ログイン後も検証する：継続的アクセス評価とIdP運用
一度のログイン成功だけに依存せず、アカウント状態やリスクの変化をセッションへ反映する継続的アクセス評価の考え方と運用ポイントを解説します。
SSOとMFAを導入しても、認証時の判断がセッション終了まで有効とは限りません。ログイン直後に退職処理が行われたり、管理者権限が取り消されたり、アカウント侵害の兆候が見つかったりするためです。IAMで注目される継続的アクセス評価（Continuous Access Evaluation：CAE）は、こうした変化を次回ログインまで待たず、現在のアクセスへ反映する運用アプローチです。
静的なセッションにはどこで隙が生まれるか
従来の構成では、IdPがトークンを発行した後、サービスプロバイダー（SP）は有効期限までそれを信頼します。トークン寿命が長すぎるとリスク変化の反映が遅れ、短すぎると再認証が増えて利便性と可用性が低下します。セッションCookieが盗まれるとMFA済みのアカウントも危険になる理由は、セッショントークン窃取対策で解説しています。
CAEの要点は、有効期限を一律に短縮することではありません。重要なイベントの発生時にアクセスを再評価することです。アカウントの無効化、パスワードやMFAの再設定、高リスクなログインの検知、管理者ロールの変更などが代表的なシグナルです。
SCIMとセッション制御は別の課題
アカウント状態を同期しても既存セッションは残り得る
SCIMは入社・異動・退職に伴うアカウント作成、属性変更、無効化を自動化します。しかし、対象SaaSが無効化イベントを受け取っても、発行済みのセッションやトークンを直ちに失効させなければアクセスが続く場合があります。無効化と削除の違いは、SCIMアカウントの無効化と削除も参照してください。
そのため、アカウントとセッションのライフサイクルを連携させる必要があります。ユーザー無効化時にはアクティブセッションを終了し、権限変更後の重要操作では権限を再確認し、MFA再設定時には既存のリカバリーセッションも点検します。
マルチテナントSaaSの導入チェックリスト
- 顧客ごとに、即時遮断の対象とするリスクイベントを定義します。
- OIDCトークン、SAMLログインセッション、アプリ独自セッションの期限と失効点を分けます。
- SCIMによる無効化が対象テナントのセッションだけを終了するかテストします。
- 管理ロールの変更やMFA再設定では、再認証またはステップアップ認証を求めます。
- イベント受信、ポリシー判断、セッション終了結果を同じユーザー・テナント軸で記録します。
- イベント連携に失敗した場合、短いセッションや状態の再照会など安全な代替策が動くか確認します。
遮断だけでなく追跡も重要です。インシデント時に再構成すべきログ項目は、SSOインシデント対応と監査ログで確認できます。
AxiPassで認証とアカウントライフサイクルを一元化
AxiPassはマルチテナントSaaS環境で、OIDC・SAML SSO、SCIMプロビジョニング、MFAを顧客ごとに管理し、標準SSOがないアプリはSWAで接続できるよう支援します。まず認証、アカウント状態、セッションログを一つの運用フローに整理すれば、将来リアルタイムのリスクシグナルを連携する際にも統制点を明確にできます。「ログイン成功」をセキュリティの終点ではなく、継続的に検証するアクセスの始点として設計しましょう。