Google Workspace や Microsoft 365、Salesforce、kintone など、業務で使うクラウドサービスは年々増え続けています。サービスごとに ID とパスワードを管理していると、ログインの手間も、問い合わせ対応や退職者のアカウント削除といった管理の負担も膨らんでいきます。こうした課題の解決策として登場するのが「SSO連携」です。
ただ、SSO（シングルサインオン）は聞いたことがあっても、「連携」が付くと具体的に何と何をどうつなぐことなのか、自社で使っているサービスがそもそもつなげるのか、設定はどのくらい手間がかかるのか、といった点はつかみにくいものです。言葉の輪郭が曖昧なまま製品選定を迫られると、判断の足場がぐらついてしまいます。
この記事では、SSO連携の意味を結論から示したうえで、つながる仕組み、連携の方式・プロトコルの違い、自社のサービスが連携できるかの確かめ方、設定の流れまでを順に整理します。読み終えたときに、SSO連携を自分の言葉で説明でき、自社のサービス構成でどこから手を付ければよいかの見当がつく状態を目指します。
目次
一括ダウンロードする
SSO連携とは
SSO連携とは、個々のクラウドサービス（サービス提供側＝SP）を1つの認証基盤（IdP）につなぎ、一度のログインで複数のサービスを横断して使えるようにすることです。社員は認証基盤に1回ログインするだけで、連携済みのサービスを追加のログインなしで利用できます。
「SSO（シングルサインオン）」と「SSO連携」は、分けて捉えると理解しやすくなります。SSO は「一度の認証で複数サービスを使える」という仕組みそのものを指し、SSO連携は、その仕組みに個々のサービスを1つずつ登録してつなぐ作業を指します。
このように SSO という土台があり、そこに Google Workspace や Salesforce といったサービスを「連携」させていく、という関係です。
認証基盤の役割を担うのが IdP（Identity Provider＝アイデンティティプロバイダー）で、つなぐ先の各サービスを SP（Service Provider＝サービスプロバイダー）と呼びます。この IdP と SP という役割分担は、後述する標準規格の SAML 2.0 でも定義されており、特定の製品に固有の概念ではありません。
SSO連携の仕組み（IdPとSPの役割と、ログインの流れ）
ここからは、SSO連携がどのように動くのかを、IdP と SP の役割とログインの流れから見ていきます。
IdP（認証基盤）は、利用者が本人であることを確認し、その結果を各サービスに伝える役割を担います。SP（各サービス）は、IdP からの「この利用者は確認済みです」という通知を受け取って、ログインを許可します。利用者ごとのパスワードを各サービスが個別に預かるのではなく、本人確認を IdP に集約するのがポイントです。
実際のログインは、おおむね次の流れで進みます。
- 利用者がサービス（SP）にアクセスする
- SP が「本人確認は IdP で行ってください」と認証を IdP に渡す
- 利用者が IdP でログイン（パスワードや多要素認証など）する
- IdP が「確認できました」という結果を SP に返し、SP がログインを許可する
一度 IdP で認証を済ませると、その認証状態（セッション）が一定時間保持されます。そのため、2つ目以降のサービスにアクセスするときは、IdP での認証が省略され、ログイン画面を経ずにそのまま利用できます。これが「一度のログインで複数サービスを使える」という体験の中身です。
IdP が SP に本人確認の結果を伝えるとき、その「伝え方」を決めているのが、次に見る SAML 2.0 や OpenID Connect といった規格です。SAML 2.0 では、本人確認の結果を「アサーション」と呼ばれるデータにまとめて SP に渡します。
SSO連携の方式・プロトコルと、どのサービスに使えるか
SSO連携には、つなぎ方（方式）がいくつかあります。ここでは、クラウドサービスの連携でよく使われる主要な方式を、仕組み・代表的なプロトコル・向いているサービスの観点で整理します。
方式は大きく2つの系統に分かれます。1つは、IdP と SP が共通の規格で本人確認の結果をやりとりする「フェデレーション型」で、代表的な規格が SAML 2.0 と OpenID Connect（OIDC）です。もう1つは、規格に対応していないサービスでも使えるように、ID とパスワードの入力やアクセスの中継を肩代わりする方式です。
| 連携方式 | SAML 2.0 | OpenID Connect（OIDC） | 代理認証（フォームベース） | リバースプロキシ | エージェント |
|---|---|---|---|---|---|
