Spring Boot 3.5.4で実現！SSO認証サービス構築の全貌と5つのステップ

a.kurogoシステム開発コメントを残す

IT業界のシステムエンジニアの皆さん、複数のWebアプリケーションを運用する中で、ユーザー認証の管理に頭を悩ませていませんか？
アプリケーションごとにログインが必要になったり、パスワード管理が煩雑になったりすると、ユーザー体験が損なわれるだけでなく、セキュリティリスクも増大します。
そこで注目されるのが「シングルサインオン（SSO）」です。一度の認証で複数のサービスにアクセスできるようになるSSOは、ユーザーの利便性を高め、管理コストを削減する強力なソリューションとなります。
この記事では、最新のJava 17とSpring Boot 3.5.4を使用してSSO認証サービスを構築する具体的な方法を、システムエンジニアの視点から詳しく解説します。あなたのプロジェクトにセキュアで効率的な認証基盤を導入するためのロードマップを示します。

目次

なぜ今、SSO認証サービスが必要なのか？

現代の企業システムは、複数のアプリケーションやサービスが連携して動作することが一般的です。しかし、それぞれのアプリケーションが個別の認証システムを持っていると、以下のような課題が発生します。

  • ユーザーの負担増大: アプリケーションごとにIDとパスワードを記憶し、何度もログインする手間が発生します。
  • パスワード管理の煩雑化: ユーザーは複数のパスワードを管理する必要があり、セキュリティ意識の低いパスワードを設定したり、使い回したりするリスクが高まります。
  • 管理者側の負担増大: ユーザーのパスワードリセット対応や、アカウント管理がアプリケーションごとに発生し、運用コストが増加します。
  • セキュリティリスク: 脆弱なパスワードやパスワードの使い回しは、不正アクセスや情報漏洩のリスクを高めます。

SSO（シングルサインオン）は、これらの課題を解決するための強力なソリューションです。一度の認証で複数のアプリケーションにアクセスできるようになることで、ユーザーの利便性が飛躍的に向上し、管理者の負担も軽減されます。さらに、集中管理された認証により、セキュリティレベルの向上も期待できます。

SSO認証サービス構築の前提知識

本記事で解説するSSO認証サービスの構築には、以下の基本的な知識があると理解が深まります。

  • Webアプリケーションの基礎: HTTPリクエスト/レスポンス、セッション管理、クッキーなどの基本的なWeb技術。
  • JavaとSpring Boot: Java 17およびSpring Bootフレームワークの基本的な知識。Spring Securityの概念を理解していると、認証・認可の実装についてより深く掘り下げられます。
  • データベース: リレーショナルデータベース（H2, MySQLなど）の基本的な操作と概念。
  • RESTful APIの概念: APIの設計原則とJSON形式でのデータ送受信。

今回のSSO認証サービスは、Spring Bootの強力な機能と、セキュアな認証フローを組み合わせることで、堅牢な基盤を構築します。

Java 17 & Spring BootでSSO認証サービスを構築する5つのステップ

それでは、具体的なSSO認証サービスの構築手順を5つのステップに分けて解説します。

ステップ1：プロジェクト概要と開発環境のセットアップ

プロジェクト概要

今回構築するSSO認証サービスは、Spring Boot 3.5.4、Java 17で開発され、同じTomcatインスタンス内の複数のWebアプリケーションに対して一元的な認証を提供します。モーダルベースのログインインターフェースとセキュアなセッション管理が特徴です。

開発コマンドと環境セットアップ

基本的な開発コマンドは以下の通りです。 



# 開発モードで実行（H2インメモリデータベースを使用）

mvn spring-boot:run

# 本番デプロイ用にWARをビルド

mvn clean package

# テストの実行

mvn test
  • Java 17 JDK: 開発環境にJava Development Kit 17がインストールされていることを確認してください。
  • Maven: プロジェクトのビルドにはMavenを使用します。
  • H2 Database Console: 開発中は、http://localhost:8080/h2-console でH2データベースコンソールにアクセスできます（JDBC URL: jdbc:h2:mem:testdb, User: sa, Password: (空欄)）。

