2026.10.21 セキュリティ

ID管理システム比較：4タイプの違いと人事連携・棚卸しで選ぶ機能要件

ID管理システムは、入社・異動・退職に合わせて各システムのアカウントを作り、権限を変え、止める仕組みです。比較表には製品名と月額が並びますが、選定で差が出るのは人事データをどこから取り込み、連携先にどの受け口でアカウントを届けるかという点にあります。この記事では、ID管理システムをIDaaS付帯型・国産ID管理パッケージ・IGA製品・人事システム付帯型の4タイプに分けて比較し、SSO製品との境目、プロビジョニングと棚卸しの機能要件、自社開発システムをつなぐときの改修範囲、導入を見送る場面までを整理します。おすすめやランキングを見る前に、自社の条件で候補を絞るための材料として使ってください。

まとめ：ID管理システムの比較は製品名より先に人事データの起点と連携先の受け口で決める

ID管理システムの比較は、次の順で絞り込むと迷いません。最初に、人事データの起点がクラウド人事か、オンプレミスの人事システムか、CSVの手作業かを確かめます。次に、アカウントを届けたい連携先を並べ、それぞれがSCIM・LDAP・SQL・CSVのどれで受けられるかを調べます。製品のタイプを自然に絞り込む判断材料は、この2つです。

Microsoft 365やGoogle Workspaceが中心で、連携先の多くがSCIM対応のSaaSなら、IDaaSに付いているプロビジョニングで足ります。兼務・出向・発令日付きの異動を正確に反映したい、または古い業務システムが多い組織は、国産ID管理パッケージか人事システム付帯型が候補です。監査対応として定期的なアクセス棚卸しと承認記録を求められる大企業はIGA製品まで検討します。従業員100人未満でSaaSが10個以下なら、専用のID管理システムは入れず、IDaaSの標準機能と手順書で運用するほうが安く済みます。

ID管理システムが担う範囲とSSO製品・IDaaSとの境目を機能要件で整理する

「ID管理」という言葉は、ログインの仕組みとアカウントの管理を一緒に指すことが多く、比較記事でもSSO製品とID管理システムが同じ表に並びます。認証と認可、IDライフサイクルの全体像は認証・ID管理とは？MFA・SSO・OIDC・IDaaSの違いと選定を解説で扱っているので、ここでは比較に必要な機能要件だけを3つに分けます。

入社・異動・退職でアカウントを作り変えるプロビジョニングの役割

ID管理システムの中心はプロビジョニングです。人事データの変化を読み取り、連携先のシステムにアカウントを作成・更新・無効化します。Microsoftの人事主導のプロビジョニングの解説では、人事システムをデジタルIDの起点（Start of Authority）と位置づけ、新規採用・属性の更新・退職・再雇用の4場面を自動化の対象に挙げています。

手作業との違いは、退職日にアカウントが止まるかどうかに表れます。情報システム部門が退職者リストを月1回受け取って手で消す運用では、最長で1か月近く有効なアカウントが残ります。プロビジョニングはこの空白期間を縮めるための機能です。

SSOはログインを1回にする仕組みでアカウントの作成と削除は別の機能

SSOが解決するのは「何度もログインしなくてよい」という利用者側の負担です。連携先にアカウントが存在しなければSSOしてもログインできませんし、退職者のアカウントが連携先に残っていれば、SSOを止めても別経路のパスワードログインが通る場合があります。アカウントの作成と削除はSSOとは別の機能として選定する必要があります。

Microsoftの自動アプリプロビジョニングの解説も、SSOにはSAMLやOIDCを使い、アクセスのためにはユーザーをアプリにプロビジョニングする必要もある、と2つを分けて書いています。SSO製品を料金や対応プロトコルで比べる観点はシングルサインオン比較：SSO製品・IDaaSの選び方と料金にまとめました。本記事はアカウントの配布と回収の側に絞ります。