| 仕組み | IdP が本人確認の結果を「アサーション」という形で SP に渡す。標準規格に沿って連携する | OAuth 2.0 の上に本人確認の層を足した規格。確認結果を「ID トークン」で渡す | 登録済みの ID・パスワードを、SSO の仕組みが各サービスのログイン画面に代わりに入力する | 利用者とサービスの間に中継サーバーを置き、そこで本人確認を行う | 各サーバーに専用のソフト（エージェント）を入れ、本人確認を代行させる |
| 代表的なプロトコル・規格 | SAML 2.0（OASIS が標準化） | OpenID Connect（OpenID Foundation が策定） | 標準規格ではなく、IdP 製品が実装する方式 | 標準規格ではなく、構成による方式 | 標準規格ではなく、IdP 製品が実装する方式 |
| 向いているサービス | 多くの法人向けクラウドサービスが対応。企業向け SaaS 連携で広く使われている | Web アプリやモバイルアプリとの相性がよく、比較的新しいサービスで採用が進む | SAML・OIDC に対応していないサービスや、社内 Web システム | サービス側を改修しにくいシステム。中継サーバーが集中点になる点に注意 | 社内の Web サーバーやアプリケーションサーバー。対象が増えると運用負荷が上がる |
各サービスが対応する方式・プロトコルは変わることがあります。導入前に各サービスの公式情報で確認してください。
SAML 2.0 と OpenID Connect は、標準化団体が仕様を定めた規格です。SAML 2.0 は OASIS が標準化した XML ベースの枠組みで、企業向けクラウドサービスの連携で広く使われています。OpenID Connect は、認可の仕組みである OAuth 2.0 の上に本人確認の層を足した規格で、Web・モバイルアプリとの親和性が高いのが特徴です。
一方、代理認証（フォームベース）・リバースプロキシ・エージェントは、標準化団体の仕様があるわけではなく、IdP 製品が備える「連携のやり方の類型」です。規格に対応していないサービスを連携させたいときの選択肢になります。
自社で使っているサービスがSSO連携できるかの確かめ方
方式がわかったところで、多くの担当者が次に知りたいのは「で、自社で使っているサービスは実際につなげるのか」という点です。ここでは、連携できるか（可否）に加えて、連携後の運用まで含めて見ておきたい3つのポイントを紹介します。いずれも、導入する IdP／IDaaS を選ぶ前に押さえておくと判断がスムーズになります。
対応プロトコル（SAML 2.0／OIDC）に対応しているか
SAML 2.0 と OpenID Connect は、IdP と SP が別々の提供元であっても連携できるように作られた相互運用の規格です。そのため、つなぎたいサービス（SP）と IdP の双方が同じ規格に対応していれば、原則として連携できます。まず確認すべきは、各サービスが SAML 2.0 または OpenID Connect による SSO に対応しているかどうかです。
実務上は、Google Workspace・Microsoft 365・Salesforce・Slack・kintone など、広く使われている法人向けクラウドサービスの多くが SAML 2.0 や OpenID Connect に対応しており、連携できる可能性が高いといえます。一方で、一部の国産 SaaS や小規模なサービスは非対応のことがあるため、個別の対応状況は次の方法で確認できます。
対応状況は、各サービスの公式ヘルプやセキュリティ設定のドキュメントに記載されています。「SAML」「SSO」「シングルサインオン」「IdP」といった語で公式ドキュメントを探すと、対応の有無や設定手順の説明にたどり着けます。第三者の記事ではなく、利用中サービスの公式情報で確認するのが確実です。
IdP側に連携テンプレート（設定済みコネクタ）があるか
規格に対応していても、設定をゼロから行うと手間がかかります。多くの IdP／IDaaS は、主要なクラウドサービスについて、あらかじめ設定項目を用意した「連携テンプレート（設定済みコネクタ）」を備えています。使いたいサービスがテンプレートに含まれていれば、設定の負担は大きく下がります。
多くの IdP／IDaaS は、連携を検証済みのサービスについて設定済みのテンプレートを公開しており、その一覧にあるサービスなら SAML 2.0 などで比較的簡単に連携できます。テンプレートの一覧にないサービスでも、SAML 2.0 や OpenID Connect に対応していれば連携できる場合があります。
使いたいサービスがテンプレート化されているか、一覧にない場合の連携可否はどう確認できるかは、候補となる IdP／IDaaS の連携対応サービス一覧やヘルプで確認できます。
出典・参考資料（1件）
アカウント自動同期（SCIM 2.0）に対応しているか
SSO連携は「ログインの一元化」ですが、それとは別に、アカウント自体の作成・変更・削除を自動で各サービスに反映する仕組みがあると、運用がさらに楽になります。この自動同期（プロビジョニング）の標準規格が SCIM 2.0 です。
