SSO の要望は Core か Extension か

二社続けて「SSO を入れたい」と言われた。要望のまま受けると IdP ごとの実装が二本になる。まず目的を聞き直したい。

片方は監査で「退職者のアカウントが残らないこと」を指摘されたのが発端だった。欲しいのは SSO そのものではなく、人事の退職処理とアカウント停止がつながっている状態。

だとすると Core は「外部の権威から利用者の有効・無効を受け取る口」で足りる。IdP ごとの差分と、人事システム側の癖が Extension。要望の形ではなく目的の形で共通化すれば、二本にならない。

運用側から一点。Extension に寄せる場合でも、鍵と証明書の更新を誰が持つかは最初に決めてほしい。ここが曖昧なまま期限切れを起こすのが一番多い。

契約の観点でも同じで、Extension は「個社固有の価値」と「個社固有の責任」をセットで書けるかどうかが分かれ目になる。書けないなら Core へ寄せるか、やらない方がいい。