社内で使うクラウドサービスが増え、ログインとアカウント管理の手間が膨らんできた担当者の方は少なくありません。「シングルサインオン（SSO）を入れよう」という話が出たものの、製品資料や設定画面に何度も登場する「IdP」という言葉と SSO の関係がはっきりせず、検討を進めづらいと感じることもあります。
SSO と IdP は密接に関わりますが、役割は別物です。ごく短く言えば、SSO は「一度の認証で複数のサービスを使えるようにする仕組み（効果）」で、IdP は「その認証を担い、各サービスに本人確認の結果を渡す主体」です。この関係を取り違えたまま製品を比べると、どの機能が何を指しているのかが分からなくなります。
本記事では、IdP と SSO の違いと関係を整理し、SP（サービス側）とのやり取りの流れ、SAML と OpenID Connect（いずれも SSO を実現する規格）の使い分け、IDaaS（SSO などをまとめて提供するクラウドサービス）や多要素認証（MFA）との違いまでを一本で解説します。そのうえで、自社で SSO を始めるときの選択肢と進め方を具体的に説明します。
目次
一括ダウンロードする
IdPとSSOの違いと関係【結論】
まず押さえたいのは、SSO が「利用者が得る効果」であり、IdP が「その効果を成り立たせる主体」だという役割分担です。ここからは、それぞれの意味と、両者がどうかみ合うのかを順に見ていきます。
SSO（シングルサインオン）とは
SSO（シングルサインオン）とは、一度の認証で複数のサービスにログインできる仕組みです。利用者はサービスごとに ID とパスワードを入力し直す必要がなくなり、管理者もパスワード忘れへの対応や退職者のアカウント停止を一か所で扱えるようになります。読者が「SSO を入れたい」と考えるとき、求めているのはこのログインの一本化という効果です。
IdP（アイデンティティプロバイダー）とは
IdP（アイデンティティプロバイダー）とは、利用者の本人確認（認証）を担い、その結果を各サービスに渡す主体です。利用者はまず IdP に対してログインし、IdP が「この利用者は確かに本人である」というお墨付き（認証結果）を発行します。各サービスはそのお墨付きを信頼して利用者を受け入れるため、サービスごとに改めてログインする必要がなくなります。
整理すると、SSO と IdP の関係は、「SSO という効果を、IdP という主体が実現する」と表せます。SSO は目的・結果の側、IdP はそれを支える認証の担い手の側で、どちらかがどちらかの言い換えではありません。
用語の関係早わかり【対比表】
IdP・SSO を中心に、関連する用語（SP・IDaaS・SAML・OpenID Connect・MFA）の意味と位置づけを一覧で整理します。それぞれの詳細は、このあとの各セクションで解説します。
| IdP・SSO 関連用語の関係 | SSO（シングルサインオン） | IdP（アイデンティティプロバイダー） | SP（サービスプロバイダー） | IDaaS | SAML | OpenID Connect（OIDC） | MFA（多要素認証） |
|---|---|---|---|---|---|---|---|
| 意味 | 一度の認証で複数のサービスにログインできる仕組み | 本人確認を行い、各サービスへ認証結果を渡す主体 | IdP の認証結果を受け取り、利用者を受け入れるサービス側 | SSO・多要素認証・ID 管理をクラウドで提供するサービス | XML で認証情報をやり取りする認証連携の規格 | OAuth 2.0 の上に作られた認証の規格 | 種類の異なる 2 つ以上の要素で本人確認する方法 |
| 位置づけ | 利用者・管理者が得る「効果」。IdP によって実現される | SSO を成り立たせる「認証の担い手」 | OpenID Connect では「RP」と呼ばれ、役割が対応する | クラウドで提供される IdP。SSO はその一機能 | SSO を実現する代表的な規格の一つ | SSO を実現するもう一つの代表的な規格 | ログインを固くする手段。SSO とは目的が別 |
SAML・OpenID Connect・OAuth・多要素認証（MFA）といった規格や用語の定義は、それぞれの策定・公表元の文書で確認できます。各用語の詳しい内容は以降のセクションで、出典とともに解説します。
出典・参考資料（4件）
