2026.10.21 セキュリティ

特権ID管理ツール比較：ゲートウェイ型とクライアント型の違い・料金・選び方

特権ID管理ツールは、製品名より先に「どの方式で接続を押さえるか」で比べると選びやすくなります。この記事では、ゲートウェイ型・クライアント型・ID管理ツール搭載型・クラウド標準機能の4方式の違いを整理し、SecureCube Access Check、ESS AdminONE、iDoperation、CyberArkの公式情報を並べます。あわせて、公開されている価格の実額、管理対象の対応表で見落としやすい行、導入後に迂回経路が残る典型まで、特権ID管理システムを比較するときの判断材料をまとめました。

まとめ：特権ID管理ツールの比較は製品名より先に接続経路と管理対象の対応表で決める

特権ID管理ツールの方式は、中継サーバーを通る接続だけを押さえるゲートウェイ型と、作業端末側で押さえるクライアント型に大きく分かれます。管理者の接続経路を1本に絞れる環境ならゲートウェイ型、絞れない環境ならクライアント型が向きます。

製品を比べる段階では、比較サイトの機能一覧ではなく、各社が公開している管理対象システムの対応表を見てください。RDPしか使えない機器や、ブラウザで操作するネットワーク機器の管理画面は「別途開発」「踏み台が別途必要」と書かれていることがあり、そこが導入費の差になります。

価格はノード数（管理対象の台数）で決まる製品が多く、公開例では最小構成で初期380万円と年額保守70万円、年額87万円のサブスクリプションといった水準です。管理対象がMicrosoft 365・Azure・AWSの管理者ロールだけなら、専用ツールの比較に進む前にクラウドの標準機能で足りるかを確かめます。

特権ID管理ツールの4方式比較＝ゲートウェイ・クライアント型・ID管理搭載型・クラウド標準

ゲートウェイ型＝中継サーバーを通した接続だけを制御し録画する仕組み

ゲートウェイ型は、作業端末と管理対象のサーバーの間に中継サーバーを置き、そこで本人認証・申請の確認・操作の記録を行う方式です。利用者は中継サーバーにログインし、そこから先は製品が特権IDのパスワードを使って代わりにログインします。NRIセキュアのSecureCube Access Checkは、既存環境への影響が少ない方式としてゲートウェイ型を採用しており、パスワードを開示せずに自動ログインさせる機能を持っています。

作業端末にソフトを入れなくてよいので、外部の保守ベンダーが自社の端末から作業する場合でも導入しやすい方式です。弱点は、中継サーバーを通らない接続が見えないことです。サーバーに直接SSHできる経路や、別の踏み台からの多段接続が残っていれば、その操作は記録されません。中継サーバー自体の考え方は踏み台サーバーの仕組みとSSH多段接続で解説しています。

クライアント型（エージェント型）＝作業端末側で制御し直接接続も記録する方式

クライアント型は、管理者が使う作業端末にエージェントと呼ばれる常駐ソフトを入れ、端末側で接続先の制御と操作の記録を行う方式です。比較サイトでは「クライアント・エージェント型」とも書かれます。経路を問わずに記録できるので、直接接続やリモート接続が混ざる環境でも抜けが出にくくなります。

その代わり、作業端末を全台把握してエージェントを入れる運用が前提です。保守ベンダーが自社の端末を持ち込む場合は、その端末にも入れてもらうか、貸出用の端末を用意する必要があります。端末の数と持ち主が把握できない組織では、この前提が崩れます。

ID管理ツール搭載型とクラウド標準機能が担う管理対象の範囲の違い

ID管理ツール搭載型は、統合ID管理やシングルサインオンの製品に特権IDの管理機能が付いたものです。IDの一元管理が主目的で、申請・承認のワークフローや操作録画は専用製品より薄いことが多く、特権IDを使う人が少数に限られる組織向けです。

クラウド標準機能は、Microsoft Entra IDのPrivileged Identity Management（PIM）やAWSの権限管理のように、クラウド事業者が自社サービスの管理者ロール向けに提供する機能です。PIMはMicrosoft Entra ID ガバナンスライセンスの基礎のとおり、Entra ID P2またはEntra ID Governanceのライセンスが要ります（2026年10月時点）。対象はクラウドの管理者ロールで、オンプレミスのサーバーの操作録画は含みません。