定期的な棚卸しとアクセスレビューで権限の残り過ぎを見つける仕組み

3つ目の要件は棚卸しです。プロビジョニングが正しく動いていても、異動前の権限が追加で付いたまま残る、プロジェクト用に招いた外部ユーザーが消えない、といったずれは起きます。これを定期的に洗い出し、上長や資産の所有者に「この権限はまだ必要か」を確認させる機能がアクセスレビュー（アクセス認定）です。

Microsoft Entraのアクセスレビューは、グループのメンバー・エンタープライズアプリへの割り当て・ロールを対象に、週次から年次までの周期でレビューを繰り返せます。ただし利用にはMicrosoft Entra ID GovernanceかMicrosoft Entra Suiteのサブスクリプションが必要で、一部の機能だけがEntra ID P2で動く、と公式に書かれています（2026年10月時点）。棚卸しを要件に入れると、同じIDaaSでも上位ライセンスが前提になる点は比較時に見落とされがちです。

ID管理システムを4タイプで比較：IDaaS付帯型・国産パッケージ・IGA製品・人事付帯型

ID管理システムやID管理ツールとして紹介される製品は、出自で4タイプに分かれます。おすすめ製品の名前から入るより、タイプを先に決めるほうが比較の軸がぶれません。

4タイプの得意領域・連携方式・向く組織規模による選定の比較一覧表

4タイプの違いを、比較で効く項目に絞って並べます。製品例は代表的なものに限り、機能の有無は製品ごとに公式資料で確かめてください。

比較項目	IDaaS付帯型	国産ID管理パッケージ	IGA製品	人事システム付帯型
製品例	Entra ID・Okta	Keyspider など	SailPoint・Saviynt	人事システムの追加機能
得意な領域	SaaSへの自動配布	国内の人事・業務システム	棚卸し・職務分掌	発令情報の反映
主な連携方式	SCIM中心	CSV・DB・API	多種のコネクタ	自社人事DBが起点
兼務・出向の扱い	属性設計で工夫が要る	標準で持つ製品が多い	ロール設計で表現	人事データのまま反映
向く規模	数十人〜	数百人〜	数千人〜	同じ人事製品の利用企業

表の「向く規模」は目安で、上限ではありません。判断を分けるのは人数より連携先の性質です。SaaS中心ならIDaaS付帯型、国内パッケージや自社開発の業務システムが多ければ国産パッケージ、監査人に棚卸し記録を出す必要があればIGA製品、という対応で考えると候補がすぐ2つ程度に絞れます。

IDaaS付帯のプロビジョニングで足りる組織と足りなくなる条件

IDaaS付帯型が強いのはSaaSへの配布です。Microsoft Entra IDは、SCIM 2.0の受け口を持つアプリへの汎用接続に加え、SaaSごとの事前統合コネクタを用意しています。オンプレミス向けにもLDAP・SQL・REST・SOAP・フラットファイル（PowerShell）・カスタムECMAのコネクタが公式のコネクタ表に並んでおり、Entra IDだけで社内システムまで届けられる範囲は以前より広がっています。

足りなくなるのは、人事データ側が複雑な場合です。たとえば「4月1日付で営業部から企画部へ異動、営業部の兼務は6月末まで継続」という発令を、日付どおりに権限へ反映する処理は、IDaaSの属性マッピングだけで組むと式が膨らみます。グループの入れ子にも注意が要ります。Microsoftのプロビジョニングのしくみによると、プロビジョニングは入れ子になったグループのメンバーを読み取れず、明示的に割り当てたグループの直接のメンバーだけが対象です。部署の階層をグループの入れ子で表している組織は、そのままでは配布されない利用者が出ます。IDaaS自体の機能範囲はIDaaSとは？SSO・IdPとの違いとSAML・OIDC・SCIM連携で詳しく扱っています。

