OIDCとSAMLの違い、どちらを選ぶか
SSOを実現する二つの標準プロトコル、OIDCとSAMLの違いを整理します。XMLベースのSAMLと、OAuth 2.0の上に築かれたOIDCの特性と選択基準を説明します。
OIDCとSAMLは、いずれもSSOを実現する標準の認証プロトコルです。IdPとアプリが認証結果を安全にやり取りする規約という点は同じですが、基盤となる技術と使われ方が異なります。SAMLはXMLベースで、OIDCはOAuth 2.0の上に築かれた認証レイヤーです。
SAMLとは
SAML(Security Assertion Markup Language)は、XML形式で認証情報をやり取りする標準です。IdPが発行した署名付きのアサーションをSPが検証してログインを処理します。企業向けアプリやオンプレミスのシステムで長く使われてきており、従来型のB2B SaaSで対応範囲が広い傾向があります。
OIDCとは
OIDC(OpenID Connect)は、OAuth 2.0の上に認証レイヤーを加えた標準です。認証結果をIDトークンという形で伝え、JSONとRESTの方式を使うため、モバイルアプリやAPI親和性の高い環境によく合います。比較的新しく作られたアプリが優先的に対応する場合が多くあります。
どちらを選ぶか
実務では、二つのうち一つを先に選ぶというより、連携したいアプリが何に対応しているかに従うことになります。あるアプリはSAMLのみ、別のアプリはOIDCのみに対応するからです。そのため会社が複数のアプリをつなぐには、IdPが両方のプロトコルを提供するほうが安全です。
新しく導入するアプリならOIDCをまず確認し、既存の企業向けアプリならSAMLの対応可否を見る、という形で進めればよいでしょう。整理すると、二つのプロトコルは競合というより、異なるアプリのエコシステムをカバーする相互補完的な標準に近いものです。どちらを使っても核心の原理は同じで、アプリがパスワードを直接扱わず、信頼するIdPの認証結果だけを確認するという点です。
プロトコル選択を含む導入段階は、小規模から大規模まで、企業のためのSSO導入ガイドへと続きます。AxiPassはOIDCとSAML 2.0の両方をIdPとして提供するため、無料で始めることでアプリに合った方式で連携できます。