企業のシングルサインオン（SSO）を検討すると、必ず登場する2つの規格が SAML 2.0 と OpenID Connect（OIDC） です。どちらも「一度のログインで複数サービスを使える」仕組みを実現しますが、生まれた時代も設計思想も異なります。

ひとことで言うと

  • SAML 2.0（2005年）— XML ベース。歴史が長く、エンタープライズ SaaS との連携で依然として主流。
  • OpenID Connect（2014年）— JSON/JWT ベース。モバイル・SPA・API 時代に最適化された後発標準。

比較表

観点 SAML 2.0 OpenID Connect
データ形式 XML JSON / JWT
トランスポート HTTP-POST / Redirect バインディング HTTPS + REST
トークン SAML Assertion IDトークン（JWT）
モバイル対応 苦手 得意
SPA / API 対応 苦手 得意
主な用途 社内 SaaS への SSO ソーシャルログイン〜SSO 全般
実装難易度 やや高い（XML 署名） 比較的容易

どちらを選ぶべきか

  • 連携先 SaaS が SAML しか対応していない → SAML 一択（現実にはこのケースが多い）
  • 自社で新規にアプリを作る／モバイルや SPA がある → OIDC
  • 両方混在 → IdP（Entra ID・Okta 等）で両対応するのが定石

実際の企業環境では、IdP を中心に SAML と OIDC を併用するのが一般的です。「規格をどちらかに統一する」よりも、「IdP がどちらも喋れる」状態を作るのが現実解です。

まとめ

新規開発なら OIDC、既存 SaaS 連携なら SAML。そしてその両方を束ねるのが IdP（アイデンティティプロバイダー） の役割です。次は企業SSOの基礎を押さえましょう。