ステップ2：コア認証フローと主要コンポーネントの理解

このSSO認証サービスの核心は、以下の認証フローと主要なSpring Securityコンポーネントにあります。

コア認証フロー

  1. 未認証アクセス: ユーザーがSSO対象のアプリケーション（例: /demo-app-a）にアクセスします。
  2. 認証チェック: クライアント側のJavaScriptがSSO認証サービス（/api/auth/check）を呼び出し、認証ステータスを確認します。
  3. モーダルログイン: 未認証の場合、モーダルログインフォームが表示されます。
  4. Spring Securityによる認証: ユーザーがフォームに認証情報を入力し、SSO認証サービス（/api/auth/login）に送信します。Spring Securityがこれを処理します。
  5. 成功ハンドラー: 認証成功後、Spring Securityのカスタム成功ハンドラーが、認証が成功したことを示すパラメータ（?loginSuccess=true）を付けて元のアプリケーションにリダイレクトします。
  6. SSOの利点: 一度認証が完了すれば、その後同じTomcatインスタンス内の他のアプリケーションにアクセスする際に、再認証は不要になります。

主要コンポーネント

  • Security Layer (org.i3rd.config.SecurityConfig):
    • BCryptによるパスワードエンコーディング
    • カスタム成功ハンドラー（アプリを意識したリダイレクト）
    • 1時間のセッションタイムアウトを持つセッション管理
    • CSRF保護（H2コンソールでは無効化）
  • Authentication API (org.i3rd.controller.AuthController):
    • 認証ステータスとユーザー情報を返す/api/auth/check
    • クライアントアプリのセッション検証を行う/api/auth/validate
    • モーダルログインページを提供する/login?app=xxx
    • モーダルログアウト確認を行う/logout?app=xxx

ステップ3：セキュアなデータ管理とデータベース設定

SSO認証サービスでは、ユーザー情報やアプリケーション情報を安全に管理することが不可欠です。

データレイヤー

  • User Entity: ユーザー名、BCryptでハッシュ化されたパスワード、メールアドレス、フルネーム、有効状態などを保持します。
  • Application Entity: アプリケーションキー、名前、URL、シークレット、有効状態などを管理します。
  • DataLoader: 開発時には、起動時にデモユーザーとアプリケーションを初期化するために使用されます。

データベース設定

開発環境ではH2インメモリデータベースを使用しますが、本番環境ではMySQLなどの永続的なデータベースへの切り替えを推奨します。セッション管理もデータベースに保存することで、アプリケーションの再起動やスケールアウト時にもセッションを維持できます。 



# セッションクッキー設定

server.servlet.session.cookie.name=SSO_SESSION
server.servlet.session.cookie.max-age=3600

# データベース（H2 for dev, MySQL for prod）

spring.datasource.url=jdbc:h2:mem:testdb
spring.jpa.hibernate.ddl-auto=create-drop

本番環境では、JDBCセッションストレージを有効にし、セッションクッキーをHTTPSで保護するように設定します。 


spring.datasource.url=jdbc:mysql://localhost:3306/sso_db
spring.session.store-type=jdbc
spring.session.jdbc.initialize-schema=always
server.servlet.session.cookie.secure=true  # For HTTPS

ステップ4：クライアント統合とデモアプリケーションの活用

SSO認証サービスを実際に利用するWebアプリケーションとの連携は、専用のJavaScriptライブラリを通じて行われます。

クライアント統合 (`/static/js/sso-client.js`)

このJavaScriptライブラリは、シームレスなSSO統合を実現するために設計されています。

  • モーダルの適切な管理とアニメーション。
  • postMessage APIを介したクロスウィンドウ通信。
  • closeLoginやloginSuccessなどのメッセージタイプを処理し、認証ステータスをリアルタイムで管理します。