IdPとSPのやり取り（IdP起点・SP起点のSSOフロー）
SSO は、利用者・IdP・SP（サービス側）の三者のやり取りで成り立ちます。ここからは、SP とは何かを確認したうえで、認証がどこから始まるかで分かれる 2 つの流れ（SP 起点・IdP 起点）を見ていきます。
SPとは／IdPとSPの違い
SP（サービスプロバイダー）とは、IdP の認証結果を受け取って利用者を受け入れる、サービス側のことです。業務で使う各種のクラウドサービスが SP にあたります。IdP が「本人確認をしてお墨付きを出す側」、SP が「そのお墨付きを信頼して利用者を迎え入れる側」という関係です。
同じ役割でも、規格によって呼び名が変わります。SAML では「SP」と呼びますが、OpenID Connect では「RP（リライング・パーティ）」と呼びます。
OpenID Connect の仕様では、RP は OpenID プロバイダーに利用者の認証とクレーム（属性情報）を求める OAuth 2.0 クライアントと定義されています。SAML の SP とは定義の立て方が異なるものの、認証結果を受け取る側という役割は対応します。
利用者・IdP・SP の三者のやり取りは、認証がどこから始まるかで SP 起点・IdP 起点の 2 つに分かれます。それぞれの流れを並べると、次のようになります。
SP起点（SP-initiated）SSOの流れ
SP 起点の SSO は、利用者が使いたいサービス（SP）を先に開くところから始まります。SAML 2.0 の標準的な流れ（Web Browser SSO Profile）では、次のように進みます。
- 利用者がブラウザで SP の保護されたページにアクセスする
- SP が、どの IdP で認証するかを判断する
- SP が認証要求（<AuthnRequest>）を発行し、ブラウザ経由で IdP に届ける
- IdP が利用者の本人確認を行う
- IdP が認証結果（<Response>）を発行し、ブラウザ経由で SP に届け、利用者がログインできる
利用者が自分でサービスにアクセスし、その要求に応じて IdP が認証結果を返す、という順序が SP 起点の特徴です。要求（<AuthnRequest>）と結果（<Response>）が対応づくため、後述する IdP 起点より検証しやすい流れになります。
IdP起点（IdP-initiated）SSOの流れと注意点
先に結論を述べると、SSO は基本的に SP 起点が推奨され、IdP 起点は使い勝手の良さがある一方で、後述のとおり扱いに注意が必要です。
IdP 起点の SSO は、利用者が先に IdP のポータルにログインし、そこから各サービスへ移動する流れで、おおまかには次のように進みます。
- 利用者が IdP のポータルにログインする
- ポータルの一覧から使いたいサービス（SP）を選ぶ
- IdP が認証結果（アサーション）を SP に送る
- SP がそれを受け取り、利用者がログインできる
SAML 2.0 の仕様では、IdP が SP からの要求を受けずに認証結果を送るこの方式を「未承認レスポンス（unsolicited response）」と定義しています。SP 起点では付く「要求との対応づけ（InResponseTo）」が、未承認レスポンスには付きません。
この「要求と対応づかない」という性質があるため、IdP 起点 SSO は扱いに注意が必要です。IdP 製品の公式ドキュメントでは、IdP 起点はクロスサイトリクエストフォージェリ（CSRF）などの攻撃にさらされうること、適切な対策がないと不正アクセスにつながりうることが指摘されています。こうした理由から、より安全で制御しやすい SP 起点の利用が推奨されています。
仕様側でも、認証結果（アサーション）を第三者に盗み取られるリスクが挙げられています。SAML のセキュリティに関する文書では、盗聴者が利用者の SAML レスポンスとアサーションを複製できれば、送信先サービスで利用者になりすませる可能性があると説明されています。対策として、アサーションの有効期間を可能な限り短く設定し、受け取る側で期限切れを拒否することが挙げられています。
出典・参考資料（2件）
一括ダウンロードする
SSOを支える規格：SAMLとOpenID Connect／OAuthの使い分け
