# ID 管理サービスで退職者を止めた後も SaaS に残るログイン状態

残ることがあります。止める操作で終わるのは ID 管理サービス自身のログインと次からのログインです。各 SaaS が発行したログイン状態は、その SaaS の期限か SaaS 側での取り消しまで続きます(対応した一部のサービスを除く)。

更新日: 2026-10-14

退職者を ID 管理サービス(Okta、Microsoft Entra ID など)で止めると、その人は次から会社の ID でログインできなくなります。しかし、それまでに開いていた SaaS(Web で使う業務サービス)のログイン状態は、止める操作だけでは終わらないことがあります。仕組みの基本は [IdP(ID 管理サービス)とは](/guides/access-basics/what-is-idp) にまとめています。

## 止める操作で終わるものと終わらないもの

多くのサービスでは、SSO(一度のログインで複数のサービスに入れる仕組み)で入ると、ブラウザーに 2 つのログイン状態ができます。Microsoft の公式資料が Entra ID について書くとおり、1 つは ID 管理サービス自身のもの、もう 1 つはサービスが自分で発行したものです。

ID 管理サービスで人を止めて終わるのは、前者と、これからの新しいログインです。後者はサービスが自分で管理しているので、その期限が来るか、サービスが取り消すまで続きます。同じ資料は、サービスが ID 管理サービスに確認を戻す頻度はサービスの設定しだいで、ログイン状態が有効な間は一度も戻らないこともありうると書いています。

## ID 管理サービス各社の公式資料が書いていること

各社の違いは、サービス側のログイン状態に届く仕組みがあるかと、それが届く範囲です。

### Microsoft Entra ID

公式資料は「Microsoft Entra ID can't directly revoke a session token issued by an application.」と書いています(サービスが発行したログイン状態を、Entra ID は直接取り消せない)。アカウントを無効にして「Revoke sessions」を選んでも、サービス側のログイン状態はその期限まで続きます。無効化がサービスに伝わり、サービスが自分で取り消す設定になっている場合は別です。

例外は継続的アクセス評価(ログインした後も、Entra ID からの知らせを受けて判断し直す仕組み)に対応したサービスです。アカウントの無効化・削除やパスワードの変更を受けて、Exchange Online(メール)、SharePoint Online、Teams は、Microsoft 365 のアプリからのアクセスを数分で止めます。知らせが届くまで最大 15 分かかることがあります。

### Okta

Okta の開発者向け資料は、ID 管理サービスで人を停止・無効化・削除しても、「this doesn't affect a user's existing sessions or tokens within an app」(サービスの中にある既存のログイン状態には影響しない)と書いています。

サービス側まで終わらせる仕組みが Universal Logout です。Okta が対応したサービスにログアウトを求め、サービスが自分のログイン状態を取り消します。公式ヘルプの一覧で完全な対応とされるのは、Box、Google Workspace、Salesforce、Slack(Enterprise の場合)、Zoom などです。Microsoft 365 などは一部の対応にとどまります。いまのログイン状態は、期限が切れるか本人がサインアウトするまで続きます。

### HENNGE One と GMO トラスト・ログイン

国内の 2 社のヘルプは、ログイン先のサービスでログイン状態が続く長さはサービスの仕様しだいだと書いています。HENNGE One のよくある質問は、Microsoft 365 と Google Workspace について「Access Control 側で制御することはできません」と答えています。サービスによっては Access Control の「セッション有効時間」で長さを決められるが、サービス側の期限が優先されるものもある、とも書いています。強制的に切る方法として案内しているのは、Microsoft 365 と Google Workspace の側での操作です。

GMO トラスト・ログインのヘルプは、Microsoft 365 について「トラスト・ログイン側での制御は行えません」とし、これは Microsoft 365 以外のサービスにも当てはまると注記しています。

## パスワードで入るサービスと共有アカウントで残るもの

SSO につながらないサービスでは、パスワードを代わりに入力してログインさせる ID 管理サービスやパスワードマネージャーもあります。ただ、入った先のログイン状態を人を止める操作で終わらせるという記述は、参考資料に挙げた各社の公式資料では確かめられませんでした(会社が管理する Chrome での方法は後で書きます)。

この種のサービスでは、パスワードを知っていることのほうが長く残ります。LastPass と 1Password の公式ヘルプは、辞めた人に共有していたパスワードを変えるよう案内しています。LastPass は、見える形で共有されたパスワードを本人が控えていれば、変えない限り社外からも使えると書いています。複数人で 1 つの ID を使う[共有アカウント](/guides/shared-accounts/what-is-shared-account)は、残る人が使い続けるので止められません。そのため、パスワードを変えるまでは、辞めた人も別のブラウザーから入り直せることがあります。

