています。
この方式では、証明書の発行・更新・失効を管理するPKI（公開鍵基盤）の運用が前提になります。許可した端末以外からの接続を遮断できる一方で、証明書の管理体制を整える必要がある点に注意が必要です。
代理認証
代理認証は、利用者の資格情報をあらかじめ安全に保管しておき、ログイン画面が表示されたときに専用のエージェントなどがその資格情報を代理で入力する方式です。SAMLのような標準的な認証連携に対応していないシステムでも、ログインを自動化してSSOの対象に含めやすくなります。
SAML・OIDCやKerberos／LDAPのような業界共通の標準規格が代理認証にはなく、実装は製品ごとに異なります。資格情報を保管して代理で入力する仕組みのため、その保管と保護の方式も製品によって差があります。
そのため、対象にできるシステムの範囲や安全性の確保の方法は、製品の仕様を個別に確認する必要があります。SAMLに対応しない社内システム向けに代理認証を備える製品もあり、具体的な対応はこの記事後半のサービス一覧で見比べられます。
自社のVPN製品（FortiGateなど）でSSOを設定する流れと前提条件
ここからは、自社のVPNをSSO化するときの設定の流れと、事前に確認しておきたい前提条件を解説します。ここでは広く使われているFortiGate × Microsoft Entra ID（SAML）を代表例に取り上げ、オンプレミスのActive Directoryを使うAD・LDAP連携の設定の要点もあわせて示します。
FortiGate × Entra ID（SAML／IPsec-VPN）設定の流れ
FortiGateをSAMLでSSO化する場合、FortiGateがSP、Entra IDがIdPという関係になります。ベンダーの技術資料でも、「SP」がFortiGate、「IdP」がMicrosoft Entra IDとなる構成が示されています。
設定の大きな流れは次のとおりです。はじめにEntra ID側でFortiGate用のアプリケーションを登録し、SAML連携に必要な証明書やエンドポイントの情報を用意します。続いてFortiGate側でEntra IDをSAMLのIdPとして登録し、VPNの設定に組み込みます。
設定を終えたら、利用者の端末のVPNクライアントから接続を試し、Entra IDのログイン画面を経由してVPNにつながることを確認します。具体的な設定画面や手順は、検証環境を明示したベンダーの技術資料が参考になります。
この構成でつまずきやすいのは、主に次の3点です。接続できないときは、まずここを確認すると切り分けが進みます。
- 属性マッピング：IdP側でユーザーを識別する属性（NameID・メール・UPNなど）をVPN側の想定と一致させる
- ユーザー・グループの割り当て：Entra ID側でVPN用アプリに対象ユーザー／グループを割り当てないと認証が通らない
- クライアント側の設定：FortiClientなどVPNクライアントでSAMLログインを有効にする
設定の前提条件・制約
SAMLによるSSOを設定する前に、いくつかの前提を確認しておく必要があります。FortiGateでSAML認証を使う場合、接続方式はIKEv2のみがサポートされます。ベンダーの技術資料でも「SAML認証を実装する際は、IKEバージョン2のみサポートしています。」と明記されています。
必要なバージョンは、FortiGateの基本ソフトであるFortiOS v7.2.4以降とされています。あるベンダーの検証では、FortiGate v7.4.8とFortiClient VPN（無償版・Windows）v7.4.3という環境で動作が確認されています。導入前に、自社の機器のバージョンがこの条件を満たすかを確かめておくと、設定時に詰まる事態を避けられます。
また、Windowsのドメイン資格情報でVPNのSSOを行う構成では、端末からDNSサーバーとドメインコントローラーへ接続できることや、証明書を扱う場合のテンプレート設定など、ネットワークと証明書まわりの前提が公式に整理されています。方式によって必要な前提が異なるため、選んだ方式に応じた確認が必要です。
SSL-VPNの廃止とIPsecへの移行
FortiGateをこれからSSO化するなら、VPNの接続方式の動向も押さえておく必要があります。Fortinetは、独自方式であったSSL-VPNのトンネルモードを廃止し、標準規格に基づくIPsec VPNへ置き換える方針を公式に示しています。
Starting from FortiOS 7.6.3, the proprietary SSL VPN tunnel mode is replaced with standards-based IPsec VPN tunnel.