SSO を実現する規格には、代表的なものとして SAML と OpenID Connect があります。名前が似ている OAuth との関係も含め、それぞれが何を担うのかと、どちらをいつ使うのかを整理します。
SAML（XMLベースの認証連携）
SAML（Security Assertion Markup Language）は、利用者についての認証情報（アサーション）をやり取りするための規格です。SAML の仕様では、アサーションとやり取りのメッセージは XML で表現されると定められています。
2005 年に策定された歴史のある規格で、企業向けの業務システムや多くの SaaS が対応しているため、従業員の社内 SSO を組む場面で広く使われています。
OpenID Connect／OAuth（認可と認証の違い）
OAuth 2.0 と OpenID Connect は役割が異なります。OAuth 2.0 は、あるアプリが利用者に代わってサービスへの限られたアクセス権を得るための「認可（アクセスの委譲）」の枠組みで、本人確認そのものを目的とした規格ではありません。たとえば「このアプリに自分のカレンダーへのアクセスを許可する」といった、権限の受け渡しを扱います。
一方 OpenID Connect（OIDC）は、仕様上、OAuth 2.0 プロトコルの上に作られた認証（アイデンティティ）の層と位置づけられています。認可の仕組みである OAuth 2.0 の上に本人確認の仕組みを足したもので、Web アプリやスマートフォンアプリのログインに使われます。
「OAuth は認可、OIDC はその上に載せた認証」と覚えると、両者を混同せずに済みます。
出典・参考資料（2件）
どちらをいつ使うか【使い分け表】
SAML と OpenID Connect は、どちらが優れているというより、使う場面が分かれます。おおまかな目安を表に整理します。
| SAML と OpenID Connect の使い分け | SAML 2.0 | OpenID Connect |
|---|---|---|
| ベースとなる技術 | XML | OAuth 2.0（JSON／REST） |
| 主な用途 | 社内システムや SaaS の企業向け SSO | Web アプリ・スマホアプリのログイン |
| 向いている場面 | 多くの業務システム・SaaS が対応しており、従業員の社内 SSO を組みたい | 新しい Web・モバイルアプリで、外部アカウントを使ったログインを実装したい |
※上記は一般的な使い分けの傾向です。実際にどの規格に対応しているかは、利用する IdP・サービスの公式情報をご確認ください。
紛らわしい用語の整理（IDaaS・MFA・SCIMなど）
IdP・SSO の周辺には、混同しやすい用語がいくつかあります。意味を取り違えたまま製品を比べると判断を誤りやすいため、ここで区別を整理します。
IDaaSとIdPの違い
IDaaS（Identity as a Service）とは、SSO・多要素認証・ID 管理といった機能を、クラウドで提供するサービスの総称です。IdP は「認証を担う主体」という役割の呼び名で、IDaaS はその IdP の機能をクラウドサービスとして提供する形態、と整理できます。
整理すると、IDaaS はクラウドで提供される IdPであり、SSO は IDaaS が備える機能の一つです。自前のサーバーで IdP を構築する代わりに、IDaaS を契約して IdP の役割を任せる、という選び方になります。
SSOとMFA（多要素認証）の違い
SSO が「ログインの回数を減らして使いやすくする」方向であるのに対し、MFA（多要素認証）は「ログインを固くする」方向の仕組みで、目的が異なります。NIST（米国立標準技術研究所）の用語集では、多要素認証を種類の異なる 2 つ以上の要素を用いて認証を行うことと定義しています。
要素は、知っているもの（パスワードや暗証番号）・持っているもの（トークンやセキュリティキー）・本人そのもの（指紋や顔などの生体情報）の 3 種類で、このうち種類の異なる 2 つ以上を組み合わせます。パスワードを 2 回入力するような同じ種類の重ね方は、多要素認証には当たりません。
SSO で入り口を一本化すると、その一か所が突破されたときの影響が大きくなります。だからこそ、SSO と MFA は対立する概念ではなく、一本化した入り口を多要素認証で固める、という形で組み合わせて使うのが一般的です。
