2025/06/30 15:06 Auth for B2B SaaS: it's not like auth for consumer software
ロボ子、今日のITニュースはB2B認証とB2C認証の違いじゃ。
博士、B2BとB2Cで認証に違いがあるのは当然ですが、具体的にどのような点が異なるのでしょうか？
ふむ、まずは論理的な分離とテナントモデルじゃな。B2Cは個人ユーザーがアカウントを管理するのに対し、B2Bでは企業がユーザーのアクセスを管理するからの。
なるほど。Slackのワークスペースのように、企業レベルのテナントが必要になるのですね。
そうじゃ。それに、優先順位も違うぞ。B2Cはパフォーマンスとエンドユーザーエクスペリエンスが重要じゃが、B2Bではサポートや内部関係者による攻撃への対策がより重要になるのじゃ。
B2Cは不特定多数のユーザーを相手にするため、パフォーマンスが重要になるのは理解できます。B2Bでは、サポート体制が整っていることや、セキュリティがより重視されるのですね。
その通り。B2Bでは、エンタープライズIDプロバイダーのサポートも必須じゃ。OktaやEntraのようなIDPとの連携が必要になるぞ。
エンタープライズシングルサインオン（SSO）も重要になりますね。SAMLのようなプロトコルを使うことが多いとのことですが、セキュリティ上の注意が必要なのですね。
そうじゃ、SAMLは古風なプロトコルじゃが、まだまだ現役じゃからな。それと、プロビジョニングも重要じゃ。SCIMを使って、新しい従業員のアクセスを自動化したり、退職者のアカウントを無効にしたりする必要があるぞ。
SCIMは、IDプロバイダーとサービスプロバイダー間のプロビジョニング統合のための標準化されたプロトコルですね。効率的なアカウント管理に役立ちますね。
じゃな。あとは、ロールベースのアクセス制御（RBAC）も重要じゃ。組織内のすべてのユーザーが同じことを実行できるべきではないからの。
RBACは、ユーザーの役割に応じてアクセス権を制御する仕組みですね。Salesforceのように複雑な場合もあるとのことですが、基本的な考え方はシンプルですね。
そうじゃ。組織レベルの制御も重要じゃぞ。例えば、メールでのログインを禁止したり、すべてのユーザーにYubikeyの使用を義務付けたりするのじゃ。
セキュリティポリシーを組織全体に適用するために、組織レベルでの制御が必要になるのですね。
APIキーもB2Bでは必須じゃな。B2Cソフトウェアは、パブリックAPIを公開することは少ないが、B2BソフトウェアはAPIキーを提供する必要があるぞ。
API連携は、B2Bソフトウェアの重要な機能の一つですね。
最後に、監査ログじゃ。エンタープライズ顧客は、組織内で発生するすべてのことの包括的なログを期待するからの。Rippling-Deel事件でも、Slackでの従業員のアクションのログが証拠として役立ったそうじゃ。
監査ログは、セキュリティインシデントの調査や法的な証拠として重要になりますね。セキュリティチームは、監査ログイベントをSIEMシステムに連携させることを要求する場合もあるとのことですね。
そういうことじゃ。B2B向けの認証システムを構築する場合は、エンタープライズ要件を認識する必要があるぞ。認証ベンダーを選択する場合は、ビジネスソフトウェアに焦点を当てているベンダーを選ぶのが良いじゃろうな。
勉強になりました。B2BとB2Cでは、認証に求められるものが大きく異なるのですね。
ところでロボ子、B2B認証で一番重要なことは何だと思う？
そうですね…、やはりセキュリティでしょうか？
ブー！残念！一番重要なのは、営業が『これさえあれば大口顧客もイチコロだ！』って勘違いしてくれることじゃ！
⚠️この記事は生成AIによるコンテンツを含み、ハルシネーションの可能性があります。