出典：Migration from SSL VPN tunnel mode to IPsec VPN｜Fortinet Document Library
廃止の対象はトンネルモードで、ブラウザ経由で利用するウェブモードはAgentless VPNと名前を変えて存続します。これからVPNのSSO化を設計するなら、IPsecとSAMLを前提に進めるのが現実的です。既存のSSL-VPNトンネルモードの設定は、該当バージョンへのアップグレード時に引き継がれないため、移行の計画もあわせて立てておくことが望まれます。
AD・LDAP連携（Windowsドメイン資格情報）の場合の設定の要点
オンプレミスのActive Directoryを認証先にする場合は、VPNゲートウェイからRADIUS（Windows ServerのNPSなど）を経由してADに認証させる構成か、LDAPで直接ADにバインドする構成が一般的です。利用者は普段のドメイン資格情報でVPNにログインできます。
事前に準備するものは、RADIUSを使う場合のNPS／RADIUSサーバーと、アクセスを所属単位で絞るためのADのグループ設計です。多要素認証を加える場合も、このRADIUS経由で組み合わせるのが一般的です。
証明書を併用して端末を限定する場合は、クライアント認証用のEKUを含む証明書テンプレートや、SCEPで自動配布するときのNDESサーバーの構成が加わります。これらの資格情報・証明書・AD側の要件は、前述のMicrosoft公式ドキュメントに整理されています。
証明書による端末認証や代理認証の具体的な設定画面は製品ごとに異なります。どの製品がどの方式に対応するかは、冒頭の方式一覧とこの後のサービス一覧で確認できます。
自社のVPNに合う方式と設定の見当がついたら、対応するID管理サービスの資料を見比べると、具体的な製品選びを進めやすくなります。
一括ダウンロードする
SSOとアクセス管理（認証と認可）の違い
ここでは、VPNをSSO化するときに混同しやすい「認証」と「認可」の違いを整理します。SSOを入れればアクセス管理まで完結するのか、という疑問に答える部分です。
認証は本人確認、認可は入った後の可否とログ
結論から言えば、認証と認可は別の役割です。認証は「その人が誰か」を確かめる本人確認で、SSOが一度にまとめているのはこの部分です。認可は「その人に何を許すか」を判定し、記録する仕組みで、認証とは分けて考える必要があります。
本人確認について、OpenID Connectの規格では、認証を、対象となる実体が提示された識別情報と確かに結びついていることを十分に確認する処理として定義しています。一方で、一度の認証がすべての資源へのアクセスを自動的に許すわけではありません。NISTのゼロトラストに関する文書は、この点を次のように示しています。
authentication and authorization to one resource will not automatically grant access to a different resource.
出典：NIST Special Publication 800-207 Zero Trust Architecture｜NIST
つまり、SSOでVPNへの入口を1つにまとめても、VPNに入った後に「どのシステムの何を操作してよいか」の判定と、その記録（ログ）は別に用意する必要があります。SSOは本人確認を効率化する仕組みであって、アクセス管理のすべてを置き換えるものではありません。
ゼロトラスト・条件付きアクセスでのSSOの位置づけ
近年は、社内ネットワークの内側を一律に信頼せず、アクセスのたびに可否を判断するゼロトラストの考え方が広がっています。この枠組みでも、SSOは重要な部品の一つとして位置づけられます。
NISTの文書では、アクセスを許すかどうかの最終判断を担うポリシーエンジンと、その判断を実行して接続の有効化・監視・終了を行うポリシー実施点という部品が整理されています。SSO（本人確認の結果）は、こうした判断の入力の一つであり、何を許すかの決定と実施は、SSOとは別の部品が担います。
SSOの上に条件付きアクセスを重ねることで、同じIDでも端末や接続元に応じて追加の確認を求めるといった制御ができます。ただし、業務システム側に残る画面やAPIごとの権限チェックまでSSOが肩代わりするわけではないため、重要なシステムには個別の認可の併用が求められます。
VPNをSSO化するメリットと注意点
ここでは、VPNをSSO化することで得られる効果と、導入前に知っておきたい注意点を、両面から整理します。
VPN運用のリスクがSSO化を後押しする理由