SCIM 2.0 は、複数のサービスをまたいでアカウント情報を管理しやすくするための HTTP ベースの規格として、IETF が RFC 7643・RFC 7644 で定めています。
SSO だけなら「ログインの手間」は減りますが、入社・異動・退職にともなうアカウントの追加や削除は手作業のまま残ります。SCIM 2.0 に対応していれば、IdP でアカウントを操作するだけで各サービスに自動反映でき、退職者のアカウント削除漏れといったリスクも抑えられます。SSO連携とあわせて、使いたいサービスが SCIM 2.0 でのアカウント同期に対応しているかも確認しておくとよいでしょう。
SSO連携の設定はどんな流れで進むのか（4ステップ）
ここからは、実際に SSO連携を設定するときの流れを見ていきます。製品によって画面や項目名は異なりますが、おおまかには次の4ステップで進みます。
- 事前確認：つなぎたいサービス（SP）と IdP の双方が、SAML 2.0 など共通の認証プロトコルに対応しているかを確認します。前の章の「確かめ方」で見たポイントが、ここでの出発点になります。
- IdP側の設定：IdP に連携対象のサービスを登録し、連携に必要なメタデータや証明書といった設定情報を用意します。テンプレートがあるサービスは、この手順が簡略化されます。
- SP側の設定：IdP 側で用意した情報を、連携先のサービス（SP）に登録し、相互の接続を確立します。
- 動作検証：テスト用のユーザーで、ログインやアカウントの同期が想定どおりに動くかを確認します。問題がなければ、対象ユーザーへ展開します。
具体的な画面操作は IdP やサービスごとに異なるため、実際の設定時には各製品の公式ドキュメントを参照してください。流れとしては、どの製品でもこの4ステップが基本になります。
手間の目安としては、連携テンプレートが用意されているサービスなら設定は短時間で済むことが多く、テンプレートが無くゼロから設定する場合は、メタデータや証明書のやりとりで相応の作業時間がかかります。1サービスずつ検証しながら進めるのが基本です。
設定でつまずきやすいのは、その多くが IdP と SP の間の「設定情報のずれ」です。たとえば、メタデータや証明書の登録内容が IdP と SP で食い違っている、ユーザーを紐づける属性（メールアドレスなど）のマッピングが一致していない、といったケースが挙げられます。
ほかに、サーバー間の時刻のずれで本人確認データ（アサーション）の有効期限の検証に失敗する、証明書の有効期限が切れている、なども代表的な原因です。動作検証（4つ目のステップ）はテスト用のユーザーで必ず行い、ログインが通らないときは、これらの設定情報の突き合わせから確認すると原因にたどり着きやすくなります。
出典・参考資料（1件）
SSO連携のメリット
ここでは、SSO連携を導入すると何が変わるのかを、現場の業務に即して整理します。社内で導入を提案するときの材料にもなります。
1つ目は、ログインの手間が減ることです。利用するサービスが増えるほど、それぞれのログインやパスワードの再発行は積み重なります。認証を1か所に集約すれば、利用者は一度のログインで必要なサービスにアクセスでき、日々の細かな手間が軽くなります。
2つ目は、パスワード管理とセキュリティの両面での改善です。サービスごとにパスワードを使い回す運用は、1か所の漏えいが他サービスに波及するリスクを抱えます。認証を IdP に集約すれば、パスワードのルールを統一して適用でき、多要素認証（MFA）とあわせれば、MFA に対応していないサービスへのアクセスにも認証強化を効かせられます。
IT 部門にとっては、パスワード忘れへの対応といった問い合わせ業務の負担軽減にもつながります。
この問い合わせ業務の負担が、導入現場でどの程度変わるのか。IDaaS を提供する企業への取材では、次のような事例が語られました。
導入と同時にパスワードレス認証に切り替えた企業では、IT部門の業務の約20%を占めていたパスワード関連のヘルプデスク業務が「0%」になったという事例があります。
3つ目は、アカウント管理の効率化です。SCIM 2.0 などによる自動同期とあわせれば、入社・異動・退職にともなうアカウントの追加・変更・削除を IdP 側の操作に集約でき、各サービスで個別に設定する手間や、退職者のアカウント削除漏れを減らせます。
SSO連携を導入する前に知っておきたい注意点
メリットの一方で、導入前に押さえておきたい注意点もあります。あらかじめ知っておくと、導入後に慌てずに済みます。
1つ目は、すべてのサービスが連携できるとは限らないことです。SAML 2.0 や OpenID Connect に対応していないサービス（特に一部の国産 SaaS や小規模なサービス）は、フェデレーション方式での連携ができません。その場合は、ID・パスワードの入力を肩代わりする代理認証（フォームベース）などの方式で補える場合があります。
