---
title: "IdP（認証サーバ）とは？SSOの中核とリスクを整理【SG試験】"
description: "IdP（認証サーバ）は、利用者を認証し、その結果を複数サービスへ連携するSSOの中核です。SP、SAML、OpenID Connect、OAuthとの違い、停止・侵害時の影響、SG試験での判断軸を整理します。"
last_modified_at: "2026-07-18"
canonical_url: "https://stemtazoo.github.io/sg/idp/"
section: "sg"
---

## まず結論

IdP（Identity Provider）とは、**利用者を認証し、その認証結果をほかのサービスへ提供する仕組み**です。

SG試験では、次の3点で切り分けます。

- IdP：本人確認を担当する
- SP：IdPの認証結果を受けてサービスを提供する
- 最終的な利用許可：原則として各サービス側が判断する

IdPを使うとSSOを実現しやすくなりますが、停止や侵害が起きると複数サービスへ影響が広がるため、**利便性とリスクが集中する基盤**として理解します。

## 直感的な説明

IdPは、複数の建物へ入る前に本人確認を行う「共通の受付」のようなものです。

1. 利用者がIdPで本人確認を受ける
2. IdPが「この利用者は本人確認済み」と各サービスへ伝える
3. 各サービスが、その情報を確認して利用を許可する

受付が1か所なら、利用者は何度もパスワードを入力せずに済みます。

一方で、その受付が止まると新しく入館できなくなり、受付が乗っ取られると複数の建物へ不正に入られるおそれがあります。

> IdPは便利な共通入口ですが、重要な集中管理ポイントでもあります。

## 定義・仕組み

### IdPとSPの役割

| 用語 | 主な役割 |
|---|---|
| IdP | 利用者を認証し、認証結果や属性情報を提供する |
| SP（Service Provider） | IdPの情報を受け取り、サービスを提供する |

IdPが行う中心的な処理は**認証**です。

ただし、IdPが所属部署やグループなどの属性情報を渡し、SPがその情報を使って認可を判断することがあります。

そのため、試験では次のように整理します。

- 認証：本人かどうかを確認する
- 認可：どこまで利用を許可するかを決める
- IdP：認証結果や属性を提供する
- SP：最終的なアクセス許可を判断する

### SAML・OpenID Connect・OAuthとの関係

| 用語 | 主な目的 | 判断ポイント |
|---|---|---|
| SAML | 認証結果をXML形式で連携 | 企業向けSSOで使われやすい |
| OpenID Connect | IDトークンを使って認証情報を連携 | OAuth 2.0を基盤にした認証 |
| OAuth 2.0 | 他サービスへのアクセス権限を委任 | 認可が中心 |

SG試験では、**OAuthだけを本人認証の仕組みと決めつけない**ことが重要です。

- OAuth：アクセス権限の委任
- OpenID Connect：OAuthを基盤に認証情報を扱う

### 認証結果として渡すもの

IdPは、認証後に次のような情報をSPへ渡します。

- SAMLアサーション
- IDトークン
- 利用者IDや所属などの属性情報

SPは、それらが正しいIdPから発行され、改ざんされていないことを確認します。

## どんな場面で使う？

### 社内システムやクラウドサービスのSSO

- 社内ポータル
- 勤怠システム
- Webメール
- SaaS
- クラウド管理画面

複数サービスの認証をIdPへ集約すると、利用者は1回のログインで複数サービスを使いやすくなります。

### 入退社時のアカウント管理

IdPと各サービスを連携すると、退職者のアカウント停止や権限変更を一元的に反映しやすくなります。

ただし、連携漏れや設定ミスがあると、退職後も利用できるアカウントが残るおそれがあります。

### 障害・インシデント時

IdPが停止した場合は、主に**新規ログインができなくなる**点が重要です。

既にログイン済みの利用者は、サービス側のセッションが有効な間は使える場合があります。そのため、

> IdP停止＝すべての既存利用が即時停止

とは限りません。

一方、IdPが侵害されると、不正な認証結果やトークンを使って複数サービスへアクセスされるおそれがあります。

主な対策は次のとおりです。

- MFAを設定する
- IdPを冗長化する
- 管理者権限を分離・制限する
- 認証ログを監視する
- 緊急用アカウントを厳格に管理する
- トークンや証明書の失効手順を決める

## よくある誤解・混同

### 誤解1：IdPが認可まで最終決定する

必ずしもそうではありません。

IdPは本人確認や属性情報の提供を担当し、最終的な利用許可は各SPが判断するのが基本です。

### 誤解2：OAuthはSSO用の認証方式である

OAuthは主に**認可**の仕組みです。

本人認証を扱う場合は、OpenID Connectとの組合せを確認します。

### 誤解3：IdPが停止しても影響は小さい

誤りです。

認証を集中しているため、新規ログインできないサービスが広がる可能性があります。

### 誤解4：IdPが侵害されても1サービスだけの問題である

誤りです。

IdPを信頼する複数サービスへ影響が広がるおそれがあります。

### SG試験の判断基準

- 「利用者を一元的に認証する」→ IdP
- 「IdPの認証結果を受けてサービスを提供する」→ SP
- 「権限の委任」→ OAuth
- 「OAuthを基盤に本人確認情報を扱う」→ OpenID Connect
- 「IdP停止時は新規ログインへ広く影響」→ 適切
- 「認証を集中したのでリスクは分散する」→ 誤り

## まとめ（試験直前用）

- IdPは利用者の認証を一元的に行う
- SPはIdPの認証結果を受けてサービスを提供する
- 認証はIdP、最終的な認可は原則としてSP側
- SAMLとOpenID Connectは認証連携、OAuthは認可が中心
- 停止すると新規ログインへ広く影響する
- 侵害されると複数サービスへ被害が広がる
- 判断軸は「誰が本人確認し、誰が利用許可を決めるか」