多要素認証には、SSO と一体で複数サービスをまとめて守るタイプから、既存の社内システムや VPN に認証だけを足すタイプまであり、対応する認証方式も料金も製品ごとに異なります。自社の認証基盤に合う MFA を具体的に選びたい場合は、認証方式・料金・タイプ別の選び方を整理した以下の記事が参考になります。
認証と認可の違い
認証（Authentication）は「相手が誰であるかを確かめること」、認可（Authorization）は「確かめた相手に何を許可するか決めること」です。IdP が担うのは主に認証で、ログイン後にどのデータや機能を使えるかを制御するのが認可にあたります。先に触れたとおり、OAuth 2.0 は認可、OpenID Connect はその上に認証を足したもの、という関係もこの区別で理解できます。
あわせて押さえる用語：SCIM・フェデレーション
SSO を調べていると、SCIM やフェデレーションという言葉にも出会います。SCIM（System for Cross-domain Identity Management）は、クラウドサービス間で利用者やグループの情報を標準化してやり取りするための HTTP ベースのプロトコルです。
入社・異動・退職にあわせて各サービスのアカウントを自動で作成・更新・削除する「プロビジョニング（アカウントの自動同期）」に使われ、SSO でログインを一本化したうえで、アカウント管理そのものの手間も減らせます。
フェデレーションは、組織やシステムをまたいで認証を連携させる考え方で、SAML や OpenID Connect はこれを実現するための規格にあたります。SSO は、このフェデレーションの仕組みを使って実現される、と捉えると全体像がつながります。
出典・参考資料（2件）
自社でSSOを始める道筋（自前IdPかIDaaSか）
用語と関係を押さえたら、次は自社で SSO をどう始めるかです。大きくは、IdP を自前で構築するか、IDaaS を契約するかの選択になります。それぞれの向き不向きと、始めるときの進め方、導入前に知っておきたい注意点を整理します。
自前でIdPを構築する／IDaaSを契約する
自前で IdP を構築する方法は、自社のサーバーや既存の認証基盤に合わせて細かく作り込める反面、設計・構築・運用・セキュリティ更新を自社で担う必要があり、専門の人員と時間がかかります。既存の社内システムとの連携要件が強い大規模な組織などで選ばれ、たとえば既存の Active Directory を持つ組織では、その認証基盤を使ってフェデレーションを組む方法もあります。
一方 IDaaS を契約する方法は、SSO・多要素認証・ID 管理といった機能がはじめから用意されているため、短い期間で始めやすく、運用やセキュリティ更新も提供側に任せられます。自社に認証基盤の専任者を置きにくい中小企業や、複数の SaaS を使い始めた段階の企業では、IDaaS から始めるのが現実的な選択になりやすいといえます。
SSO導入の進め方
SSO の導入は、おおむね次の順序で進みます。まず、社内で使っている SaaS・社内システムを洗い出し、それぞれが SAML か OpenID Connect に対応しているかを確認するところから始まります。
次に、対応状況と必要な機能（多要素認証・アクセス制限・SCIM によるアカウント自動同期など）をもとに、自前構築か IDaaS かを選ぶ流れが一般的です。IDaaS を選ぶ場合は、対象のサービスと連携を設定したうえで、まず一部の利用者で試してから全社へ広げると、トラブルを抑えて移行できます。
導入前に知っておきたい注意点
SSO は入り口を一本化する仕組みのため、その IdP が「単一障害点」になりやすい点に注意が必要です。IdP 製品の公式ドキュメントでも、IdP が侵害されると、そこにつながるすべてのサービスが危険にさらされうると指摘されています。入り口を一つにまとめるほど、その一か所を守る重要性が高まります。
対策としては、先に触れた多要素認証（MFA）で入り口の認証を固めること、アクセスできる端末・場所・時間などの条件を絞ること、IdP 起点の項で触れた認証結果の有効期間を短く保つことなどが挙げられます。
可用性の面でも、IdP で障害が起きると連携先サービスへのログインがまとめて止まりうるため、障害時の運用をあらかじめ決めておくと安心です。こうした対策をまとめて備えられる点も、機能が一通りそろった IDaaS を選ぶ理由になります。
