リバースプロキシ方式では異なるドメインにSSOできない理由

Question

現在SSO（シングルサインオン）について学習中のものです。

SSOの方式の一つとしてリバースプロキシ方式があるのですが、
各サイトには**”異なるドメインのサービスにはSSOできない”**とありました。

そこで質問なのですが、なぜリバースプロキシ方式では異なるドメインの
サービスにはSSOできないのでしょうか？

Cookieを利用しているためという解説もあったのですが、リバースプロキシ方式では
クライアントとリバースプロキシ間でCookieを利用しているように見えるので、
それだけが理由とは思えませんでした。

Answer 1

異なるドメインのサービスにはSSOできない

あまり一般的に行われる設定ではありませんが、ドメインの組み合わせによってはできなくはありません。

.example.comに対してCookieを適用すれば、foo.example.comとbar.example.comでCookieを共有させられますので、両者のSSOを行うことは可能です。

これに対して、example.comとexample.jpではCookieは全く別個のものとなりますので、「リバースプロキシがCookieを管理する」という方法でのSSOはできません。

Comments

[maisumakun]

> リバースプロキシ方式ではクライアントとリバースプロキシ間でCookieを利用しているように見えるので、それだけが理由とは思えませんでした。

Cookieには「有効なドメイン」という概念があります。物理的には同じリバースプロキシに接続する状況だったとしても、全く異なるドメインのCookieはブラウザで全くの別物として取り扱われます。