2019年時点で、全世界に1億8000万人のアクティブユーザーがいると発表された「Office 365」。ライバルであるGoogleのG Suiteが「G Suite Business」と「G Suite Enterprise」を合わせても、8000万人程度と言われているので、おおよそ2倍以上のアクティブユーザーがいる。らしいです (2019/5現在)。

特に大手企業に限っては、マイクロソフトと過去からの年間契約を更新、更新してきていることが多い。G Suiteのように「Office 365と比較して、結構悩みに悩んで導入」というよりは、「昔からの契約がいつの間にかOffice 365になっていた」という場合も多いかと。つまり、意識していても、してなくても大手企業では特にユーザーはとても多い。

そんなOffice 365ユーザーが、クラウドサービスへのシングルサインオンをしたくなったときの話です。

##AD, Azure AD、Office 365とSSOについて整理

Active Directory (AD)とOffice 365を連携させてシングルサインオンを行っている企業は多い（ユーザーは「シングルサインオンしている」ことすら意識していないだろう）。ただ、オンプレのADはクラウドサービスへのシングルサインオンは対応していないので、AWSやAtlassianやSlackにシングルサインオンできない。

こうなると、ユーザーが正しくパスワードを管理してくれているだろう、という「ユーザーの良心」を信じるほかない、という極めて危険な状態になる。つまり、ユーザーが一切パスワードを使い回さず、強固なパスワードを設定し、パスワード情報を全て「記録」ではなく「記憶」することを期待しなければいけない。つまり「無理」です。

AD導入済の企業の場合、これを防ぐための方法としては以下の2つ。

(1)オンプレADをAzure ADに移行
(2)オンプレADはそのままに、別にシングルサインオン製品を導入

もし、会社がADをAzure ADに移行することに前向きだったり、既にライセンスを持っている、構築用の予算を確保しているのであれば、Azure ADにするのが得策。クラウドサービスへの認証もこれで安心だし、「Azure AD」と「シングルサインオンサービス」でアカウントが別になることがない。

しかし、「ADをまだ移行できない」「予算はない」が、「ユーザーがクラウドサービスへのパスワードをずさんに管理していたため、不正アクセスが→情報漏えいが起こった」ような場合は、クラウド対応のシングルサインオン製品、通称 IDaaS (Identity as a Service) を導入する必要がある。Azure ADのように高度な端末管理が行えない分、IDaaS製品は安く導入も容易だからだ。

ちなみに、ADが入っていない企業の場合は、以下の2択になる。

ADが入っていなくて困っているので、入れたい場合は、Azure ADを導入し、これでクラウドサービスのシングルサインオンも一緒に行う
ADが入っていないが困っていない場合は、Azure AD入れる必要は全くないので、クラウドサービスのシングルサインオン製品のみ導入

ただ、IDaaS製品を入れたがために、管理すべきアカウント数がまた1つ増えてしまい、管理者側の工数が増大することは避けたい。よって、Office 365アカウントとシングルサインオン製品で連携を取ることで、二重の管理を避けられる。

ようやっと本題に入りますが、以下では「Office 365アカウントと、連携を取って二重管理を防げるシングルサインオン製品」を紹介していきます。

##製品比較

製品としては、ホームページから詳しい情報が取れる製品に限定。ちなみにいずれの製品もOffice 365対応を表明しており、アカウントの二重管理を防げる。

Okta
Onelogin
Cloudgate Uno
Trustlogin

| |Okta |Onelogin |Cloudgate Uno | Trustlogin|
|-----|-----|-----|-----|------|-----|
|メーカー名|Okta |Onelogin |インターナショナルシステムリサーチ | GMOグローバルサイン|
|1ユーザー当たり月額費用 (日本語対応) |2ドル |4ドル |200円 |100円 |
|対応SSO先の数 (SSOテンプレート数) |5500 |5000 |55 |5235 |

(Qiitaのマークダウンで記述する表が見にくくて、申し訳ない)

まず、OktaとOneloginはIDaaS世界大手で、それ以外の企業は日本企業。

価格は、最安値がTrustloginの100円で、最高値がOneloginの4ドル (430円)。ユーザー数が少なければ大差ないが、ユーザー数が多いと4倍以上の価格差になるので注意が必要。

そして、シングルサインオンが利用できるクラウドサービス先だが、ここが大きな差がある。Okta、Onelogin、Trustloginは5000以上のサービスに対応している反面、Cloudgate Unoは55しかない。一般的に使われているメジャーなサービスもカバーしていなかったりするので要注意。

OktaとOneloginは「どのクラウドサービスにシングルサインオンできるか」がホームページに掲載がないが、他の3製品は公開されているのでチェックするとよい。
Cloudgate Unoの対応製品
 Trustloginの対応製品

##どの製品が良いか？注意点は？

シングルサインオン製品をあえて導入したいということは、「複数のクラウドサービスを利用していて、その認証なりパスワード管理なりに課題を抱えている」ため。よって、各シングルサインオン製品で、自社で使っているクラウドサービスがカバーされているかどうかは最初にチェックし、カバーされていない場合は候補から落とすべき。

Cloudgate Unoは、55しかクラウドサービスに対応していないため要注意。例えば、AWSのようなメジャーなものも漏れていたりする。

後は、使えそうな製品をトライアルで使ってみて、UXや必要な機能を確認するのがよい。上記記載の「Office 365連携とクラウドへのシングルサインオンの料金」以外にかかる、オプション機能の料金体系はかなり異なる。例えば、多要素認証や、クライアント証明書、AD連携で、追加料金がかかったり、かからなかったりするので、上記記載の料金だけでなく、ご自身で正しく試算することを強く、強く推奨。

最後に注意したいのが最低利用者数。1ユーザーから利用可能なものもあれば、10ユーザー、25ユーザーなど制限があるものもある。同じ製品でも、プランごとに異なったりするので、上記表には書きませんでしたので、ご自身で要確認。

##各製品を試してみる

以下からどうぞ！