LDAPとSAMLの違いを徹底解説！認証とシングルサインオンの違いを中学生にもわかる言葉で

---

LDAPとSAMLの違いを徹底解説！認証とシングルサインオンの違いを中学生にもわかる言葉で

LDAP（Lightweight Directory Access Protocol）は主に組織内の名簿のようなデータベースにアクセスするための道具です。
利用者情報を検索したり、グループの所属を判定したりします。日常の現場では、社内のパスワードを一元管理して、各システムがその名簿から本人情報を取り出せる仕組みを作るのに使われます。すなわち「誰が誰か」を教える名簿の入口としての役割が強いのです。SAML（Security Assertion Markup Language）は、別の目的を持つ道具です。ウェブアプリ同士の信頼の交換を実現するための言語で、主にWebベースのアプリでのSSOに使われます。ユーザーが一度ログインすれば、複数のアプリに再度ログインする必要がなくなります。これが現代のクラウドサービスやSaaSの現場で大きな力を発揮します。
つまりLDAPは名簿の管理・検索、SAMLは“信頼の交換”と“一度の認証で複数アプリへアクセス”を実現する仕組みなのです。

違いを理解する3つのポイント

この二つを混同しないためには、3つのポイントを押さえると分かりやすくなります。1つ目は目的の違いです。LDAPは内部の認証情報を保存して問い合わせるためのプロトコルであり、SAMLは複数のウェブアプリ間での認証結果を伝える仕組みです。2つ目は動作の流れです。LDAPはクライアントからディレクトリに対して直接質問して回答を得ます。一方SAMLはユーザーのブラウザを介して、アイデンティティプロバイダ（IdP）とサービスプロバイダ（SP）の間でトークンのやり取りを行います。3つ目は安全性の設計です。LDAPは通信経路をTLS等で保護することが前提ですが、権限管理が重要です。SAMLは署名・暗号化・証明機関の信頼設定が安全性の要で、SSOの実装にはこの点をきちんと管理する必要があります。

• LDAPは内部の名簿管理と検索が中心、認証情報の保管とアクセス権の管理に強い。
• SAMLはWebアプリ間のSSOを実現するためのメカニズムで、トークンの発行・検証が中心になる。
• 現実の運用では、LDAPを使ってID情報を保持し、SAMLの IdPを使ってSSOを行う組み合わせが多い。

able>比較項目LDAPSAML主目的ディレクトリの参照・認証情報管理Webアプリ間のSSOと信頼の伝達動作の中心ディレクトリへの直接問い合わせIdPとSP間のトークン交換認証情報の扱いパスワードなどの認証情報を名簿として保持署名付きのトークンで認証結果を伝達セキュリティの要点TLSと権限管理署名・暗号化・信頼設定ble>

この2つを上手に組み合わせると、社内のセキュリティを高めつつ、利用者の利便性も損ないません。組織の運用としては、LDAPを中心にユーザー情報を整備し、SAMLを使ってクラウドサービスへ一度のログインでアクセスできる環境を作るパターンが多いです。初心者の方には、まずは用語の意味を正しく覚え、次に実際の利用シナリオをイメージしてみると理解が深まります。

ピックアップ解説

友達とカフェでSAMLの話をしていると、SAMLの“信頼の交換”という言葉が妙に腑に落ちました。 IdPが発行する署名入りの認証情報をSPが読み取り検証する流れを想像すると、電子的な会員証を複数のアプリで使い回す感じが伝わります。実装の難しさは署名や証明機関の設定にあるが、日常生活で例えるなら、クラブの入場を一度の承諾で複数イベントに適用する、そんなイメージです。

---