SSO はアプリを守る。
その外側は誰が守るのか

SSO が届かないロングテール

SSO が機能するのは、アプリケーションが SAML か OIDC を話し、誰かがそれを配線した場合です。その円の外側には、一件あたりの影響範囲が最も大きい認証情報が並んでいます。

• 銀行と決済のポータル。フェデレーションに対応していることはまれで、個人アカウントを禁じている場合も少なくありません。
• ID 基盤より上位のメタアカウント。ドメインレジストラ、DNS ホスト、IdP が動いているクラウドのアカウント。これらを失えば、SSO そのものが攻撃者の道具になります。
• 古いシステムや機器の管理画面。ファイアウォール、プリンター、共有の管理ログインが一つだけあるオンプレミスのツール。
• 緊急時用のアカウント。SSO が止まったときに入れるよう、意図的に SSO から外してあるものです。
• 機械の秘密。API キー、トークン、サービスアカウント。AI エージェントの時代に最も速く増えている集団です。
• どこかのチームが共有のメールアドレスで契約し、情報システム部門に伝えないままになっているものすべて。

これらがチャットのスレッドや表計算ファイル、個人の保管庫に流れ着くのは、まさに正式な仕組みにそれらの居場所がないからです。利用者の落ち度ではなく、対象範囲の穴です。

同じ三つの原則でロングテールを統制する

1. 台帳を一つに。 SSO に乗らない認証情報はすべて、名前のついた持ち主とともに共有の保管庫に置きます。保管庫にないものは公式には存在せず、その監査は誰の仕事でもありません。
2. アクセスは必要に沿い、人とともに去る。 チームごとの保管庫の権限を、SSO と同じディレクトリの ID に結び付けます。そうすれば退職時に両方の世界を一度に遮断できます。
3. 表示のすべてを記録に。 銀行のパスワードを読むには直近の認証を求め、追記のみのログに残す。SSO がアプリにもたらしている規律を、SSO が触れられない認証情報にも適用するということです。

競合ではなく、対になるもの

だからこそ認証情報の保管庫は、SSO の競合ではなくその相棒です。ID 基盤はフェデレーションが成立するところで認証を統制し、保管庫は成立しないところで「持っていること」を統制します。しかも同じ ID に乗るので、入社と退職の手続きは変わらず一つのままです。Keyvaci はその相棒として作られています。Entra ID でのサインイン、Entra ID がフェデレートできないすべてのための保管庫、そして保管庫自身が新たな単一の流出点にならないためのゼロ知識設計です。