SWAとは? SSO非対応アプリの自動ログイン方式

SWA(Secure Web Authentication)は、標準SSOに対応しないアプリに対して、資格情報を安全に保管し自動でログインする方式です。OIDCやSAMLで連携できないアプリを、SSOに準じた方式で管理するために使われます。

SWAが必要な状況

会社が使うアプリのすべてが標準SSOに対応しているわけではありません。古い業務ツールや一部の中小SaaSは、OIDC・SAML連携を提供していないことが少なくありません。こうしたアプリは、チームが一つのアカウントを共有し、パスワードをチャットやドキュメントでやり取りして管理されがちです。この方式は誰がアクセスしたか分かりにくく、パスワードが平文で出回り、回収も面倒です。

SWAはどう動くのか

SWAの核心は、資格情報を人ではなく暗号化されたvaultに保管することです。アプリのIDとパスワードをvaultに保存しておき、ログインの時点でブラウザ拡張がvaultから資格情報を受け取って代わりに入力します。ユーザーはパスワードを直接見ることなくクリック一つでログインし、会社はパスワードが人の手を経由しないように管理できます。

SWAとSSOの違い

SSOはアプリが認証をIdPに委任する標準の方式で、SWAはアプリのログイン画面に資格情報を安全に代わりに入力する方式です。アプリを改修する必要がない点がSWAの利点ですが、標準プロトコル連携ほど深い統合ではありません。そのため標準SSOが使えるアプリはSSOで、使えないアプリはSWAで管理する組み合わせが現実的です。二つの方式を一つのコンソールでまとめて扱えば、社内アプリ全体を同じアクセスポリシーと監査基準の下に集められます。

AxiPassのSWAは、資格情報をLockboxのカラム暗号化で保管し、ユーザーごとに付与・回収できるため、共有アカウントを個人単位のアクセスに変えられます(アプリ内の活動記録は必要に応じてオプションで有効にできます)。実務のアプローチはSSOに対応しないアプリ、アカウント管理はどうするかへと続き、無料で始めることでご自身で確認できます。