人事システムのSSO対応はどう選ぶ？確認項目と導入前のチェックリスト

人事システムのSSO対応は、利用中の認証基盤と連携できるかに加え、対象プラン・利用者・端末、権限管理、退職時の停止方法まで確認して選びます。SSOは複数サービスへのログインをまとめる仕組みですが、アカウントの作成・削除や人事情報の同期まで自動化できるとは限りません。

本記事では、人事システムの選定担当者に向けて、情報システム部門やベンダーと確認すべき条件、費用項目、導入前のチェックリストを紹介します。

人事システムのSSOは、既存の認証基盤との接続条件で選ぶ

SSO（シングルサインオン）は、一度の認証によって複数のサービスを利用できる仕組みです。人事システムに導入すると、従業員がサービスごとにログインする手間を減らせます。

ただし、「SSO対応」と記載されているだけでは、自社で利用できるとは限りません。既存の認証基盤と人事システムの双方について、対応方式や利用条件を確かめる必要があります。

IdPで本人確認し、連携した人事システムを利用する

企業向けの認証連携では、本人確認を担う「IdP（アイデンティティプロバイダー）」と、その認証結果を受け取るサービスを接続します。人事システムを利用先として連携する場合、従業員はIdPで認証を受け、人事システムへアクセスします。

認証連携の方式にはSAMLやOpenID Connect（OIDC）などがあります。選定時は方式名を覚えるだけでなく、利用中のIdPとの接続をベンダーが確認・支援しているかを調べましょう。OIDCはOAuth 2.0を基盤とする認証の仕組みであり、「OAuth対応」という記載だけでSSOの利用可否を判断することはできません。Microsoft Learn「シングル サインオンとは」、OpenID Foundation「How OpenID Connect Works」

なお、SSOを導入しても、セッションの有効期限や認証ポリシーに応じて再認証が必要になる場合があります。「一度ログインすれば、その後は認証が一切不要になる」という意味ではありません。

SSO対応だけではアカウント同期や権限管理まで決まらない

選定では、ログインの共通化と、アカウント・権限・人事情報の管理を分けて考えます。

アカウントの作成や無効化を自動化する仕組みは、プロビジョニングと呼ばれます。SCIMなどを利用する方法がありますが、接続先の対応が必要です。SSOに対応していることと、入退社に伴うアカウント管理を自動化できることは、別の確認事項です。 Microsoft Learn「自動アプリ ユーザー プロビジョニング」

SSO対応の人事システムは、接続・利用範囲・費用を比較する

候補製品は、同じ確認表を使って比較すると判断しやすくなります。以下の項目ごとに、自社の必須条件、ベンダーの回答、制約・追加費用、根拠資料と確認日を記録してください。

公開情報で分からない項目は「要問い合わせ」とし、「記載がないから非対応」とは判断しないようにします。

対応方式とIdPは、契約プラン・動作確認条件まで確かめる

最初に、情報システム部門へ既存のIdPと契約内容を確認します。その情報を候補ベンダーに伝え、接続条件を照会しましょう。

確認したいのは、単なる方式の一致だけではありません。たとえば「同じ方式に対応している」「接続実績がある」「動作保証・サポートの対象である」では、導入時に受けられる支援が異なります。回答がどの範囲を意味するのか明確にしてください。

アカウントを照合する情報も重要です。メールアドレスを変更した場合や社員番号を再利用した場合に、既存アカウントへどのような影響があるかを確認します。

MicrosoftのSSO導入計画でも、アプリケーションの要件、ユーザー、識別子などを事前に整理することが示されています。Microsoft Learn「シングル サインオンの展開を計画する」

管理者・従業員・社用メールのない人も利用できるか確認する

人事システムには、人事担当者だけでなく、申請や給与明細の確認などを行う従業員もアクセスします。管理者がPCでログインできることだけを確認して、検証を終えないようにしましょう。