## 退職の日にやること

[退職時のチェックリスト](/guides/hr-access/onboarding-offboarding-checklist)のうち、ログイン状態に関わる手段を各社の公式資料から並べます。

1. Okta では、止める前に「Clear user sessions」で、ログアウトに対応したアプリも含める指定をします。Universal Logout が起動し、対応したサービスのログイン状態を期限を待たずに終わらせます。サービスごとに事前の設定が要り、Adaptive MFA だけの組織ではこの手動の操作でだけ起動できます。
2. ID 管理サービスでアカウントを止め、ID 管理サービス自身のログイン状態を取り消します。Entra ID なら無効化と「Revoke sessions」、Okta なら無効化です。
3. Microsoft 365 や Google Workspace のように、管理画面に強制ログアウトの操作があるサービスでは、それを使います。Microsoft 365 管理センターの退職者向けの手順は、パスワードの再設定と「Sign out of all sessions」を挙げ、1 時間以内に再ログインを求めるとしています。Google Workspace のヘルプによると、ユーザーを停止した時点でブラウザーに残るログインの印(クッキー)は消えますが、Gmail などのアプリのログインは続きます。
4. [各サービスのアカウントを削除するか止めます](/guides/incidents/saas-account-alive-after-resignation)。Microsoft の資料は、ログイン状態を自分で持つサービスや直接ログインできるサービスでは、サービス側からアカウントを外すことが有効な取り消し方だとしています。
5. 辞めた人が知っていた[パスワードを変えます](/guides/shared-accounts/password-change-on-every-departure)。共有アカウントや、パスワードで入るサービスへの入り直しを防ぐためです。

## 手順を終えても残る穴

1 つ目は、Universal Logout にも継続的アクセス評価にも対応せず、管理画面に強制ログアウトの操作もないサービスです。ログイン状態はサービスの期限まで続きます。ただし、辞めた人が会社の管理する Chrome で使っていたなら、Okta の Identity Threat Protection や Google 管理コンソールから、そのクッキーを消せます。Okta はその製品の契約と設定が要り、会社が管理するプロフィールだけが対象で、Google の操作は Google のサービスのクッキーを除きます。

2 つ目は、誰がパスワードを知っているか分からない共有アカウントです。変えるべきパスワードの一覧がなければ、手順 5 に漏れが出て、漏れたアカウントには辞めた人が入り直せることがあります。


## よくある質問

**ID 管理サービスで無効にすれば SaaS からもログアウトされますか**

されないことがあります。無効化で終わるのは ID 管理サービス自身のログインと新しいログインです。各 SaaS が発行したログイン状態は、その SaaS の期限が来るか、SaaS 側で取り消すまで続きます。

**Okta の Universal Logout ですべて終わりますか**

終わるのは対応したサービスだけです。公式ヘルプでは Box や Zoom などが完全な対応です。Microsoft 365 などは一部の対応で、いまのログイン状態は期限が切れるか本人がサインアウトするまで続きます。

**Microsoft 365 は無効化だけでログアウトされますか**

Exchange Online・SharePoint Online・Teams は、無効化から数分(最大 15 分)で Microsoft 365 のアプリからのアクセスを止めます。管理画面のサインアウトも併用します。

