SAML 完全解説 ― 仕組み・メリット・実装ポイントまとめ

公開日: 2025-04-23

この記事の目的

SAML (Security Assertion Markup Language) の基礎と用語を整理

SSO フローを図解しながら分かりやすく解説

OpenID Connect との違い・選定指針を明示

実装・運用でハマりやすいポイントとベストプラクティスを紹介

0. 導入

用語	略称	役割
Identity Provider	IdP	認証を実施し、アサーションを発行する側
Service Provider	SP	利用するサービス（SaaS / アプリ）側
Principal	ー	ユーザー本人
Assertion	ー	認証結果と属性情報を含む XML 署名付きトークン
Metadata	ー	IdP/SP の公開鍵・エンドポイントなどの設定ファイル
Binding	ー	アサーション配送方式（HTTP-Redirect, HTTP-POST, Artifact 等）
Profile	ー	利用シナリオを定義（Web SSO Profile など）

観点	メリット	制約・注意点
統合認証	1 回のログインで複数 SaaS にアクセス	クラウドごとにメタデータ設定が必要
セキュリティ	XML 署名 + 証明書で改ざん検知	XML Signature Wrapping 脆弱性に注意
属性連携	部署 / 役職などを属性で渡せる	属性スキーマがサービス間でズレやすい
互換性	多くのエンタープライズ SaaS が対応	モバイルネイティブには不向き（重い）

規格	データ形式	典型用途	トークン	エコシステム例
SAML 2.0	XML	エンプラ SSO / SaaS	SAML Assertion	ADFS, Okta, PingFederate
OIDC	JSON + JWT	モバイル / SPA / API 認可	ID Token, Access Token	Auth0, Cognito, Firebase, Azure AD B2C

選定ヒント

ブラウザベース・レガシー SaaS ➡ SAML が無難

モバイル / SPA & API Auth ➡ OIDC が主流

両方をサポートする IdP を導入し、サービス特性で切り替える 構成が実践的

製品選定
- オンプレ: ADFS / Keycloak / Shibboleth
- SaaS : Okta / Azure AD / Google Workspace
メタデータ公開
- https://idp.example.com/metadata を HTTPS でホスト
- 証明書ローテーション は 約 180 日 周期で実施
署名鍵管理
- HSM や AWS KMS に格納
- キーローテーション後は SP にメタデータを再配布

IdP メタデータを取り込み（EntityID, cert, ACS URL）
NameIDFormat は urn:oasis:names:tc:SAML:2.0:nameid-format:persistent を採用し、
メールアドレスをユニーク ID として扱うケースが多い
ログイン失敗時は AuthnRequest ID をエラーページに表示し、
IdP 側ログとの突合を容易にする

Okta Attribute	SAML Attribute	IAM 設定例
`email`	`http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress`	`aws:userid`
`department`	`https://example.com/claims/dept`	`aws:PrincipalTag/dept`
`role`	`https://aws.amazon.com/SAML/Attributes/Role`	`arn:aws:iam::123456789012:role/ReadOnly`

💡 TIP
2023 年以降、AWS では SAML Attributes → Session Tags が正式サポート。
ロール数削減 + ABAC が容易に！

∀ Assertion に署名 - 可能なら AuthnRequest にも署名
最小許可の属性発行 - 不要な個人情報は渡さない
Metadata TLS Pins - KeyDescriptor use="encryption" を必ず含める
Replay 対策 - NotBefore / NotOnOrAfter を ±5 min 以内、InResponseTo を検証
監査ログ - IdP で SAML ステータスを SIEM へ送信 (Azure Monitor, Splunk 等)
脆弱性対応 - XML ライブラリの XXE / XSW パッチを最新化
- 例: CVE-2022-42889 (XML Commons Text) を適用確認

ツール	種別	ポイント
SAML Tracer (Firefox / Chrome)	ブラウザ拡張	SAML Message や Assertion をリアルタイム確認
SSO Circle	無償公開 IdP	SP 開発時に外部 IdP を手軽に利用可能
saml2aws / aws-iam-authenticator	CLI	SAML → AWS 一時クレデンシャル取得を検証
pySAML2	Python ライブラリ	ローカル IdP / SP の即席テスト環境を構築

この記事があなたの SAML 導入・運用 のヒントになれば幸いです。
フィードバックはぜひコメントでお寄せください！