連携したいサービスの対応状況を事前に確認し、非対応のサービスへの対応方針も決めておきましょう。
2つ目は、IdP が単一障害点になりうることです。認証を1か所に集約する以上、その IdP が停止すると連携先すべてにログインできなくなり、IdP の認証情報が漏えいすると連携先すべてに影響が及びます。重要なシステムには代替のログイン手段を残す、IdP 側の可用性やセキュリティを確認する、といった備えが欠かせません。
3つ目は、多要素認証（MFA）との併用が前提になることです。認証を集約すると、その1か所が突破されたときの影響が大きくなります。だからこそ、パスワードだけに頼らず、パスキー（FIDO2）や生体認証などの多要素認証を組み合わせて、認証そのものを強くしておくことが重要です。
多要素認証には、パスキー（FIDO2）・生体認証・ワンタイムパスワードなど複数の方式があり、強度や使い勝手、対応状況は製品によって異なります。SSO連携とあわせてどの認証方式を選ぶか検討したい方は、主要な多要素認証システムを方式・料金で比較した以下の記事もご覧ください。
一括ダウンロードする
複数のサービスをまとめてSSO連携するには
ここまで見てきたとおり、複数のクラウドサービスをまとめて SSO連携するには、その中心に立つ認証基盤（IdP）が必要です。認証基盤を自前で構築する方法もありますが、SSO・多要素認証・アカウント管理をまとめてクラウドで提供する IDaaS（Identity as a Service）を使えば、短期間で連携環境を整えられます。
まずは、自社で使っている主要なサービスの連携可否を確かめながら、候補となる IDaaS を1つ選んで検証してみるのが現実的な第一歩です。
IDaaS を選ぶときは、対応している連携方式（SAML 2.0／OIDC／代理認証）、連携テンプレートの充実度、SCIM 2.0 による自動同期の可否、そして多要素認証の強さを見比べると、自社の構成に合うかを判断しやすくなります。ここでは、国産の IDaaS を1つ紹介します。
CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNO は、株式会社インターナショナルシステムリサーチ（ISR）が自社開発する国産のクラウド型 ID 基盤（IDaaS）です。ゼロトラスト（何も信頼せず、すべてのアクセスを都度検証する考え方）にもとづき、SSO・多要素認証・アクセス制限・ID 管理を1つにまとめて提供しています。
SSO の連携方式としては SAML 2.0・OpenID Connect・フォームベース（代理認証）に対応し、アカウントの自動同期（プロビジョニング）はサービス固有の API や SCIM 2.0 に対応しています。
認証面では、全プランでパスキー（FIDO2）によるパスワードレス認証を追加料金なしで利用できる点が特徴です。フィッシング攻撃に強い認証方式を、連携した全サービスのログインに効かせられます。アクセス制限は「端末・場所・時間」の3つの軸で設定でき、私用端末からのアクセス禁止や時間帯による制限なども可能です。
料金プランは3種類で、いずれも別途初期費用がかかります（2026年11月時点）。月額は1ユーザーあたり Standard Plus が400円（税込440円）、Enterprise Plus が500円（税込550円）、Smart Pack が600円（税込660円）です。
30日間の無料トライアルがあり、試した環境をそのまま本番へ移行できます。導入前から導入後まで日本語でサポートする体制も整えています。
出典・参考資料（2件）
複数のサービスをまとめて連携する IdP/IDaaS を本格的に選ぶ段階に入ったら、ここで取り上げた製品のほかにも候補を見比べておくと安心です。主要な IDaaS の機能・料金・選び方を横断的に比較した以下の記事も、あわせてご覧ください。
まとめ
SSO連携とは、個々のクラウドサービスを1つの認証基盤（IdP）につなぎ、一度のログインで横断して使えるようにすることです。つなぎ方には SAML 2.0・OpenID Connect といった標準規格のフェデレーション方式と、規格非対応のサービスを補う代理認証などの方式があります。
自社のサービスが連携できるかは、対応プロトコル（SAML／OIDC）・連携テンプレートの有無・SCIM 2.0 でのアカウント同期の3点を、各サービスの公式情報で確かめるのが近道です。設定は「事前確認→IdP設定→SP設定→動作検証」の4ステップが基本になります。
導入にあたっては、SAML 非対応サービスの扱い、IdP が単一障害点になりうること、多要素認証の併用を押さえておきましょう。まずは、自社で使っている主要サービスの連携可否を確認し、候補の IDaaS を1つ選んで検証するところから始めてみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. SSO連携とは何ですか？