VPNをSSO化する動機の多くは、ID・パスワードの運用に起因するリスクにあります。VPN専用のID・パスワードが使い回されていたり、退職者や異動者のアカウントが残ったままになっていたりすると、そこが侵入の入口になりかねません。警察庁の最新の統計でも、企業などへの侵入経路としてVPN機器が大きな割合を占めることが示されています。
被害組織へのアンケート結果によると、侵入経路は VPN 機器が約５割を占める状況である。攻撃者は、未修正のぜい弱性や漏えいした認証情報等を悪用して組織のネットワークへ侵入する。
出典：令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について｜警察庁
侵入経路としての割合は、令和8年上半期の報告によるものです。その原因については、前年（令和7年上半期）の報告が、機器のID・パスワードが安易だったことや、不要なアカウントが適切に管理されずに残っていたことなどを挙げています。
VPNのログインをID基盤に統合してSSO化すれば、こうしたアカウントを一元的に棚卸しし、退職時にまとめて止めることができます。
出典・参考資料（2件）
メリット：ID一元化・退職者の即停止・多要素認証の一律付与
SSO化の効果は、主に3つにまとめられます。1つ目は、分散していたVPN・クラウド・社内システムのIDをID基盤に一元化できることです。棚卸しの手間が減り、誰がどのシステムを使えるかを把握しやすくなります。
2つ目は、退職や異動のときにID基盤でアカウントを止めれば、VPNを含む連携先すべてのアクセスをまとめて停止できることです。消し忘れによる放置アカウントを減らせます。3つ目は、多要素認証をID基盤側で一律に適用できることです。VPN単体では対応が難しい追加の本人確認を、ログイン全体に広げられます。
この多要素認証について、SSO化まで進めずに既存のVPNへ認証だけを後付けしたい場合や、認証方式・既存システムとの連携・料金で製品を見比べたい場合は、以下の記事で多要素認証システムをタイプ別に比較しています。
多要素認証（MFA）システムおすすめ17選を徹底比較｜認証方式・料金・タイプ別の選び方
ID とパスワードだけのログインは、もはや「鍵をかけていない」のと同じ状態に近づいています。攻撃者は流出したパスワードのリストを使い回し、本物そっくりの偽サイトで認証情報を抜き取り、正規利用者になりすまして社内システムやクラウドサービスへ侵…
注意点：SSO基盤が単一障害点になりうる
一方で、ID基盤にログインを集約することは、その基盤が止まると連携先すべてにログインできなくなることを意味します。SSO基盤が単一障害点にならないよう、可用性の設計が重要になります。
対策としては、ID基盤の冗長化や、障害時に備えたフォールバックの認証手段をあらかじめ用意しておく方法があります。ID基盤が一時的に使えないときにVPN接続をどう維持するか、緊急時の運用手順を決めておくことで、SSO化に伴うリスクを抑えられます。利便性だけでなく、こうした可用性の面も含めて導入を判断することが重要です。
VPNのSSO化を実現できるサービス
ここからは、VPNのSSO化を実現できるID管理サービスを、対応するSSO方式・多要素認証・連携できるVPN・ネットワーク機器といった観点で、下の比較表にまとめます。
表を読むときは、対応方式にSAMLがある製品はVPN自体をSSO化でき、RADIUS中心の製品は既存のVPNに多要素認証を後付けする使い方が主、という見分け方を手がかりにすると、自社の狙いに合う製品を絞りやすくなります。
| サービス名 | CloudGate UNO | Okta | Microsoft Entra ID | OneLogin | Cisco Duo | RSA ID Plus | Soliton OneGate | Entrust Identity | SafeNet Trusted Access | JumpCloud |
|---|---|---|---|---|---|---|---|---|---|---|
| SSO・VPN連携方式 | SAML／OIDC・証明書（デバイス証明書） | SAML／OIDC・RADIUS | SAML／OIDC・RADIUS（NPS拡張機能） | SAML／OIDC・RADIUS・LDAP | RADIUS・SAML | SAML／OIDC・RADIUS（E1プラン以上） | SAML／OIDC・証明書（EAP-TLS）・VPN（PAP）・代理認証 | SAML／OIDC・RADIUS・証明書（PKI） | SAML／OIDC・RADIUS・証明書（PKI、Premium） | SAML／OIDC・RADIUS（Cloud RADIUS） |