方式別の得意な管理対象・導入工数・弱点を選定時に照合する方式比較表

4方式を、管理対象・導入の手間・弱点で並べると次のようになります。

方式	得意な管理対象	導入の手間	弱点
ゲートウェイ型	サーバー・DB・機器	中継サーバーの構築	経路外の接続は見えない
クライアント型	直接接続が混ざる環境	端末全台へ導入	持ち込み端末に弱い
ID管理搭載型	SaaS・社内システム	ID製品の設定のみ	録画・承認が薄い
クラウド標準	クラウドの管理者ロール	ライセンスと設定	オンプレは対象外

実務では1方式で全部を押さえることは少なく、クラウドの管理者ロールは標準機能、オンプレミスはゲートウェイ型という組み合わせが多くなります。比較の前に、自社の管理対象がどの行に入るかを数えておくと、製品の候補が絞れます。

主要な特権ID管理ツールの比較＝国産3製品と海外PAMを公式情報で見る違い

SecureCube Access Check＝ゲートウェイ型でノード数課金の国産製品

SecureCube Access Checkは、NRIセキュアテクノロジーズが提供するゲートウェイ型の製品です。申請・承認、パスワードの一元管理と自動更新、ポリシーによるアクセス制御、暗号化した操作ログの保管、申請情報と操作ログを自動で突き合わせる監査補助を備えています。

製品は標準版のほか、機能を絞ったAccess Check Essential（ACE）と、Cloud Auditor by Access Check（CAC）に分かれています。ACEは管理対象の上限が20・50・200・500台の4区分で、Active Directory連携の有無と組み合わせて8種類のライセンスから選ぶ形です。監査で申請と操作の突き合わせを求められる組織に向きます。

ESS AdminONE＝3つの制御方式を選べてクラウド版も出た国産製品

エンカレッジ・テクノロジのESS AdminONEは、アカウント・パスワード管理方式、ネットワーク制御方式、SAML認証制御方式の3つからアクセス制御の方式を選べる製品です。ゲートウェイ型とクライアント型のどちらか一方に寄せず、管理対象ごとに押さえ方を変えられる点が他社との違いになります。

管理サーバーをクラウドで提供するESS AdminONE Cloudも用意されています。顧客ごとの専用環境で、ゲートウェイ構成と貸出ツール構成のどちらでも使え、ソフトウェア版との機能差はないと案内されています。ただし利用開始まで標準で約2.5か月かかり、契約は最低1年です。クラウド版でも申し込めばすぐ使えるわけではない点は、スケジュールに組み込みます。

iDoperation＝PAM・EPM・操作監視の3製品をそろえるシリーズ構成

NTTテクノクロスのiDoperationシリーズは、特権アクセス管理のPAM、端末の管理者権限を絞るEPM、ユーザー操作を動画で記録するSCの3製品で構成されています。クラウド版とオンプレミス版があり、2026年7月27日にPAM Cloud Version 2607がリリースされました。公式ページには累計導入企業1000社突破の記載があります。

公式ページには、ゲートウェイ型かクライアント型かという方式の記載はありません。比較サイトの分類だけで判断せず、資料請求の段階で構成図を取り寄せ、自社の作業端末と管理対象のどこに何を入れる製品なのかを確認してください。サーバー側の特権IDと、社員の端末の管理者権限を同じシリーズで扱いたい組織に向きます。

CyberArkなど海外PAM製品と2026年の買収による提供体制の変化

海外製のPAM製品では、CyberArkが代表格です。パスワードや鍵を保管する金庫、セッションの分離と録画、作業に必要な時間だけ権限を与えるジャストインタイムの付与までを1つの基盤で扱います。インフラだけでなくSaaSの管理画面へのセッションも分離・記録の対象に含めている点が、国産のゲートウェイ型製品との違いです。

2026年に入って提供体制が変わりました。Palo Alto Networksのプレスリリースによると、同社によるCyberArkの買収は2026年2月11日に完了しています。2026年10月時点で、日本語サイトの特権アクセス管理のページに掲載されている名前は「Idira」です。既存の契約を持つ組織や長期の利用を前提に選ぶ組織は、製品名・サポート窓口・価格体系がどう引き継がれるかを販売代理店に確認してから比較表に載せます。

比較表に出ない選定軸＝管理対象の対応表・操作ログの粒度・申請の連携先

管理対象システムの対応表で「別途開発」「踏み台が別途必要」を探す

比較サイトの機能一覧は「パスワード自動変更：対応」のように丸を並べるだけで、どの機器で使えるかまでは書いていません。差が出るのは、各社が公開している管理対象システムの対応表です。