自社の利用者を「人事担当者」「部門管理者」「一般従業員」などに分け、それぞれの利用画面と端末を整理します。パート・アルバイトなど、社用メールアドレスやIdPアカウントを持たない従業員がいる場合は、その人たちの利用方法も確認してください。

スマートフォンのブラウザと専用アプリで、対応条件が同じとは限りません。実際に利用する環境をベンダーへ伝えることが大切です。

MFA・SSO必須化・閲覧権限は分けて確認する

SSOはログインの共通化、MFA（多要素認証）は本人確認の強化に関わる仕組みです。さらに、認証後に誰がどの情報を見られるかは、権限管理の問題になります。

選定時は、次のように具体的な条件へ落とし込みましょう。

• IdP側で求めるMFAを、人事システムへのログインにも適用できるか
• 通常のID・パスワードによるログイン経路を残すか、制限するか
• 部門管理者が閲覧できる従業員や評価情報を限定できるか
• 権限変更や認証に関する必要なログを確認できるか

個人情報保護委員会の通則編では、情報システムで個人データを扱う個人情報取扱事業者に対し、適切なアクセス制御やアクセス者の識別・認証などを求めています。SSOを導入しただけで、これらの安全管理措置がすべて完了するわけではありません。 個人情報保護委員会「通則編」10-6 技術的安全管理措置

総費用は人事システムとIdPの両方で見積もる

費用は、人事システムの月額料金だけで比較せず、認証基盤側と導入・運用作業を含めて整理します。見積もりでは、次の費用が発生するかを確認してください。

すべてが有料になるという意味ではありません。基本料金に含まれる作業と、別途見積もりになる作業を分けるための確認項目です。対象人数や利用環境をそろえた条件で見積もりを依頼しましょう。

退職時の停止と認証障害への対応まで確認して選ぶ

SSOの選定では、正常にログインできるかに加え、「利用を止められるか」「障害時に復旧できるか」を確認します。人事部門が入退社の情報を管理し、情報システム部門が認証基盤を管理する場合は、部門間の連絡手順も必要です。

退職者のアクセス停止は、アカウントとセッションを確認する

退職者対応では、少なくとも次の3点を分けて確認してください。

1. IdPから新たにログインできなくなるか
2. 人事システム側のアカウントや、SSO以外のログイン経路を停止できるか
3. 停止前から続いているログイン状態を終了できるか

ログイン状態を維持する仕組みをセッションと呼びます。IdP側でアカウントを停止しても、人事システム側のセッションが直ちに終了するとは限りません。Microsoft Entra IDの公式資料でも、アプリケーションが発行したセッショントークンをEntra ID側から直接取り消せないことが説明されています。Microsoft Learn「ユーザー アクセスを取り消す」

ベンダーには、停止が有効になる条件と時間、必要な追加操作を確認しましょう。社内では「誰が」「いつまでに」「どの画面で停止し」「誰が結果を確認するか」を決めます。

なお、利用停止と人事データの削除は別の判断です。退職後も必要な記録を残しながら、本人のアクセスを止められる運用を検討してください。

証明書更新・障害・設定ミスに備えて復旧方法を決める

認証基盤の障害や連携設定の誤りによって、SSO経由でログインできなくなる場合があります。採用方式によっては、証明書などの期限管理も必要です。

たとえばSAML連携では、証明書の有効期限、更新通知の送付先、更新担当者、切り替え時の確認手順を整理します。期限や自動更新の仕組みは製品・設定によって異なるため、個別の公式手順で確認してください。Microsoft Learn「フェデレーション証明書の管理」

緊急用のアクセス手段を設ける場合も、通常ログインを無条件に残すのではなく、利用者・保管方法・使用記録・利用後の処置を決めます。ベンダーへの連絡先と、設定を元に戻す手順も導入前に確認しておきましょう。