| 多要素認証（MFA） | FIDO2／パスキー・生体認証・OTP（パスワードレス対応） | Okta Verify／FastPass・FIDO2・OTP ほか （RADIUS経由はプッシュ・OTP中心） | Microsoft Authenticator・パスキー（FIDO2）・証明書・OTP ほか | OneLogin Protect・WebAuthn／生体・SMS／OTP ほか | Duo Push／Verified Push・FIDO2・OTP ほか （RADIUS経由はプッシュ・OTP中心） | ハードウェアトークン・FIDO2／パスキー・プッシュ・OTP ほか | デジタル証明書・FIDO2・生体（顔）・ICカード・スマホ認証 | OTP・プッシュ・FIDO2／パスキー・PKI証明書・スマートカード・AI顔認証 | OTP・プッシュ・FIDO・PKI証明書・パターン認証 ほか | JumpCloud Protect（プッシュ/TOTP）・WebAuthn・JumpCloud Go |
| 対応VPN・ネットワーク機器 | SAML対応のVPN（SPとして連携） | Cisco ASA・Palo Alto・Fortinet 等 | RADIUS対応VPN（NPS拡張）・SAML対応VPN | Cisco ASA・Fortinet・Juniper SSL VPN 等（クラウドRADIUS） | Cisco ASA・Firepower・Palo Alto 等（公式ガイドあり） | Cisco ASA 等 RADIUS対応のVPN・ネットワーク機器 | VPN（PAP）・Wi-Fi／有線LAN（EAP-TLS、AT-RADgate 等） | Palo Alto・Cisco ASAv・Citrix NetScaler・F5 等 | VPN・VDI・オンプレミスアプリ（RADIUS） | Cloud RADIUS対応のVPN・Wi-Fi 機器 |
| 提供形態 | クラウド型 | クラウド型 | クラウド型 | クラウド型 | クラウド型 | クラウド／ハイブリッド／オンプレミス | クラウド型 | クラウド／オンプレミス | クラウド型 | クラウド型 |
| 詳細情報 | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
※公開されている料金は、通貨（円・米ドル）や課金単位（月額・年払い、ユーザー単位など）が各社で異なります。正確な費用は各社の資料・見積もりでご確認ください。
なお、以下の記事ではID管理システム（IDaaS）全般について、選び方や機能、導入事例を詳しく解説しています。VPNのSSO化に限らず、ID管理の全体像から製品を比較検討したい方は、こちらもあわせてご覧ください。
IDaaSとは？おすすめ6選を徹底比較｜メリットや選び方・導入事例も紹介
「IDaaSを比較したい」「IDaaSとは何？どのサービスがおすすめ？」 IDaaSとは、ID管理と認証をクラウド上で統合できる仕組みで、複数のクラウドサービスをまとめて管理したい企業に広がっています。 クラウドサービスの利用が増えた近年で…
1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）
株式会社インターナショナルシステムリサーチが100％自社開発する、国産のクラウド型ID基盤です。SAML 2.0とOpenID Connectに対応しており、VPNをSP（サービス提供者）として登録すれば、CloudGate UNOをIdPとした一度の認証でVPNへログインできます。
認証方式は、FIDO2準拠のパスキーによるパスワードレス認証や、Windows Hello・Touch IDなどの生体認証、OTPに対応します。パスキーは全プラン・全ユーザーで無制限に利用できます。
IPアドレスや国・地域、時間帯、デバイス証明書による端末制限といったアクセス制限を備えます。月額はStandard Plus 400円・Enterprise Plus 500円・Smart Pack 600円（いずれも税抜・1ユーザーあたり）で、Active Directory連携はEnterprise Plus以上で利用できます。
開発元の株式会社インターナショナルシステムリサーチは、パスワードレス認証への切り替えが運用面にもたらした変化について、次のように述べています。
