AV・イベントチームのためのシングルサインオン

AVやイベントのチームには、ほとんどのソフトウェアが想定していない人員構成があります。中心となるコアクルー、大規模な公演ごとに入れ替わるフリーランサー、そして四半期ごとに変わるクライアントのリストです。その全員がツールにサインインする必要があり、そのアカウント一つひとつが、誰かが覚え、リセットし、最終的には失効させなければならないパスワードです。AV・イベントチーム向けのSSOは、この問題を丸ごと引き受けるためにあります。

最後の現場から3公演も経ったフリーランサーを追いかけて、共有パスワードの変更を頼んだ経験があるなら、ぜひこの記事をお読みください。

イベント業界のパスワード問題は、ほとんどの業界より深刻です

ほとんどのSaaSツールは、従業員の顔ぶれが安定していることを前提に作られています。人を雇い、アカウントを発行し、その人が何年も在籍し、退職時にアカウントを削除する、という流れです。イベントやAVのチームはそうはいきません。フェスティバルのシーズンひとつで、1週間だけフリーランスのオペレーターが十数人加わることもあります。全員が公演用のツールにアクセスする必要があり、10月になってもアクセスできる状態であってはなりません。

パスワードベースのアクセスでは、こうした入れ替わりを安全に管理するコストが高くつきます。アカウントはすべて作成しなければならず、離脱者はすべて把握して権限を取り消さなければならず、パスワードリセットの依頼はどれも、イベントの最中に誰も対応する余裕のないサポートチケットになります。これを、現代のイベント運営で実際に使われているツール（スケジュール管理、連絡、ショーコントロール、チケット販売）の数だけ掛け合わせると、管理の手間はクルーの人数よりも速く膨らんでいきます。

SSOで実際に何が変わるのか

シングルサインオンは、認証をアプリから切り離し、IDプロバイダーに移します。Okta、Microsoft Entra ID、Google Workspace、その他のOpenID Connectプロバイダーのいずれでも構いません。ツールごとに別々のパスワードを使う代わりに、チームはメールなどですでに使っているのと同じIDでサインインします。

AVやイベントのチームにとって、これには3つの具体的な効果があります。

• フリーランサーのオンボーディングはIdPのグループ変更1回で完了します。ツールごとに新規アカウントを申請する必要はありません。
• オフボーディングは即時かつ一元的です。IDプロバイダーから削除すれば、接続されているすべてのツールへのアクセスも同じ日のうちに失われます。
• 守るべきパスワードは1つだけで、それはIT部門がすでに適切に保護しているものです。すでに適用している多要素認証ポリシーもそのまま活かせます。

CliqerのSSOの仕組み

CliqerのセルフサービスSSOはOpenID Connectを採用しているため、Okta、Microsoft Entra ID、Google Workspaceを含む、OIDCに準拠したあらゆるプロバイダーで動作します。設定はすべてDashboard → Team → Securityから行え、サポートへの問い合わせは不要です。

1. Team → Security → Single sign-onに移動し、Add providerをクリックします。
2. 表示名、プロバイダーのissuer URL、IdPで作成したアプリケーションのクライアントIDとシークレットを入力します。残りの設定は、Cliqerがプロバイダーのディスカバリーエンドポイントから自動的に取得します。
3. 必要に応じて、サインインを特定のメールドメインに制限し、初回サインイン時に新規アカウントを自動作成するかどうかを選択します。
4. 保存します。プロバイダーが、チームのログインページにサインインボタンとして表示されるようになります。

プロバイダーは複数追加できます。自社のIdPに加えて、特定の案件でクライアントのIdPを使うエージェンシーには便利です。IdPに必要なコールバックURLを含む詳しい設定手順は、SSO FAQをご覧ください。

自らを締め出さずにSSOを必須にする

テスト済みで正常に動作するプロバイダーが1つ以上あれば、Require SSOを有効にできます。これにより、チーム全体でパスワードとパスキーによるサインインがサーバー側で拒否されます。ログインフォームから非表示になるだけではありません。これで、IdPのアクセス権を取り消された後も古いパスワードを使い続けられるという抜け穴がふさがれます。

唯一の意図的な例外はチームオーナーです。オーナーは緊急用（ブレークグラス）アカウントとして常にパスワードによるサインインを保持するため、プロバイダーの設定ミスによって組織全体が自社のツールから締め出されることは決してありません。

SSOとチームロールを組み合わせる

IDはアクセス管理の半分にすぎません。サインインした後に実際に何ができるかを決めるのはチームロールです。他のメンバーの招待、ブランディングの管理、セキュリティ設定やAPIキーの操作などがこれにあたります。SSOと範囲を厳密に絞ったカスタムロールを組み合わせれば、フリーランスのオペレーターに、1つの公演に必要なアクセス権だけをきっちり付与できます。

人事システムやクルー管理システムと直接連動してアカウントの作成と削除を自動化したいチームには、SCIMプロビジョニングがSSO単体よりさらに一歩進んだ選択肢になります。サインインの手順だけでなく、メンバーリストそのものを同期します。どちらかの機能について社内の経営層を説得する材料を集めているなら、AVソフトウェアのIT部門承認を得る方法についての総合ガイドで話の進め方を、プレゼンテーションソフトウェアのセキュリティチェックリストで、通常その一部となる広範なレビューについて解説しています。

SSOとその他の方法の比較

チームでまだ正式なIDプロバイダーを導入していない場合、パスキーは有力な中間ステップです。フィッシングに強くパスワードが不要で、EnterpriseプランやIdPの設定も必要ありません。また、IDはより大きなアクセス管理の一部にすぎません。機密性の高い資料を扱うチームなら機密コンテンツを安全にプレゼンする方法を、ネットワークが厳しく制限されたクライアント先でクルーが作業するなら企業のファイアウォールがプレゼンテーションツールをブロックする理由もあわせてご覧ください。

よくある質問

はじめましょう

入れ替わりの多いクルーのパスワード管理に毎回の公演で時間を取られているなら、SSO、SCIM、カスタムロールをまとめて提供するEnterpriseをご確認いただくか、Team → Securityページでセルフサービスで利用できるすべての機能をまとめたセキュリティの概要をご覧ください。