--- title: "シングルサインオン比較：SSO製品・IDaaSの選び方と料金、自社システム組込みの判断" url: "https://www.issoh.co.jp/column/details/18686/" published: 2026-10-21 updated: 2026-10-21 categories: ["セキュリティ"] publisher: "株式会社一創" --- # シングルサインオン比較：SSO製品・IDaaSの選び方と料金、自社システム組込みの判断 シングルサインオン（SSO）製品を比較するとき、連携できるアプリの数や「おすすめランキング」の順位から入ると、自社で開発した業務システムが連携対象に入らないまま契約してしまうことがあります。本記事では、SSOサービスをIDaaS型・Microsoft 365付帯型・国産SaaS特化型・OSS自前構築型の4タイプに分け、SAML・OIDC・SCIMの対応範囲と公式料金ページの実額を基準に比べる構成です。50人・300人・1,000人の年間費用の試算、国産と海外の製品の違い、自社システムへ組み込めるかの確認手順、導入を見送る場面まで扱うので、資料請求の前に自社の比較軸が決まります。 ## まとめ：SSO製品の比較は対応プロトコルと料金の単位、自社システムの改修量で決める SSO製品の比較で最初に見るのは、連携したいシステムがSAMLかOIDCに対応しているかどうかです。クラウドサービスの多くは対応済みですが、自社開発の業務システムや古いパッケージは非対応のことが多く、ここで製品の候補より先に「改修が要るか」が決まります。 料金は1ユーザーあたりの月額だけでなく、最低契約数と年間契約の最低額を掛け合わせて比べます。国産のHENNGE Oneは最小200ID、Oktaは年間契約最低額240,000円という条件があり、50人規模では表示価格の2倍以上の実質単価になる組み合わせもあります。 Microsoft 365を全社で使っている組織は、まずMicrosoft Entra IDで足りるかを確かめます。足りない理由が「自社システムの連携」だけなら、製品を替えるより自社システム側をOIDC対応に改修するほうが安く済む場面が多くあります。連携先が少ない組織や、IdPの停止に備えた代替手段を用意できない組織は、導入を急がない判断も選択肢です。 ## シングルサインオン製品の4タイプと連携できるシステムの範囲の違い SSOの仕組みそのものは[シングルサインオン（SSO）とは？4つの実現方式とIDトークン検証・IdP選定を実装手順で解説](https://www.issoh.co.jp/tech/details/15821/)で扱っています。ここでは製品選びに直結する、提供形態と連携範囲の差に絞って整理します。 ### IDaaS型・Microsoft 365付帯型・国産特化型・OSS型の4分類と向く組織 比較サイトに並ぶSSO製品は、提供形態で4つに分かれます。製品名を比べる前に、自社がどの型に当たるかを決めると候補が半分以下に絞れます。 | タイプ | 代表例 | 向く組織 | 弱いところ | | ---------------- | -------------------- | -------------------- | ------------------------ | | 海外IDaaS型 | Okta | SaaSを10種類以上使う・海外拠点あり | 年間契約の最低額・英語中心の設定画面 | | Microsoft 365付帯型 | Microsoft Entra ID | Microsoft 365を全社で利用 | Microsoft以外の運用ツール連携は自力設定 | | 国産SaaS特化型 | HENNGE One、トラスト・ログイン | 国内SaaS中心・日本語サポート重視 | 最低契約数・自社開発システムの連携は個別対応 | | OSS自前構築型 | Keycloak | 自社サービスの会員認証も統合したい | サーバー運用・脆弱性対応を自社で持つ | IDaaSという言葉の範囲はベンダーごとに揺れがあり、SSOに加えて多要素認証やアカウント管理まで含めて呼ぶのが一般的です。定義の違いは[IDaaSとは？SSO・IdPとの違いとSAML・OIDC・SCIM連携を実装視点で解説](https://www.issoh.co.jp/tech/details/16401/)にまとめています。 ### SAML・OIDC・SCIMの対応有無で比べる連携先と自動化の範囲 SSO製品の連携能力を左右するのは、3つの標準規格への対応です。[SAML 2.0](https://docs.oasis-open.org/security/saml/v2.0/)はOASISが定めた規格で、業務SaaSの多くがこちらに対応しています。[OpenID Connect Core 1.0](https://openid.net/specs/openid-connect-core-1%5F0.html)はOAuth 2.0の上に認証を載せた規格で、新しく作るWebシステムやスマートフォンアプリはこちらを選ぶのが標準になりつつあります。 3つめの[SCIM 2.0（RFC 7644）](https://www.rfc-editor.org/info/rfc7644/)はログインではなく、アカウントの作成・変更・削除を連携先へ自動で反映する規格です。SSOだけ入れても、退職者のアカウント削除が各システムで手作業のままだと、管理の手間は半分しか減りません。比較表では「SAML対応」「OIDC対応」「SCIM対応」を別々の列で確認してください。規格の仕組みは[SAMLとは？認証フロー・IdP/SPの仕組みとOAuth・OIDCとの使い分けを実装視点で解説](https://www.issoh.co.jp/tech/details/13299/)で詳しく扱っています。 ### 代理認証が残る理由とSAML非対応の古い業務システムでの扱い SAMLにもOIDCにも対応していないシステムに対しては、多くの製品が「代理認証（フォームベース認証）」を用意しています。ブラウザ拡張などがIDとパスワードを代わりに入力する方式で、システム側の改修が要らない点が利点です。 