導入と同時にパスワードレス認証に切り替えた企業では、IT部門の業務の約20%を占めていたパスワード関連のヘルプデスク業務が「0%」になったという事例があります。また、他社サービスからの乗り換え事例もございます。通常、設定の移行には時間がかかるものですが、当社のサポートによりわずか1週間で完了させたケースもあります。
2. Okta（Okta Japan株式会社）
働く人のアイデンティティを管理する、クラウド型のIDaaSです。VPNがSAMLに対応していればIdPとしてSSO化でき、SAML非対応の機器にはOkta RADIUS Server Agentを使って既存のVPNにMFAを後付けできます。
RADIUS連携は、Cisco ASAやPalo Alto Networks、Fortinetの公式手順が用意されています。ただしPalo Alto GlobalProtectについては、PAN-OS 8.0以降ではRADIUSではなくSAML連携が公式に案内されています。
MFAはOkta FastPassやFIDO2などに対応しますが、RADIUS経由のVPNではFIDO2・FastPassが使えるとは限らず、後付けする認証方式はプッシュやOTPが中心になります。
3. Microsoft Entra ID（日本マイクロソフト株式会社）
Microsoft 365やAzureの認証基盤を担う、クラウド型のID・アクセス管理サービスです。VPNをSAMLでSSO化し、Microsoft Entra ID自身やAD FSをIdPとして連携できます。
既存VPNへのMFA追加には、RADIUSを介するNPS拡張機能を利用します。接続元やデバイスに応じて認証を制御する条件付きアクセスは、Microsoft Entra ID P1以上で利用できます。
Microsoft 365やAzureをすでに使っている組織なら、追加の製品を導入せずにMFAや条件付きアクセスを有効化できます。月額はP1が1,049円、P2が1,499円（いずれも1ユーザーあたり、年払い）です。
4. OneLogin（One Identity LLC）
米国発のIDaaSで、日本国内はサイバネットシステムなどの代理店を通じて提供されます。SAMLとOpenID ConnectによるSSOに対応します。
VPNやWi-Fiなどオンプレミスの機器とは、クラウドRADIUSやVirtual LDAPインターフェース経由で連携できます。公式のサポート情報では、Cisco ASA・Fortinet・Juniper SSL VPNへの対応が案内されています。
MFAは、機械学習でログインのリスクを評価するSmartFactor Authenticationを備えます。円建ての料金は代理店によって異なり、要問い合わせとなります。
5. Cisco Duo（シスコシステムズ合同会社）
既存のVPNやRDP、クラウドサービスに後付けでMFAを被せる、クラウド型のアクセスセキュリティです。VPNとはRADIUS（Duo Authentication Proxy経由）またはSAML SSOで連携します。
Cisco ASA・Firepower、Palo Alto GlobalProtectなどの公式ガイドが用意されています。Cisco ASAへの直接LDAP接続は2024年3月にサポートが終了しており、新規の構成はSAMLまたはRADIUSが前提です。
ログインのたびに端末の状態を確認するデバイストラストも組み合わせられます。料金は10ユーザーまで恒久無料のFreeプランがあり、有償はEssentialsの3ドル/ユーザー・月から（USD）です。
6. RSA ID Plus（RSA Security LLC）
SecurIDのハードウェアトークンを源流とする、多要素認証を中核としたIAMプラットフォームです。日本国内はテクマトリックスなどの代理店経由で提供されます。
VPNやVDI、ネットワーク機器とはRADIUSで連携し、Cisco ASAについては公式の実装ガイドが用意されています。RADIUS連携は、クラウドのみのC1を除くE1プラン以上が前提です。
FIDO2・パスキーから生体認証、OTP、ハードウェアトークンまで認証方式を幅広く備え、公式では政府機関や金融など高い保証水準を求める組織向けの製品としています。ユーザー単価はプラン別で月3〜7ドルが目安です（日本価格は代理店見積もり）。
7. Soliton OneGate（株式会社ソリトンシステムズ）
クライアント証明書（デジタル証明書）による多要素認証を軸にした、国産のクラウド型認証基盤です。認証局（CA）機能を標準搭載し、証明書の発行から配布・失効までを1製品で管理できます。