国産ID管理パッケージとIGA製品が兼務・出向や承認ワークフローで差を出す理由

国産ID管理パッケージは、日本の人事制度に合わせたデータの持ち方を最初から備えている点で選ばれます。主所属と兼務所属を分けて持つ、発令日で予約反映する、出向者を出向先の所属で扱う、といった処理を設定で済ませられる製品が多く、連携先も国内の会計・勤怠パッケージやCSVしか受けない業務システムを想定しています。代表例の連携方式と料金の単位はKeyspiderとは：国産ID管理の連携方式と自社システムをつなぐ実装手順で分解しました。

IGA製品は、配布よりも統制に重心があります。誰がどの権限を持つべきかをロールとして定義し、申請・承認・定期的な認定・職務分掌の違反検知までを記録として残します。上場企業の内部統制監査やISMSの審査で、権限付与の承認証跡を求められる組織が対象です。IGA製品の構成と評価区分はSaviyntとは？IGA/PAMの機能とSaviynt Japanの現状が参考になります。従業員数百人の企業がIGA製品を入れると、ロール定義の設計だけで数か月かかり、運用が回る前に担当者が疲弊する例が少なくありません。

比較表に出ない選定軸：連携先の受け口・照合キー・無効化と削除の扱い

ここからは、製品比較表やランキングにはまず載らないものの、導入後の手戻りを左右する3つの確認項目です。製品のデモを見る前に、自社側の答えを用意しておくと比較が速く進みます。

SCIM・LDAP・SQL・CSVのどれで連携先にアカウントを届けるかの確認

連携先のシステムごとに、外からアカウントを作れる受け口があるかを調べます。標準はSCIMで、RFC 7644（2015年9月）がユーザーとグループの作成・取得・置換・部分更新・削除をHTTPのPOST・GET・PUT・PATCH・DELETEに割り当てています。退職時の無効化を表現する方法は、次のようなPATCHリクエスト1本です。

PATCH /scim/v2/Users/2819c223-7f76-453a-919d-413861904646 HTTP/1.1
Host: app.example.com
Authorization: Bearer <token>
Content-Type: application/scim+json

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
  "Operations": [
    { "op": "replace", "path": "active", "value": false }
  ]
}

連携先がこの受け口を持っていれば、どのタイプのID管理システムでもつながります。持っていない場合は、LDAPディレクトリ・データベースへの直接書き込み・CSVの取り込み・画面操作の自動化のいずれかになり、選べる製品が絞られます。連携先一覧を作り、各行に「SCIM／API／DB／CSV／手作業」のどれかを書き込むことが、比較の最初の作業です。SCIMの仕組みはSCIMとは？ID自動プロビジョニングの仕組み、LDAP連携はLDAPとは？仕組み・Active Directoryとの違いで扱っています。

社員番号とメールアドレスのどちらを照合キーにするかで起きる重複アカウント

ID管理システムは、人事データの1人と連携先のアカウントを照合キーで結び付けます。Microsoftのプロビジョニングのしくみでは、照合属性で一致するユーザーが見つからなければ新規作成し、見つかれば更新すると説明しています。つまり照合キーの誤りは、既存のアカウントの横に同じ人の新しいアカウントが作られる原因です。

メールアドレスを照合キーにすると、結婚による改姓やドメイン変更のたびに別人と判定されます。社員番号は変わりにくい一方で、業務システム側に社員番号の項目がないことがあります。導入前に、主要な連携先で社員番号を持っているか、持っていないなら項目を追加できるかを確かめてください。既存アカウントの照合（いわゆる名寄せ）は導入作業の中で最も時間がかかる工程になりがちです。

退職者アカウントを無効化で止めるか削除まで進めるかと反映までの時間差

退職時の扱いは「無効化」と「削除」で分けて設計します。Microsoft Entraのプロビジョニングは、対象から外れたユーザーを既定で無効化し、Entra IDで論理削除されたユーザーは30日後に物理削除される、と公式ドキュメントに記載されています。業務データの所有者がアカウントに紐付く連携先では、即削除すると退職者が作った書類や履歴の持ち主が消えるため、無効化で止めて一定期間後に削除する二段構えが安全です。

