B2B SaaS製品にSSO連携機能を追加する：SP（Service Provider）視点の実践ガイド

B2B SaaSを運営していると、大手顧客から「貴社サービスを弊社のIdPとSSOで連携できますか？」という問い合わせを受けることがあります。問い合わせが蓄積すると、SSOサポートを製品機能として追加すべきだという結論に至ります。

この記事は、SaaS企業がIdP側ではなく、Service Provider（SP）側でSSOを実装する際に考慮すべき項目を整理します。OIDCとSAMLの違いは既に取り上げたので、今回はSP実装の視点から実務フローに焦点を当てます。

SPになることの意味

SSO環境では、IdPがユーザー認証を担当し、SPはIdPから認証結果を受け取って自社サービスのログインとして処理します。SaaS企業がSPの役割を果たすと：

• 顧客が自社IdPでユーザーを管理するため、SaaS側のアカウント管理負担が軽減されます • 顧客のMFA、パスワード有効期限などセキュリティポリシーがSaaSアクセスにも自動適用されます • セキュリティ監査でSSO対応項目を自然にクリアできます

プロトコル選定：SAML vs OIDC

SPとして実装する際、まず決定すべきはプロトコルです。

SAML 2.0

大手企業、金融顧客が主に要求します。Entra ID、Oktaなど大部分のエンタープライズIdPがサポートしており、SP実装時にはXMLベースのアサーション処理と署名検証が必要です。

OpenID Connect（OIDC）

REST APIベースで実装がシンプルなため開発者に優しいです。OAuthログイン対応サービスであれば拡張が容易です。

実務的な選定基準

• 大手・金融顧客が主なターゲットであればSAMLを優先してください • スタートアップ・テック企業であればOIDCから始める方が開発コストが低いです • 長期的には両プロトコルをサポートするのが理想です

SSO連携の実装フロー

1. SPメタデータの生成

Entity ID、ACS URL、SLO URL、証明書情報を含むXML文書を生成して顧客に提供します。これがSSO連携の起点です。

2. 顧客IdPへのSP登録

顧客のIT担当者が自社IdPコンソールにSaaSサービスをSPとして登録します。SaaS側から提供したメタデータをインポートするか、手動で入力します。

3. IdPメタデータの登録

SaaSコンソールで顧客IdPメタデータを登録します。SAMLは署名証明書の検証、OIDCはclient_secretの設定が必要です。

4. 連携テスト

• SAMLアサーションのNameIDがSaaSのユーザー識別キーとマッピングされているか • グループ・ロール情報がSaaSの権限モデルと互換性があるか • MFAが顧客IdPポリシーに従い正常に動作するか • シングルログアウトが双方で正常に処理されるか

テナントごとの連携管理

B2B SaaSの特性上、顧客企業ごとに異なるIdPと連携する必要があります。各テナントごとにSP設定を独立管理するマルチテナントSPアーキテクチャが必要です。

• 顧客企業ごとに異なるIdP（OIDC、SAML、複数IdP）を接続できる必要があります • SCIM自動プロビジョニングと組み合わせるとオンボーディング・オフボーディングが完全自動化されます • SP設定をセルフサービスで登録できればCSの負担が軽減されます

よく発生する問題と対応

• NameID形式の不一致：メールではなくUPNやemployeeNumberをNameIDとして送信する場合 — SaaS側でマッピングルールを柔軟に設定してください • グループ情報の不在：一部IdPはSAMLアサーションにグループ情報を含めません — SCIMで同期する設計が必要です • 証明書の更新：IdP署名証明書の期限切れで連携が即座に切断されます — 更新通知や自動更新を検討してください • セッション時間の不一致：セッション管理の戦略を参考に双方のポリシーを調整してください

段階的導入チェックリスト

• 顧客企業から最も要求の多いプロトコルをまず選定してください • SPメタデータ自動生成機能を実装してください • IdPメタデータ登録APIを提供してください — 顧客が直接登録できるようにします • SSOテスト用サンドボックスを用意してください • SCIMプロビジョニングと統合してください — SSOだけではアカウントの作成・削除が自動化されません

SSOサポートはB2B SaaSの製品競争力を高める中核機能です。一度構築すれば大手顧客の獲得とセキュリティ監査対応で継続的なメリットを得られます。

AxiPassはB2B SaaS企業がSPとしてSSOを迅速にサポートできるよう、マルチテナントIdPインフラとSCIM連携、監査ログを統合提供します。無料で始めるしてください。