IDaaS の比較で差がつくのは、機能欄の丸の数ではありません。認証をどこに寄せるか、そして入退社のときにアカウントを誰が作って消すか。この2点です。どの製品説明にも「シングルサインオン、多要素認証、ID管理」と並ぶので、機能表を横に見比べても決め手は出てきません。この記事では、候補を絞る3つのタイプ、6つの選定基準、公開価格の読み方を順に扱います。
公開価格にも幅があります。Microsoft Entra ID P1 が1ユーザー月額1,049円相当、Okta の Starter が同6ドル、HENNGE One の Identity Edition が同300円。ただし最小契約ID数や年払いの縛りが製品ごとに違うので、単価の一覧だけでは支払額を比べられません。
LOCKED MSO は、社内システムと SaaS への認証を1つにまとめ、多要素認証と端末の状態を踏まえてアクセスを許可する認証基盤です。アカウントの発行と停止を自動化する LOCKED DAS、端末を管理する LOCKED MDM と同じ管理画面から扱えます。
無料で製品資料をお送りしています。IDaaS の比較検討にそのままお使いください。 製品資料をダウンロードする →
IDaaS比較の分かれ目は「認証の置き場所」と「アカウントの作り手」
どの製品もシングルサインオンと多要素認証を持っています。そこでは差がつきません。運用が変わるのは、次の2つをどう設計するかです。
認証を1か所に寄せると、権限の設計と障害の影響範囲が同時に動く
IDaaS を入れる目的は、社員が10個のサービスに10個のパスワードを持つ状態をやめることです。寄せればログイン経路は1本になります。多要素認証は1回設定すれば全サービスに効き、誰がいつどこから入ったかの記録も1か所に集まる。ここまでは素直な改善です。
代わりに、その1本が止まると全サービスに入れなくなります。影響範囲は全社です。稼働率の保証内容と、管理者が緊急時に使える迂回手段の有無は、機能一覧より先に確認してください。
アカウントの作成と削除は、シングルサインオンを入れても自動化されない
ここが見落とされます。シングルサインオンは「既にあるアカウントへのログインをまとめる」仕組みだからです。新入社員ぶんのアカウントを各 SaaS に作る作業も、退職者のアカウントを消す作業も、これだけでは減りません。手作業は残ります。
減らすには、人事情報や台帳の変更を各サービスへ流す仕組みが要ります。標準化された方式がSCIMプロビジョニングで、RFC 7644 と RFC 7643 として2015年に定義されました。この方式で連携できる相手の範囲は、製品ごとに大きく違います。「シングルサインオンは全サービス対応、アカウントの自動作成は主要10サービスのみ」という製品も珍しくありません。対応表は、機能単位ではなくサービス単位で見てください。
IDaaS比較表
主要IDaaS製品の機能比較表。SSO対応アプリ数、MFA方式、ディレクトリ連携、価格体系などを一覧で比較できます。
IDaaSは統合認証基盤型・連携特化型・ID管理特化型に分かれる
国内で提案される製品は、力の入れどころで3つに分かれます。先にこの分類で絞ると、比較表の列が現実的な数に落ち着きます。
統合認証基盤型 は、認証・アカウント管理・アクセス制御・監査記録をひと揃い持ち、社内システムとも繋ぎます。ここに入るのが Microsoft Entra ID や Okta です。既存の Active Directory を含めて作り替える前提の案件で候補になります。
シングルサインオン連携特化型 は、SaaS へのログインをまとめる部分に絞って安く提供します。GMOトラスト・ログインのように、月額300円台から始められる価格帯が中心です。認証の一元化だけが目的なら、ここで足ります。
ID管理・セキュリティ特化型 は、認証の前後、つまりアカウントの棚卸しや端末の状態確認、メールの保護まで含めて売ります。HENNGE One のように、認証に情報漏えい対策を組み合わせた構成がこの型です。
自社がどの型を必要とするかは、現状の困りごとから逆算できます。パスワードの問い合わせが多いなら連携特化型、入退社の処理に時間を取られているならアカウント連携まで含む型、監査で記録の提出を求められているなら統合基盤型です。
IDaaSの機能は認証・アカウント・記録の3層でできている
機能一覧は製品ごとに呼び名が違います。中身は3つの層に収まります。
認証の層は、シングルサインオンと多要素認証、それにパスワードを使わない認証。アカウントの層は、利用者情報の保管と各サービスへの反映、そして退職時の停止です。記録の層に入るのは、ログインの成否、アクセス元、管理者の操作履歴です。