反映の時間差も確認項目です。プロビジョニングは一定間隔の同期で動く製品が多く、退職を人事システムに登録してから連携先で止まるまでに数十分から翌日までの幅があります。懲戒解雇のように即時停止が要る場面では、同期を待たずに手動で止める手順を別に用意することが必要です。同期エラーが続くと処理が「検疫」状態に移り、4週間を超えるとジョブが無効になる、という仕様もMicrosoftは明記しています。エラー通知を誰が受けるかまで決めておかないと、気付かないうちに配布が止まります。

自社開発の業務システムをID管理システムにつなぐときの改修範囲

パッケージやSaaSはベンダーが受け口を用意していますが、自社で開発した業務システムは自分たちで受け口を作る必要があります。比較表の「連携先数」にはここが含まれていないため、導入計画で抜け落ちやすい部分です。

SCIMエンドポイントを業務システムに実装する場合に要るAPIと検証項目

自社システムにSCIMの受け口を作れば、IDaaS付帯型・国産パッケージ・IGA製品のどれを選んでも同じ受け口でつながり、将来の製品乗り換えにも耐えます。最低限必要なのは、ユーザーの作成（POST）、照合のための検索（GET、filter=userName eq "..."形式）、属性の更新と無効化（PATCH）、削除（DELETE）の4つです。グループで権限を配る設計なら、グループ側のエンドポイントも加わります。

検証では、同じユーザーへの作成要求が2回届いたときに重複を作らないこと、無効化したユーザーがセッションを持ったままにならないこと、権限の付け外しがアプリ内のロールに正しく対応することの3点を確かめます。ロールの持ち方を見直す場合はRBACとは？ロールベースアクセス制御の仕組みも参照してください。業務システム側の受け口づくりから認証基盤との接続までをまとめて依頼したい場合は、一創の認証基盤・ID管理システム開発で、既存システムの改修範囲の洗い出しから対応しています。

古い業務システムはCSV連携やDB直結で受けるときの監査上の注意点

改修予算が取れない古い業務システムは、CSVの取り込みやデータベースへの直接書き込みでつなぐことになります。Microsoftも人事主導のプロビジョニングの解説で、フラットファイルやCSV、SQLのステージングテーブルが企業の統合で広く使われていると書いており、現実的な選択肢です。

注意点は監査の記録です。DB直結はアプリの画面を通らないため、アプリ側の操作ログに誰がアカウントを変えたかが残りません。ID管理システム側のログで変更内容を追えるか、CSVの取り込み結果を保存できるかを確認し、ISMSの審査で求められるアクセス権の付与・変更・削除の記録として説明できる形にしておきます。

ID管理システムを導入しない方がよい場面と比較選定でよくある失敗パターン

ID管理システムは入れれば効く製品ではありません。導入の前提が整っていない組織では、費用だけがかかって手作業が残ります。見送る判断と、比較の段階で起きやすい失敗をまとめます。

従業員100人未満でSaaSが10個以下ならIDaaSの標準機能で止める判断

従業員100人未満、利用SaaSが10個以下、自社開発システムなし、という条件がそろう組織では、専用のID管理システムは導入しません。入退社が月に数人なら、Microsoft 365やGoogle Workspaceの管理画面と、主要SaaSへのSCIM連携、退職時のチェックリストで十分に回ります。年間のライセンス費と設定・保守の工数が、手作業の削減分を上回るためです。

この規模で優先すべきなのは、製品よりも退職時の手順書と、利用中のSaaSと管理者の一覧を作ることです。一覧があれば、組織が大きくなって製品を入れるときにも、そのまま連携先リストとして使えます。

