ECサイトで導入したいSSOとは？メリットやデメリットを紹介
近年オンライン上での売上向上を目的とした、ECサイトの立ち上げ・運営を行う事業者が増えています。
事業者によっては、自社ECサイトだけでなくECモールへの店舗開設を行うなど、複数店舗の運営を行うシーンもあるのではないでしょうか。
その際、それぞれのサイトでユーザーに会員登録させてしまう手間やログイン情報を複数管理しなければならないセキュリティ面でのリスクが懸念されます。
そこで今回は、一つのログイン情報を複数のサイトで利用できる「SSO（シングルサインオン）」の基本情報やメリット・デメリット、ECサイトへの導入方法について紹介します。
SSOとは？
SSOとは「シングルサインオン」の略で、 一度認証を通っていれば、その認証情報を使って許可されているすべてのサービスを使用できる仕組みのことを指します。
通常システムやサービスを利用する度に、ユーザー認証が行われ、その都度ユーザーIDとパスワードの入力が求められます。
シングルサインオンは、それらのユーザー認証を1度だけ済ませることで、複数のシステムやサービスを利用することができる仕組みです。
SSOのメリット
シングルサインオンをECサイトに導入するメリットとして、以下の点が挙げられます。
- ログイン時の利便性向上
- パスワード漏洩のリスク軽減
- アカウント管理の作業軽減
ログイン時の利便性向上
上記で述べたように、シングルサインオンは ユーザーIDとパスワードを1度認証させることで、複数のシステムやサービスへログインできることが最大の利点です。
ユーザーにとって利用するサービスが増えるたびに、管理すべきログイン情報が増えていき、情報管理が煩雑になってしまいます。
また、ユーザーによっては他のサービスで使用しているログイン情報を使い回していたり、ログイン情報をメモアプリなどに控えたりするユーザーもいるのではないでしょうか。
シングルサインオンを導入することにより、ユーザーは1つのパスワードの管理のみを行うことで、各サービスを利用することができます。
その結果、ECサイトへの登録率や商品の売上向上にも繋がっていくことでしょう。
パスワード漏洩のリスク軽減
シングルサインオンを導入することにより、パスワード漏洩のリスクを軽減することができます。
いくつものユーザーIDやパスワードがあると、どうしても覚えきれなくなります。
そのため、ログイン情報を紙に書いて保管したり、メモアプリに保管したりするようにして、忘れるのを防ぐようになります。
しかし、それは同時に情報漏洩のリスクを高めることとなってしまいます。
シングルサインオンは、ある程度複雑なパスワードを設定していたとしても、1つのユーザーIDとパスワードの組み合わせで済むため、情報を管理しやすくなり、情報漏洩のリスクを軽減することとなります。
また、悪意ある第三者から攻撃を受けたとしても、複雑で長いパスワードであれば不正ログインのリスクを限りなくゼロに近づけることができます。
アカウント管理の作業軽減
パスワード管理が容易になるため、パスワード忘れや誤入力によるアカウントロックなどの問題や対応が少なくなります。
そのため、問い合わせを受けて問題を解決するための時間をカットでき、ECサイト運営者の作業軽減に繋がっていきます。
SSOのデメリット
シングルサインオンの導入にあたってのデメリットとして、以下が考えられます。
- パスワードが1つ漏洩すると、不正利用者に全てのサービスに入られてしまう
- システムが止まってしまった場合、全てのサービスへ入れなくなる
- 連携できないサービスもある
パスワードが1つ漏洩すると、不正利用者に全てのサービスへ入られてしまう
シングルサインオンは、一つのログイン情報によって複数のシステムやサービスを利用することができると述べてきました。
しかし万が一、1つのログイン情報が漏れてしまうと、不正利用者に全てのサービスへ入られてしまう恐れがあります。
そのため、端末制限や2段階認証、定期的なパスワード変更などを行うことで、自らパスワード管理を厳重にして自衛していくことが必要となってきます。
システムが止まってしまった場合、全てのサービスへ入れなくなる
シングルサインオンを管理しているシステムが停止してしまった場合、認証している全てのサービスにログインできなくなります。
そのため、各サービスのアカウント情報のバックアップをとっておけば、その情報を利用してログインすることができます。
システムが停止してしまった場合の対応策の検討や、管理システムを提供しているベンダーの緊急時の対応内容を事前に確認するなどしておきましょう。
連携できないサービスもある
ECサービスの中には、あらかじめシングルサインオンを連携できるような設定が入っているものもあります。
しかし、中にはシングルサインオンと連携できないものもあります。
シングルサインオンの導入を検討している場合は、事前に使用しているサービスがシングルサインオンと連携できるかどうかを確認しておくようにしましょう。
SSOの導入方法
シングルサインオンを導入する際、以下の4種類の方法があります。
- エージェント方式
- リバースプロキシ方式
- 代理認証方式
- SAML認証方式
エージェント方式
Webサーバーに専用のエージェントソフトウエアを導入し、シングルサインオンを実現する方式です。
エージェントソフトウェアは、シングルサインオンのために用意した外部サーバーと連携し、認証の実施やアクセス権限の有無を確認します。
リバースプロキシ方式
リバースプロキシと呼ばれるサーバーを、ブラウザとWebアプリケーションのサーバーやクラウドサービスなどの間に設置して認証を行う方式です。
リバースプロキシサーバーには、ブラウザとサーバーを仲介するエージェントソフトウェアが備わっているので、シングルサインオンを実現できます。
代理認証方式
シングルサインオンサーバーがユーザーに代わって、ユーザーIDとパスワードを提供・送信して認証を行う方式です。
PCにインストールしたエージェントが常駐して、シングルサインオン対象となっているログイン画面を監視し、対象のログインページが起動したときに代行してID・パスワードを自動入力する仕組みとなっています。
SAML認証方式
クラウドサービス間で認証情報を受け渡しすることでシングルサインオンを実現する方式です。
SAML認証は、利用者・サービスプロバイダ・シングルサインオンサービスの提供者の三者間で認証情報をやり取りします。
サービスプロバイダは主にクラウドサービス関連が該当し、シングルサインオンサービスの提供者は、利用者とサービスプロバイダの橋渡し役として、実際にユーザー認証を行なう役割を持ちます。
これら三者が相互に通信することによってシングルサインオンを実現します。
まとめ
ここまでシングルサインオンに関する基本情報と、導入のメリット・デメリット、具体的な導入方法を紹介してきました。
シングルサインオンは、利用者の利便性向上やパスワード漏洩リスクの軽減だけでなく、サイト運営を行う作業者の負担を軽減することができます。
この機会にシングルサインオンの導入を検討してみるのはいかがでしょうか。