たとえばESS AdminONEの管理対象システムの表では、RDP接続しかできないシステムのパスワード強制変更は「別途開発が必要」とされています。データベースの多くは踏み台サーバーを専用ゲートウェイ経由で使う構成で対応し、SSH接続できるネットワーク機器は標準で対応する一方、ブラウザで操作する場合は踏み台を別途用意する必要があると注記されています。こうした行は見積もりの追加費用に直結するため、自社の機器一覧との1行ずつの照合が必要です。

操作ログは動画かコマンド文字列か＝監査で検索できる形式かの確認

操作記録には、画面を動画で残す方式と、入力したコマンドを文字列で残す方式があります。動画はWindowsの画面操作まで残せる反面、「誰がこのテーブルを削除したか」を後から探すときは再生して目で追うしかありません。

監査で求められるのは、特定の操作を短時間で見つけて提示できることです。製品のデモでは、文字列での検索、申請番号と操作ログのひも付け、ログの改ざん防止と保管期間の設定を必ず確認してください。SecureCube Access Checkのように申請と操作ログを自動で突き合わせる機能があると、監査前の集計作業が減ります。

申請・承認をツール内で完結させるか既存のワークフロー基盤に寄せるか

特権IDの貸出申請は、社内の別の申請と同じ窓口に置けるかどうかで定着率が変わります。ツール内の申請画面だけを使う構成は導入が早い一方、作業者が普段使わない画面になりやすく、チャットでの依頼が裏で続く原因になります。

ServiceNowなどのITサービス管理の基盤を既に使っている組織は、そこから貸出申請を出せるかを比較項目に入れます。ESS AdminONEはAPIによる他システム連携を特長に挙げており、こうしたAPIや連携アプリの有無が、申請窓口を一本化できるかの分かれ目です。

特権ID管理ツールの料金体系＝ノード課金・年額サブスクリプション・保守費の見方

公開価格で見る最小構成＝初期380万円と年額保守、年額87万円の差

特権ID管理システムは価格非公開の製品が多いなか、NRIセキュアは料金ページで最小構成の例を出しています。2026年10月時点の定価（税別）を並べると次のとおりです。

製品	最小構成	費用の形	金額（定価・税別）
Access Check 標準版	10台以下・構築支援込み	初期＋年額保守	初期380万円・年70万円
Access Check Essential	20台以下	年額サブスク	年87万円

標準版は料金ページで、管理対象のノード数に応じてプランを選び、1,000台以上は個別見積もりとされています。Essentialの料金ページは年額で、納品月の翌月1日から費用が発生します。5年使う前提で単純に足すと、標準版は初期380万円と保守5年分350万円で730万円、Essentialは435万円になり、機能差に対してこの差額を払うかが判断の分かれ目です。

総額を押し上げる構築支援費・初年度からの保守費・台数区分の繰り上がり

見積もりの総額は、ライセンス本体よりも周辺の費用で膨らみます。標準版の料金ページでは、保守費用は初年度から必要で次年度以降も続くと明記されており、「1年目は保守無料」という前提で予算を組むと外れます。

もう1つは台数区分の繰り上がりです。上限20台の区分で契約していて21台目を足すと、次の50台の区分に上がります。サーバーの増設計画や、仮想マシン・コンテナを1台と数えるかどうかを、契約前に販売元へ確認してください。構築支援を自社で肩代わりできるかも、初期費用を左右します。

方式の選び方と導入で詰まる点＝迂回経路の封鎖・RDP機器・業務システム

方式を決める基準＝経路を絞れるならゲートウェイ型、絞れないならクライアント型

方式の選択は、次の順で決めると迷いません。

管理対象のサーバー・DB・機器へのネットワーク経路を、ファイアウォールで中継サーバー経由だけに絞れるかを確認する
絞れるならゲートウェイ型を選ぶ。保守ベンダーの持ち込み端末があっても運用できる
絞れない、または直接接続を業務上残す必要があるならクライアント型を選び、作業端末の台帳を先に整える
クラウドの管理者ロールは、どちらの方式でもクラウド標準機能に任せ、製品の管理対象から外して台数を減らす

1と3のどちらも満たせない組織、つまり経路も絞れず端末も把握できない状態では、どの製品を入れても記録に穴が残ります。この場合は製品選定を止め、ネットワークの経路整理と端末台帳づくりを先に進めます。