人事データの所属コードが整っていないまま製品比較に入る失敗パターン

よくある失敗は、人事データの品質を確かめずに製品を選ぶことです。所属コードが年度ごとに付け替えられている、退職日が入力されるのが給与締め後、派遣社員や業務委託が人事システムに入っていない、といった状態では、どの製品を入れても正しく配布されません。ID管理システムは人事データを写す仕組みなので、元のデータの誤りもそのまま全システムに広がります。

比較に入る前に、人事部門と一緒に「ID管理システムに渡す項目」と「入力のタイミング」を決めてください。外部人材を人事システムに入れない方針なら、別の台帳を起点にする設計が必要で、対応できる製品の範囲も変わります。

製品比較表の連携先数だけで選び自社システムが手作業で残る失敗

もう1つの失敗は、「対応アプリ数」の多さで選び、導入後に自社開発の業務システムだけが手作業で残るケースです。比較表に並ぶ連携先はSaaSが中心で、社内で作った受発注システムや顧客管理システムは当然載っていません。結果として、最も権限の重い業務システムのアカウント管理が導入前と変わらない、という状態になります。

連携先一覧の中で、自社システムの比率が高い組織ほど、製品の差より受け口の実装方針が結果を決めます。製品の選定と並行して、自社システムにSCIMの受け口を作るのか、CSVで受けるのかを決めておくと、導入後の手戻りを避けられます。

よくある質問

ID管理システムの比較や選び方について、検索でよく調べられている質問にお答えします。

ID管理システムとIDaaSは何が違いますか？

IDaaSはクラウドで提供される認証基盤で、SSOや多要素認証が中心にあり、多くの製品がSaaSへのプロビジョニングも備えています。ID管理システムは、人事データを起点にアカウントの作成・変更・無効化と棚卸しを行う仕組みの総称です。IDaaSのプロビジョニング機能がID管理システムの役割を兼ねる場合もありますが、兼務の反映や古い業務システムへの連携、承認記録まで求めると、専用のID管理システムやIGA製品を別に組み合わせることになります。

無料で使えるID管理システムはありますか？

ライセンス費が無料のものとしては、オープンソースのIGAツールであるmidPointや、認証基盤のKeycloakがあります。ただし構築・運用・バージョンアップは自社で担うため、サーバー費と担当者の工数は別途必要です。midPointの機能と構成はmidPointとは？オープンソースのIGAツールを実装視点で解説で扱っています。商用製品の無料プランや試用期間は、人数や機能に上限があるため、本番で使う規模で条件を確かめてください。

ID管理システムのランキングやおすすめ上位から選んでも問題ありませんか？

ランキングやおすすめ記事は、掲載製品の知名度や資料請求数で並んでいることが多く、自社の連携先に対応しているかとは関係がありません。上位の製品から候補を拾うのは構いませんが、決める前に自社の連携先一覧を製品ベンダーに渡し、各システムにどの方式でつながるかを回答してもらってください。評判も、自社と同じ規模・同じ人事システムを使う企業の声でなければ参考になりにくい情報です。

Active Directoryがあれば別のID管理システムは不要ですか？

Active Directoryはアカウントを保管するディレクトリで、人事データを読み取って自動で作成・無効化する機能は標準では持っていません。多くの組織では情報システム部門が手でアカウントを作っており、その作業を自動化するのがID管理システムの役割です。Active Directoryを残したまま、人事システムを起点にActive Directoryへ配布し、そこからMicrosoft Entra IDやSaaSへ同期する構成もよく採られます。

特権IDの管理もID管理システムで対応できますか？

サーバーやデータベースの管理者アカウントのような特権IDは、一般のID管理システムとは別の特権ID管理（PAM）製品で扱うのが一般的です。PAMは特権アカウントの貸し出し、操作の録画、使用後のパスワード自動変更といった機能を持ちます。IGA製品の中にはPAMを同じ基盤で提供するものもあるため、特権IDの統制も監査で求められる組織は、比較の段階でPAMとの連携可否を確認項目に加えてください。