製品説明がいちばん厚く書くのは認証の層です。筆者の見立てでは、製品間の差がいちばん大きいのはアカウントの層で、見落とされやすいのが記録の層です。記録は、監査対応が必要になってから保存期間の短さに気づきます。GMOトラスト・ログインの場合、SSOプロ系のプランはログ保管5年、SaaS管理プランは1年と公開プランに明記されています。
比較で効く6つの選定基準
ここが本題です。3層をそのまま基準にすると粒度が粗いので、見積もりや稟議で実際に差がつく形に割り直しました。
1. 連携できるサービスの総数より、自社が使っているサービスが入っているか
「1,000種類以上に対応」という数字は判断に使えません。知りたいのは、自社で使っている10〜30サービスがその中にあるかどうかだけです。契約中のサービスを一覧にして、各社の連携一覧と突き合わせてください。
厄介なのは社内で作った業務システムと、古いオンプレミスのアプリケーションです。標準の連携方式に乗らないことがあります。その1本のために全体の構成を変える展開になりやすいので、最初の突き合わせに必ず含めてください。
2. 既存のActive DirectoryとMicrosoft Entra IDのどちらを正とするか
社員情報の正本がどこにあるかを決めないまま製品を選ぶと、導入後に二重管理が残ります。オンプレミスの Active Directory を正本として IDaaS へ同期するのか、Microsoft Entra ID を正本に切り替えるのか。ここが決まると、候補製品は自然に絞られます。
全社で Microsoft 365 を使っているなら、Entra ID で足りる範囲を先に確認したほうが早いです。条件付きアクセスには P1 以上のライセンスが必要です。サインインのリスク評価まで求めるなら P2 の範囲になります。
3. 退職者のアカウントを止めるまでにかかる時間
退職日の17時に全サービスのアクセスを止められるか、翌朝の手作業になるか。監査での指摘のされ方はここで変わります。ただし「止める」は1つの動作ではありません。3つに分けて確認してください。
1つめは新しいログインの遮断です。SAML 2.0 や OpenID Connect で認証を任せているサービスなら、IDaaS 側で利用者を無効にした時点で、以後のログインは通らなくなります。アカウント連携に対応していないサービスでも、認証を任せてさえいればここは効きます。
2つめが各サービス側のアカウントそのものの無効化です。こちらはアカウント連携の対応範囲でしか自動で走りません。連携外のサービスでは、アカウントが有効なまま残り、そのサービスに直接パスワードでログインする経路が空いていれば入れてしまいます。ライセンス費用も止まりません。
3つめが発行済みセッションの扱いです。利用者を無効にしても、各サービスが既に発行したセッションは、その有効期限が切れるまで生き残ることがあります。強制的に失効させられるか、失効までどれくらいかかるかは、IDaaS 側とサービス側の双方の設定で決まります。退職処理の手順書は、この3つを分けて書くと抜けが出ません。
4. SAML 2.0とOpenID Connectのどちらで繋ぐか
繋ぐ相手が対応している方式に合わせます。業務系 SaaS は SAML 2.0 が主流です。自社開発のアプリケーションやスマートフォン向けでは OpenID Connect のほうが扱いやすく、両方に対応する製品を選んでおけば、後から増える連携先で詰まりません。
GMOトラスト・ログインでは、OpenID Connect 認証が月額100円のオプションとして用意されています。標準で含むか追加費用にするかは、製品ごとに分かれます。
5. 料金は利用者数の下限と機能階層の2か所で跳ねる
1ユーザーあたりの単価が同じでも、支払額は変わります。効くのは最小契約数と、必要な機能がどの階層に入っているかです。HENNGE One の Identity Edition は最小契約ID数が200、GMOトラスト・ログインの各プランは30。50名の会社が前者を選ぶと、使わない150名ぶんを払います。
6. 監査と調達で出す資料が揃うか
金融や公共の案件は、製品の機能より提出書類で止まります。政府機関の調達では、原則として ISMAP のクラウドサービスリストに載っているサービスから選ぶ運用です。自社が取引先にセキュリティ調査票を出す立場なら、IDaaS 側が第三者監査の報告書を出せるかを先に聞いてください。後から差し替えるのは大変です。
自社の条件でどの型が合うか、無料でご相談を承っています。所要30分の個別相談です。 デモ・個別相談を申し込む →