**退職者が使っていた共有アカウントは何をすればよいですか**

パスワードを変えます。共有アカウントは残る人が使い続けるので止められず、パスワードを知っている辞めた人は、変えるまで別のブラウザーから入り直せることがあります。

## 参考資料

- [Microsoft Learn「Revoke user access in Microsoft Entra ID」](https://learn.microsoft.com/en-us/entra/identity/users/users-revoke-access)
- [Microsoft Learn「Continuous access evaluation」(Microsoft Entra ID)](https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-continuous-access-evaluation)
- [Microsoft Learn「Step 1 - Prevent user sign-in and block access to Microsoft 365」](https://learn.microsoft.com/en-us/microsoft-365/admin/add-users/remove-former-employee-step-1)
- [Google Workspace ヘルプ「管理対象の Google アカウントからユーザーをログアウトさせる」](https://knowledge.workspace.google.com/admin/devices/sign-a-user-out-of-a-managed-google-account?hl=ja)
- [Okta Help「Deactivate and delete user accounts」](https://help.okta.com/en-us/content/topics/users-groups-profiles/usgp-deactivate-user-account.htm)
- [Okta Developer「Build Universal Logout for your app」](https://developer.okta.com/docs/guides/oin-universal-logout-overview/)
- [Okta Help「Universal Logout」](https://help.okta.com/oie/en-us/content/topics/itp/universal-logout.htm)
- [Okta Help「Third-party apps that support Universal Logout」](https://help.okta.com/oie/en-us/content/topics/itp/universal-logout-supported-third-party-apps-list.htm)
- [Okta Help「Configure Universal Logout」(Adaptive MFA の組織)](https://help.okta.com/oie/en-us/content/topics/apps/universal-logout-amfa.htm)
- [HENNGE One ヘルプセンター「[Access Control] 運用開始後に特によく寄せられるご質問」](https://support.hdeone.com/hc/ja/articles/47095703387673)
- [HENNGE One ヘルプセンター「[Access Control] 連携サービスへのアクセス時に、認証が要求されないのはなぜですか?」](https://support.hdeone.com/hc/ja/articles/58539080074137)
- [GMO トラスト・ログイン サポート「Microsoft 365サービスのセッションについて」](https://support.trustlogin.com/hc/ja/articles/10313042098457)
- [Okta Help「Clear managed Chrome profile browsing data」](https://help.okta.com/oie/en-us/content/topics/itp/clear-managed-chrome-data.htm)
- [Okta Help「Create SWA app integrations」](https://help.okta.com/oie/en-us/content/topics/apps/apps_app_integration_wizard_swa.htm)
- [Microsoft Learn「Add password-based single sign-on to an application」(Microsoft Entra ID)](https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/configure-password-single-sign-on-non-gallery-applications)
- [Chrome Enterprise and Education ヘルプ「Use remote commands for Chrome browser」](https://support.google.com/chrome/a/answer/10254282?hl=en)
- [HENNGE One ヘルプセンター「[Password Manager] ユーザーの削除」](https://support.hdeone.com/hc/ja/articles/60592473550233)
- [GMO トラスト・ログイン「シングルサインオン(SSO)とは」(フォームベース認証)](https://trustlogin.com/sso/)
- [LastPass Support「About terminating user accounts」](https://support.lastpass.com/s/document-item?language=en_US&bundleId=lastpass&topicId=LastPass/uac_concept_terminate_users.html&_LANG=enus)
- [1Password Support「Offboard a team member」](https://support.1password.com/offboarding/)

## Junify の場合

**人手で続けると** SSO や多要素認証を入れても、対応していないサービスと共有のまま残るアカウントは手作業に残り、どこまでを仕組みで覆えているかを自分で把握し続けることになります。

**Junify なら** 退職の日にサービスごとに強制ログアウトさせる作業は、Junify から開くなら要りません。Junify はパスワードを担当者に見せずに代わりに入力し、サービスを Chrome のシークレットウィンドウで開きます。管理者が遠隔で Junify のログインを終わらせれば、ウィンドウが閉じてログイン状態も消えます。導入時にパスワードを変えて Junify だけが持ち、割り当てを外した人は開けません。

Junify は、パスワードを渡さずに社内外の担当者へ仕事を任せるためのアクセス管理サービスです。担当者はスマホで本人認証し、カードをクリックするだけで必要なアカウントにログインできます。パスワードは開示されず、誰がいつどのアカウントを使ったかは個人単位で記録されます。

- [登録不要の体験デモを見る](https://www.junify.jp/bpo/try?scenario=shared-accounts&from=guide&cluster=access-basics&slug=saas-sessions-after-offboarding)
- [30 分デモを予約する](https://www.junify.jp/bpo/demo)

## 同じテーマの記事

- [私物端末に残る業務の情報と、残さずにウェブサービスを使わせる方法](/guides/access-basics/byod-leave-no-business-data): 主に残るのは閲覧履歴、クッキー、保存したパスワード、パスワードマネージャーの写し、ダウンロードしたファイルです。閉じると履歴を消すウィンドウでもファイルは残ります。会社が配るブラウザーの設定と、パスワードを本人に渡さない形を組み合わせます。
- [業務の画面操作を記録する仕組みは、何を基準に選ぶか](/guides/access-basics/choosing-session-recording): 先に、記録を何に使うか(顧客への報告、事故の調べ、監査)を決めます。そのうえで、記録する範囲、映像か操作の文字か、保存期間と見られる人、本人への知らせ方、容量と費用を、その使い道に合わせて確かめます。
- [Microsoft Entra ID と Junify の違い、パスワードベース SSO で共有アカウントを使わせるときの使い分け](/guides/access-basics/entra-id-and-junify): 共有アカウントを使う人が全員 Entra ID のアカウント(社外の人はゲスト)を持ち、ログイン後の管理が要らないなら Entra ID のパスワードベース SSO で足ります。そうでない分は Junify が補います。