VPNはPAP認証、オフィスのWi-Fiや有線LANはIEEE802.1XのEAP-TLS認証に対応します。クラウドサービスへのSSOはSAML・OIDCで、SAML非対応の社内システムには代理認証で対応します。
ISMAPに登録され、ISO/IEC 27001・27017ベースの認証も取得しています。月額はPKIプラン150円・ベーシック300円・スタンダード600円（いずれも1ユーザーあたり）です。
8. Entrust Identity（Entrust Corporation）
PKIを長年の中核事業としてきた外資のIAM/MFAベンダーの製品です。クラウド型のIdentity as a Serviceと、オンプレミス型のIdentity Enterpriseを選べます。
デバイス証明書による802.1XやVPNのネットワーク認証に対応し、SCEPやCMPv2を使ってMDM連携で証明書を自動配布できます。クラウドサービスへのSSOはSAML・OIDCに対応します。
OTP・プッシュ・FIDO2/パスキー・PKI証明書・スマートカードまで、認証方式の幅広さとPKIとの統合が特徴です。国内は日立ソリューションズなどのパートナー経由で、料金は個別見積もりとなります。
9. SafeNet Trusted Access（タレスDISジャパン株式会社）
Thalesが提供するクラウド型のアクセス管理サービスで、SSO・多要素認証・条件付きアクセスを1つに統合しています。日本国内はタレスDISジャパンと代理店が提供します。
SAML・OIDC・RADIUSの標準プロトコルに対応し、SaaSに加えてVPN・VDI・オンプレミスアプリを保護対象に含みます。セッション履歴に応じて必要なときだけ追加認証を求めるSmart SSOを備えます。
OTPやFIDO、PKI証明書（上位プラン）まで認証手段が幅広く、ハードウェアトークンのラインナップも厚いのが特徴です。料金はトークン・サポート込みを訴求しつつ、具体額は要問い合わせです。
10. JumpCloud（JumpCloud, Inc.）
クラウドディレクトリを中核に、SSO・MFA・デバイス管理を1つにまとめたプラットフォームです。Active Directoryを不要にでき、日本国内は代理店経由で提供されます。
Cloud RADIUSを内包し、VPNやWi-Fiのネットワーク認証に対応します。クラウドサービスへのSSOはSAML・OIDCで、既存のActive DirectoryともADI（AD連携）で同期できます。
MFAはWebAuthnのセキュリティキーや端末認証器などに対応します。料金はSSOパッケージが1ユーザー月11ドルから（年払い・USD）で、Platform Essentialsは最大300ユーザーまでという上限があります。
まとめ
VPNをSSO化する方法は、SAML／IdP連携、AD・LDAP連携、証明書による端末認証、代理認証の大きく4つに分けられます。
クラウドのID基盤をすでに使っているならSAML／IdP連携、オンプレのActive Directoryが中心ならAD・LDAP連携が出発点になります。許可した端末だけに絞りたいなら証明書による端末認証、標準的な連携に対応しないシステムも含めたいなら代理認証が候補です。いずれも、自社のVPNとID基盤の構成に応じて1〜2つに絞り込むのが現実的です。
設定では、FortiGateならIKEv2のみの対応や必要なバージョン、SSL-VPNトンネルモードの廃止といった前提を事前に確認しておくと、導入がスムーズに進みます。SSOは本人確認を一元化する仕組みであり、入った後のアクセス管理（認可）やログは別に設計する必要がある点も押さえておきましょう。
自社に合う方式の見当がついたら、対応するID管理サービスの資料を見比べるのが次の一歩です。オンプレミスのADが中心ならAD連携やRADIUSに対応する製品、クラウドIdPに寄せるならSAML／OIDCに対応する製品というように、比較表の対応方式を手がかりに候補を絞り込めます。気になるサービスの資料をまとめて取り寄せ、自社のVPN構成に合うかを具体的に確かめてみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. VPNのSSO化（シングルサインオン化）とは何ですか？
A. VPNのSSO化とは、VPNのログインを社内のID基盤（Active DirectoryやクラウドのIdPなど）と統合し、一度の認証でVPNへつなげるようにすることです。
VPN専用のID・パスワードを個別に持たせる代わりに認証をID基盤に預けるため、アカウントの棚卸しや退職時の停止を1か所でまとめて行えるようになります。実現方式には複数の選択肢があり、自社のVPNとID基盤の構成に応じて選びます。