自前構築と IDaaS のどちらを選ぶ場合も、候補の実際の費用を把握しておくと、社内での検討や説明がしやすくなります。主要な ID 管理システムの初期費用・月額ユーザー単価・最小契約人数を公式料金ページ準拠の実額で横並びにした以下の記事も、費用を比べる材料になります。
ここからは、SAML 2.0 に対応し、SSO と多要素認証をまとめて利用できる代表的な IDaaS を比較します。
| SAML 2.0 対応・SSO＋MFA の代表的な IDaaS の比較 | CloudGate UNO | Okta | Microsoft Entra ID | トラスト・ログイン byGMO |
|---|---|---|---|---|
| 提供形態 | 国産・クラウド型IDaaS | 外資・クラウド型IDaaS | 外資・クラウド型IAM | 国産・クラウド型IDaaS |
| 対応規格 | SAML 2.0 OpenID Connect | SAML 2.0 OpenID Connect | SAML 2.0 OpenID Connect | SAML 2.0 OpenID Connect（有料） |
| シングルサインオン（SSO） | ● | ● | ● | ● |
| 多要素認証（MFA） | ●パスキー・生体認証・OTP | ●Okta Verify・FIDO2・OTP | ●Authenticator・FIDO2・SMS | ●OTP・メールOTP・プッシュ |
| パスワードレス（FIDO2/パスキー） | ●全プランで利用可 | ●FastPass・FIDO2対応 | ●パスキー・Windows Hello | ●SSOプロ（有料）で対応 |
| 月額料金の目安 | 400〜600円/ユーザー （税抜・プラン別） | 940円/ユーザー〜 （年払い・上位は要問い合わせ） | 0〜1,499円/ユーザー （Free〜P2・年払い） | 0〜500円/ユーザー （税抜・プラン別） |
| 無料プラン・トライアル | 30日間の無料トライアル | 30日間の無料トライアル | 無料プランあり （Free） | 無料プランあり （SSOフリー） |
| 詳細情報 | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
※料金・無料プラン・対応規格は2026年11月時点の各社公式料金ページ等にもとづく目安です。最新の提供条件や正確な金額は各社公式サイトでご確認ください。
CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNO は、1993 年創業の株式会社インターナショナルシステムリサーチが自社開発する、国産のクラウド型 ID 基盤（IDaaS）です。SSO に加え、多要素認証、パスキー（FIDO2）によるパスワードレス認証、アクセス制限、ID 管理（プロビジョニング）を提供し、SAML 2.0 にも対応しています。
特徴的なのが、端末・場所・時間の 3 つの軸で細かく設定できるアクセス制限です。私用端末からのアクセスを禁止する、特定の拠点に限定する、残業時間帯はアクセスできないようにする、といった制御ができます。
認証方式では、フィッシング攻撃への耐性が高いパスキーのパスワードレス認証に対応し、SMS やワンタイムパスワードを突破する攻撃が増える中でも安全性を保ちやすい設計です。国産で、導入前から導入後まで日本語で相談できるサポート体制も用意されています。公式サイトでは導入実績として 1,400 社以上を掲げています（公式トップページ、2026 年 11 月時点）。
こうした機能を導入すると、管理業務の負担は実際にどう変わるのでしょうか。提供元の担当者は、パスワードレス認証への切り替えによる効果について次のように述べています。
導入と同時にパスワードレス認証に切り替えた企業では、IT部門の業務の約20%を占めていたパスワード関連のヘルプデスク業務が「0%」になったという事例があります。
ここでは SSO と多要素認証をまとめて使える代表的な製品を取り上げましたが、IDaaS の選び方やメリット、導入事例まで含めてより多くの製品を比較したい方は、以下の記事をご覧ください。
まとめ