デモアプリケーションの活用

構築したSSO認証サービスをテストするために、デモアプリケーションが提供されています。

  • http://localhost:8080/demo-app-a
  • http://localhost:8080/demo-app-b

これらのデモアプリにアクセスすることで、SSO認証サービスが正しく機能しているかを確認できます。一度ログインすれば、他のデモアプリへのアクセス時に再認証が不要になることを体験できます。デフォルトの認証情報はadmin/passwordまたはuser1/passwordです。

ステップ5：セキュリティ対策と本番デプロイの注意点

SSO認証サービスはシステムの根幹に関わるため、強固なセキュリティ対策が不可欠です。

実装されているセキュリティのベストプラクティス

  • BCryptパスワードハッシュ: パスワードは平文で保存されず、強力なハッシュアルゴリズムで保護されます。
  • HttpOnlyクッキー: クロスサイトスクリプティング（XSS）攻撃を防ぐために、セッションクッキーはJavaScriptからアクセスできないように設定されます。
  • SameSiteクッキー属性: クロスサイトリクエストフォージェリ（CSRF）攻撃を防ぎます。
  • セッション固定攻撃からの保護: セッションIDの固定化を防ぎ、セッションハイジャックのリスクを低減します。
  • SQLインジェクション保護: JPA/Hibernateを使用することで、SQLインジェクションのリスクを軽減します。

トラブルシューティングと本番デプロイの注意点

  • ポートの競合: アプリケーション起動時にポートが既に使用されている場合は、lsof -ti:8080 | xargs kill -9でプロセスを終了できます。
  • ログインリダイレクトの問題: デバッグロギング（logging.level.org.springframework.security=DEBUG）を有効にして認証フローをトレースできます。
  • 本番環境でのデータベース切り替え: 開発用のH2からMySQLへ確実に切り替え、JDBCセッションストレージを有効にしてください。
  • HTTPSの適用: 本番環境では必ずHTTPSを適用し、セッションクッキーのsecure属性をtrueに設定してください。

まとめ：SSO認証サービスでセキュリティと利便性を両立する

Java 17とSpring Boot 3.5.4で構築されたSSO認証サービスは、複数のWebアプリケーションを運用する企業にとって、ユーザーの利便性とセキュリティを大幅に向上させる強力な基盤となります。

この記事で解説した5つのステップと、SSOのコアとなる認証フロー、主要コンポーネント、そしてセキュリティのベストプラクティスを理解することで、あなたも堅牢で効率的な認証システムを構築できるでしょう。

これにより、ユーザーはより快適にサービスを利用できるようになり、システム管理者は認証に関わる運用コストを削減し、より重要な開発業務に集中できるようになります。

次のステップへ：SSO認証サービスをさらに活用するために

  • 認証連携プロトコルの深化: OAuth 2.0やOpenID Connectなどの業界標準プロトコルについてさらに学習し、より柔軟な認証連携を実現しましょう。
  • 監査ログの強化: 認証関連のイベントを詳細にロギングし、セキュリティ監査やインシデント発生時の原因究明に役立てましょう。
  • クラウド環境へのデプロイ: Kubernetesや各種クラウドサービス（AWS ECS, Google Cloud Runなど）へのデプロイ方法を習得し、スケーラブルな運用を目指しましょう。
  • 多要素認証（MFA）の導入: セキュリティをさらに強化するために、パスワード以外の要素（TOTPアプリ、生体認証など）による多要素認証の導入を検討しましょう。

SSO認証サービスは、単なる認証システムに留まらず、企業のデジタル変革を加速させるための重要なインフラとなります。ぜひ、この知識を活かして、あなたの組織のセキュリティと生産性を向上させてください。

コメントを残す

メールアドレスが公開されることはありません。必須項目には印がついています *