公開されている料金は、単価より前提条件を読む
各社が公開している最小構成の価格を並べます。2026年9月時点で料金ページに載っている数字だけで、非公開の価格帯や個別見積もりは含みません。
| 製品・プラン | 1ユーザー月額 | 最小契約 | 前提 |
|---|---|---|---|
| Microsoft Entra ID P1 | 1,049円相当 | — | 年払い。条件付きアクセスはP1以上 |
| Microsoft Entra ID P2 | 1,499円相当 | — | サインインのリスク評価を含む |
| Okta Workforce Identity Starter | 6ドル | 年額1,500ドル | 年払いのみ |
| Okta Core Essentials | 14ドル | 年額1,500ドル | 年払いのみ |
| HENNGE One Identity Edition IdP | 300円 | 200ID | IdP Proは500円 |
| HENNGE One Ultra Suite Basic | 800円 | 50ID | Proは1,000円 |
| GMOトラスト・ログイン SSOプロ | 300円 | 30ID | 12か月契約・税抜 |
| GMOトラスト・ログイン SSOプロ＋SaaS管理 | 500円 | 30ID | 12か月契約・税抜 |
この表から読めるのは順位ではありません。前提条件の違いです。Okta には年額1,500ドルの最低契約額があるため、少人数だと1人あたりの実質単価が上がります。Entra ID Free なら Microsoft 365 や Azure の契約に含まれるため追加費用なしで使えますが、条件付きアクセスは対象外です。全員に同じプランを当てる必要はありません。管理者と一般社員で階層を分ける構成も取れます。
比べるなら「自社の人数 × 必要な階層 × 最小契約の切り上げ」で計算し直してください。Okta なら年額の最低契約額に届くか、HENNGE One なら最小契約ID数に何人足りないか。そこが最初に効く変数です。
導入前に潰しておく3つの落とし穴
1つめは単一障害点です。認証が止まれば全業務が止まります。 管理者が別経路で入れる手段を必ず用意してください。Entra ID の緊急用管理者アカウントについては、Microsoft が2つ以上作ること、通常の管理者とは別の認証方式（パスキーなど）を登録すること、サインインを制限する条件付きアクセスの対象から外すこと、資格情報を耐火金庫のような安全な場所に保管することを手順として公開しています。ほかの製品を選ぶ場合も、同じ役割のアカウントをどう作るかは設計段階で決めておく話です。
2つめは、情報システム部門の作業が思ったほど減らないという不満です。原因はほぼ同じです。シングルサインオンだけを入れて、アカウント連携を後回しにするとこうなります。パスワードの問い合わせは減っても、入退社の手作業はそのまま残ります。
残る1つが乗り換えの重さです。IDaaS を替えるときは、全サービスの連携設定を作り直し、全社員に新しいログイン手順を案内することになります。提供する側の体制が変わることもあります。OneLogin は2021年10月に One Identity による買収が完了しました。サービスは買収後も継続していますが、契約更新のたびに提供体制を確認する手間は増えます。
結論：認証と棚卸しをどこまで1つにまとめるか
決めるべきことは2つです。認証を1か所に寄せる範囲と、アカウントの発行・停止をどこまで自動化するか。これが決まれば候補は3タイプのうち1つに絞られ、あとは自社の人数と最小契約数を突き合わせる作業になります。
次に手を付けるなら、製品資料を集める前に現在契約している SaaS の一覧を作ることです。その一覧が、連携範囲の確認にも、退職処理の手順の点検にも、見積もりの人数の根拠にもそのまま使えます。
SaaS 一覧の棚卸しから認証基盤の設計まで、無料でご相談を承っています。 資料請求・デモ依頼はこちら →
参考資料
- Microsoft Entra の価格
- Microsoft Entra 条件付きアクセスのライセンス要件
- 緊急アクセス用管理者アカウントを管理する（Microsoft Learn）
- Okta Pricing
- HENNGE One 料金
- GMOトラスト・ログイン 料金・機能
- RFC 7644 System for Cross-domain Identity Management: Protocol
- ISMAPポータルサイト