導入前は要件整理から段階展開まで5ステップで進める

ここでは、選定から導入へ進むための実務手順を示します。各製品の公式設定手順と組み合わせ、自社の体制に合わせて実施してください。

1．利用者・端末・既存の認証基盤を整理する

人事部門は対象者と利用業務を、情報システム部門はIdPや端末環境を整理します。

対象者の一覧には、社用メールの有無、IdPアカウントの有無、利用する画面・端末を記録します。入社前や退職後にも人事システムを使う業務がある場合は、その期間のログイン方法も検討対象にしてください。

2．必須条件と停止・復旧ルールを決める

「SSOが使えること」を、判定できる要件に置き換えます。

たとえば「従業員が業務で使うスマートフォンから利用できる」「退職時の所定の期限までにアクセスを停止できる」などです。必須条件と、満たせれば望ましい条件を分けておくと、候補を絞り込みやすくなります。

この段階で、権限の承認者、停止担当者、障害時の責任者も決めます。

3．候補ベンダーに同じ確認表を渡す

前述の確認表を各ベンダーへ渡し、対応可否だけでなく、条件・制約・費用を回答してもらいます。

「対応予定」「追加開発で対応可能」「標準機能で対応」などは区別して記録しましょう。必須要件への回答が不明なまま、契約判断を進めないことが大切です。

4．対象者別に接続・権限・停止・復旧を検証する

契約前の検証環境の有無、利用期間、SSO設定を試せる範囲を確認します。検証にはテスト用アカウントとデータを使い、次の結果を記録してください。

障害を想定した検証は、本番環境を不用意に停止させず、ベンダーと方法を調整して行います。

5．限定した対象から展開し、運用を引き継ぐ

検証結果を確認したら、対象部門などを限定して展開します。ログイン方法と問い合わせ先を案内し、利用できない人が残っていないか確認したうえで対象を広げましょう。

本稼働時には、設定情報だけでなく、証明書等の更新予定、停止手順、障害連絡先、担当者不在時の代替担当まで引き継ぎます。導入を完了させる条件に、運用担当者がこれらを確認できることも含めてください。

人事システムのSSO選定でよくある質問

同じID・パスワードを各システムに設定すればSSOになりますか？

なりません。同じ認証情報を個別に登録することと、認証を連携させることは異なります。SSOを利用するには、認証基盤と対象サービスの対応方式・設定を確認する必要があります。Microsoft Learn「シングル サインオンとは」

SSOを導入すれば、入退社時のアカウント管理も自動化できますか？

SSOだけでは決まりません。アカウントの作成・更新・無効化を行う仕組みと、人事システム側の対応を別途確認してください。自動連携する場合も、反映時間とエラー時の対応を決めておく必要があります。Microsoft Learn「自動アプリ ユーザー プロビジョニング」

社用メールアドレスがない従業員もSSOを利用できますか？

利用できるかは、IdPと人事システムの条件によります。IdPアカウントの発行条件、人事システムとの照合に使う情報、追加認証の方法を確認しましょう。共有アカウントで代用せず、利用者ごとに識別できる方法を検討してください。

まとめ｜SSOの要件を整理し、候補ベンダーに接続条件を確認する

人事システムのSSO対応は、対応方式やIdPだけでなく、利用者・端末・権限・停止・復旧・費用を含めて判断します。まず情報システム部門と必須条件を整理し、候補ベンダーから同じ確認表で回答を集めましょう。接続できることに加え、利用を止められること、運用を続けられることまで検証すると、選定判断が具体的になります。

サイレコでは、パスワードポリシー設定や、オプションの接続元IPアドレス制限・二要素認証が案内されています。ただし、これらはSSO対応を示すものではありません。今回確認した公式機能紹介・セキュリティ・料金・FAQでは、SSOの対応方式や対応IdPを確認できませんでした。サイレコのセキュリティ、サイレコの機能紹介

サイレコを選定候補に含める場合は、利用中の認証基盤、対象となる従業員・端末、必要な認証条件を整理し、SSOの対応可否と利用条件をお問い合わせください。

サイレコの認証・利用条件を問い合わせる