Q. VPNとシングルサインオン（SSO）は併用できますか？
A. VPNとSSOは併用できます。VPNのログインをIdP（ID提供者）に連携し、クラウドサービスと同じ多要素認証を通す構成が一般的です。
この構成なら、退職や異動のときにID基盤でアカウントを止めれば、VPNも使えなくなります。ただし、VPNに接続した後にどのシステムを操作してよいかの判定（認可）は別に残るため、重要なシステムには個別の認可の併用が求められます。
Q. 自社のVPNをSSO化するには、どの方式を選べばよいですか？
A. まずいま持っているID基盤を軸に選ぶのが近道です。すでにクラウドのID基盤があればSAML／IdP連携、オンプレミスのActive Directoryが中心ならAD・LDAP連携が出発点になります。
主要な企業向けVPNの多くはSAMLとAD（LDAP）の両方に対応するため、将来クラウドIdPへ寄せる予定があるかどうかも、どちらを優先するかの判断材料になります。
Q. SSOを導入すれば、VPNのアクセス管理は不要になりますか？
A. VPNをSSO化しても、アクセス管理が不要になるわけではありません。SSOがまとめているのは「その人が誰か」を確かめる本人確認（認証）までで、VPNに入った後に「何を操作してよいか」の判定（認可）とログは別に用意する必要があります。
SSOは本人確認を効率化する仕組みであって、権限制御や監査の仕組みを置き換えるものではありません。SSOの上に条件付きアクセスを重ねれば、同じIDでも端末や接続元に応じて追加の確認を求める制御もできます。
Q. FortiGateでVPNをSSO化するときの前提や注意点は何ですか？
A. FortiGateをSAMLでSSO化する場合、接続方式はIKEv2のみがサポートされ、FortiOS v7.2.4以降が必要です。
あわせて、Fortinetは独自方式であったSSL-VPNのトンネルモードを廃止し、標準規格に基づくIPsec VPNへ置き換える方針を公式に示しています。これからSSO化を設計するならIPsecとSAMLを前提に進めるのが現実的で、既存のSSL-VPNトンネルモードの設定は移行の計画をあわせて立てておくことが望まれます。
Q. SAMLに対応していない古いVPNでも、SSO化や多要素認証はできますか？
A. SAMLに対応していないVPNでも、RADIUS連携や代理認証を使えば、多要素認証やSSOを後付けできます。
多くのID管理サービスは、RADIUSサーバー機能やエージェントを介して既存のVPNに追加認証を被せる方法を用意しています。ただしRADIUS経由では、FIDO2／パスキーのような認証方式は使えず、プッシュ通知やワンタイムパスワードが中心になることがあります。
自社のVPNがSAMLに対応しているかは、各製品の対応プロトコル（SAML／OIDC／RADIUSなど）の一覧で確認できます。SAMLの記載がなくRADIUSやLDAPだけの機器は、SSO化ではなく多要素認証の後付けが現実的な選択肢になります。
Q. VPNをSSO化すると、退職者のアカウントはすぐに止められますか？
A. VPNをSSO化すると、ID基盤でアカウントを停止するだけで、VPNを含む連携先すべてのアクセスをまとめて止められます。
VPN専用のID・パスワードが残り続けることによる消し忘れを防げるため、退職者や異動者のアカウント放置に起因する侵入リスクを下げられます。RADIUS経由で多要素認証だけを後付けしている構成では、ID基盤でのアカウント停止がVPN側へすぐ反映されるかを確認しておくと安心です。
Q. SSO基盤が止まると、VPNにもログインできなくなりますか？
A. ID基盤にログインを集約する以上、SSO基盤が止まると、VPNを含む連携先すべてにログインできなくなります。
この単一障害点を避けるため、ID基盤の冗長化に加えて、障害時に使う代替手段を用意しておきます。具体的には、緊急用のローカル管理者アカウントを別に残す、IdP障害時に備えてバックアップのRADIUS認証経路を確保する、といった備えです。ID基盤が使えないときの運用手順もあわせて決めておくことが重要です。
VPNのSSO化・アクセス管理に使えるID管理サービスの資料を一括チェック
MCB FinTechカタログでは、VPNのSSO化やアクセス管理の一元化に使えるID管理サービスの最新資料を無料で一括請求できます。対応するSSO方式や多要素認証、連携できるVPNを並べて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
