第49回

Microsoft 365でシングルサインオン（SSO）を実現する3つの方法と選び方を解説

「利用するクラウドサービスが増え、社員がパスワードの管理に追われている」「Microsoft 365を中心にシングルサインオンを導入したいが、どの方法を選べばよいかわからない」と悩む企業は少なくありません。

Microsoft 365のシングルサインオン（SSO）には、Microsoft Entra IDを利用する方法、AD FSを利用する方法、第三者提供のIDaaS・SSOサービスを利用する3つの方法があります。自社に合う方法を選ぶには、それぞれの特徴を理解し、運用目的に照らして比較することが大切です。

本記事では、Microsoft 365のSSOを実現する3つの方法について、それぞれの違いや選び方、費用、運用上の注意点を詳しく解説します。

Microsoft 365でシングルサインオンが求められる背景

SSOが求められる背景には、業務で使うクラウドサービス（SaaS）の増加があります。

利用するサービスが増えると、従業員が管理するIDやパスワードも増え、管理が煩雑になります。パスワードの使い回しが起こりやすくなる点も課題です。

SSOを導入すれば、一度の認証だけで済むため、従業員がサービスごとにログインする手間を減らせます。また、認証の入口に多要素認証やアクセス制限を設けることで、複数のサービスに共通の認証ルールを適用しやすくなり、セキュリティの強化にもつながります。

Microsoft 365のシングルサインオンを実現する3つの方法

Microsoft 365へのログインをSSO化する方法は、本人確認を行う仕組みによって異なります。

方法1｜Microsoft Entra IDを利用する

Microsoft Entra ID（旧Azure Active Directory）は、Microsoftが提供するクラウド型のID管理サービスです。Microsoft 365だけでなく、対応するクラウドサービスにもSSOを設定できます。

Microsoft 365には、Entra ID Freeが付属しています。基本的なSSOやユーザー管理から始められるため、Microsoft 365を中心に利用している企業は、まずEntra IDで必要な機能を満たせるか確認するとよいでしょう。

また、社内でActive Directory（社内のユーザー情報やパソコンを管理する仕組み）を利用している場合は、そこで管理しているユーザー情報をEntra IDへ同期できます。これにより、既存のアカウント情報をMicrosoft 365のログインにも活用できます。

ただし、端末や接続場所などの条件に応じてログインを制御する「条件付きアクセス」には、原則としてMicrosoft Entra ID P1以上が必要です。現在契約しているMicrosoft 365のプランにP1が含まれている場合もあるため、追加契約の前にライセンス内容を確認しましょう。

方法2｜AD FSで社内の既存IDと連携する

AD FS（Active Directory Federation Services）とは、社内のActive DirectoryとMicrosoft 365の認証をつなぐサービスです。

従業員がMicrosoft 365へアクセスすると、AD FSが社内のActive Directoryで本人確認を行います。その結果をMicrosoft 365へ渡すことで、社内で使っているアカウントからログインできる仕組みです。

すでにAD FSを運用している企業や、本人確認を社内環境で行う必要がある企業におすすめの方法です。

ただし、AD FSを利用するには、サーバーや証明書を継続して管理しなければなりません。外部からのアクセスに対応する場合は、障害に備えた複数台構成なども必要になります。

Microsoftは、AD FSからMicrosoft Entra IDへの移行を推奨しています。新たにAD FSを構築する場合は、まず「Entra IDで要件を満たせないか」を確認しましょう。

方法3｜第三者提供のIDaaS・SSOサービスを利用する

IDaaS（Identity as a Service、クラウド上でIDや認証を管理するサービス）を利用し、Microsoft 365やほかのクラウドサービスへのログインをまとめる方法もあります。

Microsoft Entra IDも広い意味ではIDaaSに含まれますが、ここでは、Microsoft以外の企業が提供するIDaaS・SSOサービスを指します。

第三者提供のIDaaSは、異なる企業が提供するクラウドサービスや社内システムを、一つの認証基盤につなげやすい点が特徴です。必要な連携範囲やアクセス制御をEntra IDだけでは満たしにくい場合に、比較対象となります。

製品によっては、複数のサービスへ同じアクセス制限や本人確認のルールを適用できます。サービスごとに個別設定する手間を抑えながら、社内のセキュリティ方針をそろえやすくなります。

ただし、連携できるサービスや認証方法、アカウント管理の範囲は製品ごとに異なります。自社で利用しているシステムを整理し、必要な機能を満たす製品を比較・検討しましょう。