製品比較に進まないほうがよい場面＝管理対象がクラウドの管理者ロールだけ

サーバーをほぼ持たず、Microsoft 365とSaaS、AWSの管理コンソールで業務が回っている組織は、専用ツールの比較表を作る段階にいません。PIMやAWSの標準機能で期限付きの付与と承認をそろえるほうが、ノード課金の製品を入れるより安く済みます。

専用ツールを入れるべき組織かどうかの判断基準と、クラウド標準機能でまかなえる範囲は特権ID管理とは：貸出・操作記録・パスワード変更の仕組みで詳しく整理しています。比較表を作る前に、そちらの条件に当てはまるかを確認してください。

導入で詰まる典型＝迂回経路の残存と自社業務システムの管理者画面

導入後に最も多いのは、迂回経路が残る失敗です。ゲートウェイ型を入れても、障害対応用に直接SSHできる経路を残すと、日常の作業もそちらに流れます。AWSでも、Session Managerのログ記録はポート転送やSSH経由のセッションでは使えないと公式に書かれており、経路の選び方ひとつで記録が欠ける仕組みです。導入時には、中継サーバー以外からの管理ポートへの接続をファイアウォールで遮断し、遮断できたことを試験で確かめます。

もう1つは、自社で開発した業務システムの管理者画面です。顧客データの全件出力や権限変更ができる管理者アカウントは特権IDに当たりますが、ブラウザ上のアプリケーション内部の操作は、OSやネットワークの接続を中継する製品では記録できない場合があります。管理者権限の申請・承認、有効期限、操作の監査ログを業務システム側に組み込み、Entra IDなどの認証基盤と連携させる開発は、一創の認証基盤・ID管理システム開発でご相談いただけます。

よくある質問

特権ID管理ツールの比較・選定の段階でよく寄せられる質問をまとめました。

特権ID管理ツールのおすすめやランキング上位から選んでも問題ありませんか？

候補を集める入口としては使えますが、順位で決めるのはおすすめしません。比較サイトのランキングは掲載製品の資料請求数や広告枠で並ぶことが多く、自社の管理対象に対応しているかは反映されていないためです。上位の製品を3〜4つ選んだら、各社の管理対象システムの対応表を取り寄せ、自社の機器一覧と突き合わせてください。対応表で「別途開発」や「踏み台が別途必要」が多い製品は、順位が高くても見積もりが膨らみます。

特権ID管理システムの価格相場はどのくらいですか？

価格を公開している製品は少ないものの、公開例ではSecureCube Access Checkの最小構成（10台以下）が初期380万円と年額保守70万円、機能を絞ったEssentialの20台以下が年額87万円です（2026年10月時点の定価・税別）。多くの製品は管理対象の台数で金額が決まるため、相場を聞くより先に、管理対象のサーバー・DB・機器の台数を数えて見積もりを依頼するほうが正確な比較になります。保守費が初年度から発生するかも確認します。

クラウド版とオンプレミス版はどちらを選ぶべきですか？

中継サーバーや管理サーバーを自社で運用したくないならクラウド版が候補です。ESS AdminONE Cloudはソフトウェア版と機能差がないと案内されており、iDoperationもクラウド版とオンプレミス版を用意しています。ただし、クラウド版でも利用開始まで約2.5か月かかる例があり、管理対象のサーバーが閉じたネットワークにある場合は、クラウドとの通信経路は別に設計が必要です。監査の予定日から逆算して選びます。

ゲートウェイ型とクライアント型は併用できますか？

併用できる製品があります。ESS AdminONE Cloudは、中継サーバーを通すゲートウェイ構成と、作業端末側の貸出ツールを使う構成のどちらでも使えます。実務では、社内の管理者は端末側で、保守ベンダーは中継サーバー経由で、と作業者の種類ごとに分ける組み合わせが現実的です。併用するときは、どちらの経路でも同じ申請番号で操作ログが引けるかを確認しておくと、監査で2つの記録を突き合わせる手間がなくなります。

特権ID管理ツールとID管理システムは何が違いますか？

ID管理システムは、入社・異動・退職に合わせて一般社員のアカウントを作成・変更・削除する仕組みで、プロビジョニングが中心です。特権ID管理ツールは、管理者権限を持つ少数のIDについて、貸出・操作記録・パスワード変更を統制します。対象と目的が異なるため、一般IDの製品比較はID管理システム比較：4タイプの違いと選ぶ機能要件を参照してください。全体像は認証・ID管理とはで整理しています。