IdP と SSO は密接に関わりますが、SSO は「一度の認証で複数のサービスを使える効果」、IdP は「その認証を担い各サービスに結果を渡す主体」で、役割が異なります。SP（サービス側）とのやり取りには SP 起点と IdP 起点があり、IdP 起点は未承認レスポンスという性質から扱いに注意が必要です。
SSO を支える規格には SAML と OpenID Connect があり、OAuth は認可、OpenID Connect はその上の認証、という区別で整理できます。
自社で SSO を始めるなら、自前で IdP を構築するか、SSO・多要素認証・ID 管理が一通りそろった IDaaS を契約するかが選択肢になります。入り口を一本化するぶん、多要素認証やアクセス制限で守りを固めることも欠かせません。どの IDaaS が自社に合うかは、対応する規格・認証方式・料金などを資料で見比べて検討してください。
一括ダウンロードする
よくある質問（FAQ）
Q. IdP と SSO は、どちらかを選んで導入するものですか？
A. IdP と SSO は二者択一で選ぶものではなく、SSO という効果を IdP という主体が実現する関係にあります。SSO（一度の認証で複数のサービスを使える効果）を社内で実現するには、その前提として本人確認を担う IdP が欠かせません。そのため「SSO を導入する」とは、実際には IdP を自前で構築するか IDaaS を契約して用意し、各サービスと連携させることを指します。
Q. SSO と ID 管理（ID 管理システム）は何が違いますか？
A. SSO と ID 管理は目的が異なり、SSO はログインの一本化を、ID 管理はアカウントそのものの作成・変更・削除を担います。SSO は利用者が複数のサービスにログインし直す手間を減らす仕組みで、ID 管理（プロビジョニング）は入社・異動・退職にあわせて各サービスのアカウントを揃える仕組みです。
IDaaS の多くは、SSO と ID 管理（SCIM によるアカウントの自動同期）の両方をまとめて提供します。
Q. すべてのクラウドサービス（SaaS）で SSO を使えますか？
A. すべてのサービスで使えるわけではなく、対象のサービスが SAML や OpenID Connect といった認証連携の規格に対応している必要があります。これらに対応していないサービスでは、従来どおり個別の ID・パスワードでのログインが残ります。
SSO を検討するときは、まず社内で使っている SaaS・社内システムが SAML か OpenID Connect に対応しているかを確認するのが出発点になります。
Q. SSO（IDaaS）は無料で導入できますか？
A. 無料プランを備えた IDaaS もありますが、多要素認証や細かなアクセス制御などは有料プランで提供されることが多いです。無料の範囲では連携できるサービス数や使える機能が限られる場合があるため、自社に必要な機能（多要素認証・アクセス制限・SCIM など）が含まれるかを基準に、料金とあわせて見比べるのが安全です。
Q. 「Google アカウントでログイン」のようなソーシャルログインも SSO ですか？
A. 広い意味では SSO の一種ですが、本記事で扱う企業向けの SSO とは目的が異なります。ソーシャルログインは、Google などの外部サービスのアカウントを使って別のサービスにログインする仕組み（多くは OpenID Connect／OAuth がベース）です。
一方、企業向けの SSO は、会社が管理する IdP を使って従業員の社内サービスへのアクセスをまとめて統制することを目的とします。
Q. 中小企業でも SSO（IDaaS）を導入する意味はありますか？
A. 複数の SaaS を使い始めた中小企業ほど、IDaaS で SSO を導入する効果は大きくなります。利用するサービスが増えるほどログインとアカウント管理の手間が膨らむため、認証基盤の専任者を置きにくい中小企業でも、運用やセキュリティ更新を提供側に任せられる IDaaS は現実的な選択肢になります。まず一部の利用者で試し、問題がなければ全社に広げる進め方なら、負担を抑えて始められます。
SSO・IDaaS サービスの料金・資料を一括チェック
MCB FinTechカタログでは、SSO・多要素認証・ID 管理をまとめた IDaaS の最新資料を無料で一括請求できます。対応する認証方式や料金、連携できるサービスをまとめて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