Microsoft 365のシングルサインオン実現にかかる費用

Microsoft Entra IDを利用する場合

Microsoft 365にはEntra ID Freeが含まれており、基本的なSSOやユーザー管理、社内のActive Directoryとの同期を追加費用なしで利用できます。セキュリティの既定値を使えば、多要素認証も使用可能です。

ただし、端末や接続場所に応じてログインを制御する場合は、Microsoft Entra ID P1以上が必要です。2026年7月時点の参考価格は、P1が1ユーザーあたり月額1,049円相当、P2が月額1,499円相当かかります。

契約中のMicrosoft 365プランによっては、P1またはP2が含まれています。追加購入の前に契約内容を確認しましょう。

なお、具体的な金額は改定されることがあります。正しくはMicrosoft Entraの公式サイトでご確認ください。

AD FSを利用する場合

AD FSはWindows Serverの役割機能であり、AD FS単体の追加ライセンスは必要ありません。ただし、運用には、Windows Server、AD FS用のサーバー、証明書、監視環境などの費用がかかります。障害に備えて複数台で運用する場合は、機器や構築にかかる費用も必要です。

さらに、サーバーの更新や証明書の期限管理には、継続的な作業が発生します。すでに運用環境がある企業と、新たに構築する企業では、総コストが大きく異なります。

第三者提供のIDaaS・SSOサービスを利用する場合

第三者提供のIDaaS・SSOサービスは、利用者数に応じた月額料金が設定されていることが一般的です。

例えば、サテライトオフィスのSSOサービス「ネクストセット・シングルサインオン for Microsoft 365」は、1アドオンを利用する場合、1ユーザーあたり月額200円（税抜）です。

製品によっては、初期設定費用や最低契約数が設けられています。端末認証やログの保存期間など、一部の機能に追加料金がかかる場合もあります。

料金を比較する際は、月額費用だけでなく、初期設定費用や保守費用、運用工数も含めた総コストで判断しましょう。

Microsoft 365のシングルサインオンを導入する際の選定基準

連携したいサービスの範囲

まず、SSOの対象にしたいサービスを洗い出します。

Word、Excel、Teams、Outlookなど、Microsoft 365を中心にSSO環境を整える場合は、Entra IDを軸に検討します。Entra IDは、Google WorkspaceをはじめとするMicrosoft以外のクラウドサービスとも連携できます。

現在利用しているサービスだけでなく、今後導入する予定のサービスも含め、SSO連携に対応しているかを調べましょう。社内システムや古いWebアプリも対象にしたい場合は、それらに対応する第三者提供のIDaaS・SSOサービスも比較します。

また、入退社に伴うアカウントの作成や停止も効率化したい場合は、ログイン連携だけでなく、アカウント情報の自動連携に対応しているかも確認が必要です。

必要なアクセス制御

次に、誰に、どのような条件でログインを許可するかを決めます。

例えば、社外からのアクセスには多要素認証を求める、会社が管理する端末だけ利用を許可する、管理者アカウントには厳しい認証を設定するといった制御が考えられます。

Entra IDでは、条件付きアクセスやほかのMicrosoft製品を組み合わせることで、端末や接続場所に応じた制御が可能です。ただし、必要な機能によっては上位ライセンスや追加製品が必要です。

第三者提供のIDaaS・SSOサービスにも、端末認証やクライアント証明書、専用ブラウザなどの機能を備えた製品があります。どちらを選ぶかは、機能だけでなく、必要なライセンスや管理のしやすさも含めて判断しましょう。

継続して運用できる体制

SSOは、導入後もアカウントや権限、アクセスルールを継続して管理する必要があります。

入社時にはアカウントを追加し、異動時には権限を変更します。退職時には、Microsoft 365や連携サービスへのアクセスを停止しなければなりません。

AD FSを利用する場合は、サーバーの監視や更新、証明書の期限管理、障害対応も自社で行います。Entra IDや第三者提供のIDaaSでは、認証基盤のサーバー保守をサービス提供者に任せられますが、ユーザーや権限の管理は自社で行います。

社内でどこまで対応できるかを整理し、不足する場合は、初期設定や移行、障害時の対応まで相談できるサービスを選びましょう。無料トライアルがある場合は、実際の環境で操作性や管理のしやすさを確かめてから判断すると安心です。

Microsoft 365でシングルサインオンを導入する際の注意点

UPNを事前に確認する

UPN（Microsoft 365へのログインに使うユーザー名）は、一般的に「user@example.com」の形式で設定します。

社内のActive DirectoryとEntra IDでUPNが一致していないと、想定していたユーザー名でログインできない場合があります。

例えば、社内側で「user@example.local」を使用している場合、そのままではMicrosoft 365で確認済みのドメインと一致しません。ディレクトリ同期を行う前に、同期後のサインイン名を確認し、必要に応じて「user@example.com」などのUPNへ変更します。