A. SSO連携とは、個々のクラウドサービス（SP）を1つの認証基盤（IdP）につなぎ、一度のログインで複数のサービスを横断して使えるようにすることです。シングルサインオン（SSO）という仕組みに、Google Workspace や Salesforce などのサービスを1つずつ登録してつないでいく作業を指します。
社員は認証基盤に1回ログインするだけで、連携済みのサービスを追加のログインなしで利用できます。
Q. SSO連携と多要素認証（MFA）はどう違うのですか？
A. SSO連携と多要素認証（MFA）は役割が異なり、SSO連携は「複数サービスのログインを1つにまとめる」仕組み、MFAは「その1回のログインを複数の要素で強くする」仕組みです。認証を1か所に集約する SSO は、その1か所が突破されたときの影響が大きいため、パスワードに加えてパスキー（FIDO2）や生体認証などで本人確認を強化する MFA と組み合わせて使うのが基本です。
Q. SSO連携とIDaaSはどう違うのですか？
A. SSO連携はIDaaSが提供する中核機能の1つで、IDaaSはSSOに加えて多要素認証やアカウントの自動同期などをまとめて提供するクラウドサービスです。複数のサービスをまとめてSSO連携するには中心に立つ認証基盤（IdP）が必要で、その IdP をクラウドで手軽に用意できる手段が IDaaS にあたります。SSO連携を実現する選択肢の1つとして IDaaS がある、という関係です。
Q. SSO連携とSCIM（アカウント自動同期）は何が違うのですか？
A. SSO連携は「ログインの一元化」、SCIMは「アカウント情報の自動同期」で、担う役割が異なります。SSO連携はログインの手間を減らしますが、入社・異動・退職にともなうアカウントの追加や削除は別の仕組みが必要です。
SCIM 2.0 に対応していれば、IdP でアカウントを操作するだけで各サービスに自動反映でき、退職者のアカウント削除漏れといったリスクも抑えられます。両方に対応していると運用の負担がさらに軽くなります。
Q. SAML 2.0やOpenID Connectに対応していないサービスは、SSO連携できないのですか？
A. SAML 2.0・OpenID Connect に対応していないサービスは、フェデレーション方式でのSSO連携はできませんが、代理認証（フォームベース）などの方式で連携できる場合があります。特に一部の国産 SaaS や小規模なサービスは標準規格に非対応のことがあります。連携したいサービスの対応状況を事前に確認し、非対応だった場合にどの方式で補うかの方針も決めておくと、導入後に困りません。
Q. IdP（認証基盤）が停止すると、連携した全サービスにログインできなくなりますか？
A. SSO連携では認証をIdPに集約するため、IdPが停止すると連携先すべてにログインできなくなる可能性があります。これは「単一障害点」と呼ばれるリスクです。重要なシステムには代替のログイン手段を残しておく、導入候補の IdP／IDaaS の可用性やセキュリティ体制を事前に確認する、といった備えが欠かせません。
Q. SSO連携だけでクラウドのセキュリティ対策は十分ですか？
A. SSO連携だけでは不十分で、多要素認証（MFA）やアクセス制御との併用が推奨されます。認証を1か所に集約する以上、その認証情報が漏えいすると連携先すべてに影響が及ぶためです。パスキー（FIDO2）などの多要素認証や、端末・場所・時間によるアクセス制御を組み合わせて、認証そのものを強くしておくことが重要です。
Q. SSO連携は無料で始められますか？
A. 無料プランや無料トライアルを備えた IDaaS／SSO 製品はありますが、連携できるサービス数などに制限がある場合が多く、無料の範囲だけで本番運用をまかなえるとは限りません。まずは無料トライアルを使い、自社で使っている主要サービスが実際に連携できるかを、運用に近い条件で検証してから選ぶとよいでしょう。
Q. 自社で使っているサービスがSSO連携に対応しているかは、どこで確認できますか？
A. 各サービスの公式ヘルプやセキュリティ設定のドキュメントで、SAML 2.0 や OpenID Connect による SSO に対応しているかを確認できます。「SAML」「SSO」「シングルサインオン」「IdP」といった語で公式ドキュメントを検索すると、対応の有無や設定手順の説明にたどり着けます。第三者の記事ではなく、利用中サービスの公式情報で確認するのが確実です。
IDaaS・SSOサービスの料金・資料を一括チェック
MCB FinTechカタログでは、SSO連携に使える IDaaS・SSOサービスの最新資料を無料で一括請求できます。対応する連携方式や料金、多要素認証の機能を比べて、自社に合うサービスを選べます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
