SSO環境におけるセッション管理：IdP導入後も見落としがちなセキュリティ実践

SSOを導入すると、ユーザーは一度のログインで複数のサービスにアクセスできるようになります。しかし、それだけセッションの露出範囲も広がります。IdPで認証を統合しても、セッションのセキュリティが自動的に解決されるわけではありません。本記事では、SSO環境においてセッション管理がなぜ重要なのか、実務で必ず確認すべき項目を整理します。

SSOセッションの二重構造

SSO環境では、二つのレイヤーのセッションが存在します。

• IdPセッション: ユーザーがIdPに最初にログインした際に生成されるセッションです。このセッションが有効であれば、新しいアプリケーションにアクセスする際に追加のログインなしで認証を受けられます。 • アプリケーションセッション: 各サービスが独自に維持するセッションです。OIDCやSAMLベースのSSOでは、アプリケーションはIdPから受け取ったトークンを検証して、独自のセッションを生成します。

問題は、これら二つのセッションの有効期限が常に同期するとは限らないことです。IdPセッションが切れているのにアプリケーションセッションが残っていたり、その逆のケースも発生します。片方だけ有効ならユーザー体験が途切れ、両方有効なら想定より長くアクセスが許可されるセキュリティ上の隙間が生まれます。

トークンの寿命管理

OIDC/OAuth2ベースのSSOでは、トークンの寿命がセッションセキュリティの要です。

• Access Token: 可能な限り短く設定します。5〜15分が一般的です。万が一漏洩しても被害期間を最小化できます。 • Refresh Token: Access Tokenの更新に使用され、より長い寿命を持ちます。ただし、盗難時は攻撃者が継続的にアクセス可能になるため、rotation（発行時に既存トークンを無効化）とreuse detection（再利用検知）の適用が推奨されます。 • ID Token: ユーザー情報を含むJWTトークンです。寿命を短く設定し、一度使用したら無効化されるone-time useの原則に従うと安全です。

セッション有効期限ポリシー

MFAでログインセキュリティを高めたのであれば、セッション有効期限ポリシーも同等に厳格にする必要があります。

• アイドルタイムアウト: 一定時間活動がないとセッションを終了します。15〜30分が推奨されます。長時間のセッションが必要な業務は例外規定で管理します。 • 絶対タイムアウト: ログイン時点から一定時間が経過すると、無条件でセッションを終了します。4〜8時間が一般的です。アイドルタイムアウトのみを設定すると、活動を維持し続ければセッションが永久に有効になり続けるセキュリティ上の隙間が生まれます。

同時セッション制御

複数デバイスでの同時ログインは利便性の面では優れていますが、アカウント共有や認証情報の盗難時にはリスクを増幅させます。

• 同時セッション数の制限: 1ユーザーが持てるアクティブセッション数をポリシーで管理します。 • 新規ログイン時の既存セッション解除: 新しいデバイスでログインした際に、以前のセッションを自動解除する方式も効果的です。VPNやリモートアクセス環境ではセッション数を余裕を持たせる必要があります。

アカウント停止時のセッション即時無効化

退職処理、セキュリティインシデント、パスワード変更時に、該当ユーザーの全セッションを即時無効化する必要があります。SCIMベースのオフボーディングが自動化されていても、セッション無効化まで連動しているかは別途確認が必要です。アカウントが無効化された後に既存セッションが残っていると、そのユーザーがシステムへのアクセスを継続できるセキュリティインシデントにつながります。

SLO（Single Logout）の現実

SSO環境における理想的なセッション管理はSLO（Single Logout） — 一箇所でログアウトすると、接続されているすべてのアプリケーションで同時にセッションが終了することです。しかし、すべてのアプリケーションがSLOプロトコルを完全にサポートしているケースは稀です。SAMLベースのSLOは実装の複雑度が高く、ブラウザリダイレクト方式の制限により信頼性が低下することがあります。したがって、SLOのみに依存せず、各アプリケーションのセッション有効期限ポリシーとトークン検証を独立して構成することが安全です。

確認チェックリスト

SSO環境のセッションセキュリティを点検する際、以下の項目を確認してください。

• IdPセッションとアプリケーションセッションの有効期限ポリシーが定義されているか？ • Access Tokenの寿命が15分以下に設定されているか？ • Refresh Token rotationが有効化されているか？ • アイドルタイムアウトと絶対タイムアウトが両方設定されているか？ • アカウント無効化時にセッションが自動的に無効化されるか？ • 同時セッション数に関するポリシーが存在するか？ • SLO非対応アプリに対する対応策があるか？

IdPを導入した後も、セッション管理は引き続き重要なセキュリティ領域です。トークンの寿命、有効期限ポリシー、セッション無効化を体系的に管理すれば、SSOの利便性とセキュリティを両立できます。

AxiPassは、セッション管理からトークン寿命の制御、アカウント停止時の即時セッション無効化まで、SSO環境のセキュリティを包括的にサポートします。今すぐ 無料で始める してみてください。