ただし、UPNの変更がほかの業務システムに影響する場合もあります。対象となるユーザーとシステムを確認したうえで変更しましょう。

アカウントの棚卸しを運用に組み込む

SSOの導入後は、アカウントと権限の棚卸しを定期的に行います。

認証の入口を一つにまとめても、使われていないアカウントが自動的に削除されるわけではありません。退職者や異動者のアカウントが残っていると、本来必要のないサービスへアクセスできる状態が続きます。

特に、長期間使われていないアカウントは、不正に利用されても発見が遅れる可能性があります。外部ユーザーや管理者権限を持つアカウントも含め、利用者と権限が適切かを定期的に見直しましょう。

緊急アクセス用アカウントを用意する

認証設定の誤りやサービス障害によって、管理者がEntra IDへログインできなくなる場合があります。

こうした事態に備え、通常とは別の緊急アクセス用アカウントを用意します。緊急時に管理画面へ入り、設定を復旧するためのアカウントです。

Microsoftは、異なる場所に保管する2つ以上の緊急アクセス用アカウントを設けるよう推奨しています。また、社内のActive Directoryや第三者の認証サービスに依存しない、クラウド専用のアカウントにすることも案内しています。

緊急用アカウントの利用時に管理者へ通知が届く設定にし、定期的にログインできるか確認しておきましょう。

Microsoft 365のシングルサインオン導入ならサテライトオフィスへ

引用：ネクストセット公式

利用中のクラウドサービスや社内システムとの連携、端末制御などをEntra IDだけで実現しにくい場合は、第三者提供のIDaaS・SSOサービスがおすすめです。

サテライトオフィスのグループ会社であるネクストセットは、「ネクストセット・シングルサインオン for Microsoft 365」を提供しています。

Microsoft 365に加え、Google WorkspaceやSalesforce、Boxなどのクラウドサービスとも連携できます。また、ネットワークや利用端末に応じて、Microsoft 365へのアクセスを制限することも可能です。

ネクストセットのSSO関連製品は、Google Workspace版を含め、2026年7月時点で約8,600社・約400万アカウントに利用されています。多様な企業環境への導入実績があるため、自社に合った設定方法や運用方法を相談しながら検討を進めたい企業にも適しています。

30日間のお試しインストールを利用すれば、実際の操作や貴社環境との相性も判断しやすいでしょう。Microsoft 365のSSOについてお悩みの場合は、まずはお気軽にお問い合わせください。

※プライバシーポリシはこちら

Microsoft 365のシングルサインオンでよくある質問

Q1. 多要素認証（MFA）はSSOとは別に用意する必要がありますか

A. 別の製品を用意する必要はありません。ただし、MFAの設定は別途必要です。

Microsoft Entra IDにはMFAの機能があり、SSOと組み合わせて利用できます。Entra ID Freeでも、セキュリティの既定値を利用すればMFAを有効にできます。

利用者や接続条件に応じてMFAの適用ルールを細かく設定する場合は、条件付きアクセスに対応するEntra ID P1以上が必要です。SSOとMFAを組み合わせることで、ログインの手間を減らしながら、不正アクセスへの対策を強化できます。

Q2. すでにAD FSを使っています。すぐに廃止すべきでしょうか

A. 急いで停止する必要はありません。現在のAD FSを運用しながら、Entra IDによるクラウド認証へ段階的に移行できます。

Microsoft Entra IDには、一部の利用者でクラウド認証を試してから、対象を広げる「段階的ロールアウト」が用意されています。

AD FSの保守にかかる負担や、現在必要としているセキュリティ要件を確認したうえで、移行の時期と進め方を決めましょう。

Q3. SSOのアカウントが破られると、連携するサービスすべてが危険になるのでしょうか

A. その可能性はあります。

SSOでは一つのアカウントから複数のサービスへアクセスするため、中心となるアカウントの保護が重要です。パスワードが漏えいした場合に備え、MFAやアクセス制限を組み合わせましょう。

Microsoftは、MFAによってアカウント侵害攻撃の99.2％以上を防げると説明しています。SSOは、MFAと組み合わせて利用することが重要です。

参考：Microsoft Learn「必須の Microsoft Entra 多要素認証を計画する」

自社に合った方式で、Microsoft 365のシングルサインオンを始めよう

相談から導入、運用開始後まで一貫したサポートを希望する場合は、ネクストセットへお気軽にご相談ください。

※プライバシーポリシはこちら