シングルサインオン（SSO）環境の Web アプリケーションを診断することはできますか？

診断可能です。

診断対象となるアプリケーションの仕様に応じて、VAddy の設定を変更します。ここでは認証サーバーとアプリケーションの FQDN が異なることを前提とします。

シングルサインオン環境の認証サーバーに対する検査の要否や所有者確認の可否などにより、VAddy の設定が異なります。VAddy においては、シングルサインオン環境のアプリケーションは以下の 3 つのパターンに分類されます。

※いずれの場合も検査対象アプリケーションのFQDNはVAddyに登録します。

それぞれのパターンについて詳細を説明します。

パターン1：認証サーバーとアプリケーションを検査

認証サーバーとアプリケーション両方の所有者確認が必要です。
所有者確認が完了したあとは通常の手順でクロールしてスキャンを実行します。
以下のドキュメントもご参照ください。

「異なるサーバー（FQDN）で構成されるWebアプリケーションも検査できますか？」
https://support.vaddy.net/hc/ja/articles/4407594788889

パターン2：アプリケーションのみを検査し、認証サーバーは検査しない

この場合は、認証サーバーを VAddy に登録する際に「検査除外FQDN 」として指定します。以下のドキュメントをご参照ください。

「検査除外FQDNについて」
https://support.vaddy.net/hc/ja/articles/360007177174

パターン3：アプリケーションのみを検査し、認証サーバーは検査不可

認証サーバーとしてクラウドサービスなどを利用していて所有者確認が不可能な場合は、サーバー所有者確認スキップ機能を利用します。以下のドキュメントをご参照ください。

「サーバー所有者確認スキップ機能」
https://support.vaddy.net/hc/ja/articles/6247415129881