ただし、システム側には従来のパスワードが残ります。パスワードを知っている人は製品を通さずにログインでき、多要素認証の強制もかかりません。代理認証は「改修するまでのつなぎ」と位置づけ、対象システムと改修予定時期を一覧にして管理するのが安全です。 ## SSOサービスの料金比較：1ユーザー月額と最低契約数で変わる年間総額 料金の数字は各社の公式料金ページで2026年10月21日に確認したものです。契約条件や為替で変わるため、見積り時には必ず最新のページで取り直してください。 ### 公式料金ページで見る月額300円から2,670円までの価格帯の差 主要4製品の有料プランの公開価格を並べると、月額は300円から2,670円まで約9倍の幅があります。 | 製品・プラン | 公開月額 | 契約条件 | | ----------------------- | ------ | ----------------- | | Microsoft Entra ID Free | 無料 | Azureサブスクリプションが必要 | | Microsoft Entra ID P1 | 1,049円 | 年払い・税抜 | | Microsoft Entra ID P2 | 1,499円 | 年払い・税抜 | | Okta Starter | 940円 | 年間契約最低額240,000円 | | Okta Essentials | 2,670円 | 年間契約最低額240,000円 | | HENNGE One IdP | 400円 | 最小200ID | | トラスト・ログイン SSOプロ | 300円 | 税抜 | 出典は[Microsoft Entra の価格](https://www.microsoft.com/ja-jp/security/microsoft-entra-pricing)、[Okta プランと価格](https://www.okta.com/ja-jp/pricing/)、[HENNGE One 価格とプラン](https://hennge.com/jp/service/one/price/)、[トラスト・ログイン 料金・機能](https://trustlogin.com/price/)です。表中のHENNGE One IdPは、HENNGE One Identity EditionのIdPプランを指します。Entra IDは無料版でもSSO自体は使えますが、条件付きアクセス（場所や端末に応じたログイン制御）はP1からの機能です。 ### 最小200IDや年間24万円の下限が小規模組織の実質単価を押し上げる仕組み 表示価格どおりの単価になるのは、最低条件を超える人数で契約したときだけです。HENNGE One Identity Editionは最小200IDなので、50人の組織でも200ID分を払うことになり、実質の単価は400円の4倍の1,600円になります。 Oktaは年間契約最低額が240,000円です。Starterの940円で割り戻すと約21人分に当たり、それより少ない人数では1人あたりの負担が上がります。10人なら月額換算で2,000円です。比較サイトの「月額◯円から」という表記だけを見ると、この差が見えません。 ### 50人・300人・1,000人で試算するプラン別の年間費用の目安 公開価格と最低条件をそのまま当てはめた、年間ライセンス費用の試算です（税の扱いは各社の表示のまま）。導入支援費や連携開発費は含みません。 | 製品・プラン | 50人 | 300人 | 1,000人 | | -------------------- | -------- | ---------- | ----------- | | Entra ID P1（1,049円） | 629,400円 | 3,776,400円 | 12,588,000円 | | Okta Starter（940円） | 564,000円 | 3,384,000円 | 11,280,000円 | | HENNGE One IdP（400円） | 960,000円 | 1,440,000円 | 4,800,000円 | HENNGE One IdPは最小200IDの条件で計算しています。50人では国産のHENNGE Oneが最も高く、86人以上では逆転して最も安くなります（Okta Starterの年額11,280円×人数が、HENNGE Oneの下限960,000円を上回る人数）。人数によって順位が入れ替わるため、「国産は安い」「海外は高い」とひとまとめにした判断は外れます。3年後の想定人数でも同じ表を作っておくと、乗り換えの手間まで含めた比較ができます。 ## 国産と海外のシングルサインオンで差が出るサポート範囲と連携テンプレート ### 国内SaaSの連携テンプレートの有無と日本語サポートの対応時間 SSO製品には、よく使われるSaaSとの連携設定をあらかじめ用意した「テンプレート」があります。海外製品は海外SaaSのテンプレートが厚く、国内の勤怠・経費・会計系SaaSはテンプレートが無く手作業でSAML設定をすることがあります。国産製品はその逆の傾向です。 比較の際は、自社が使っているSaaSを全部書き出し、各製品の連携先一覧に載っているかを1つずつ確かめてください。載っていなくても、そのSaaSがSAMLかOIDCに対応していれば連携自体はできます。違いは設定の手間と、うまくいかないときに製品側のサポートが相談に乗るかどうかです。サポート窓口が日本語で平日日中に対応するのか、英語のチケットのみかも、情報システム担当が少ない組織では判断材料になります。 ### Microsoft 365中心の組織がEntra IDを選ぶ条件と選ばない条件 Microsoft 365を全社で使っている組織は、すでにEntra IDにユーザーが登録されています。追加の製品を入れずに、そのEntra IDをIdP（認証の発行元）として他のSaaSをSSOでつなげるのが最も費用の少ない構成です。契約中のMicrosoft 365のプランにEntra ID P1が含まれているかを先に確認してください。機能と料金の詳細は[Microsoft Entra ID（旧Azure AD）とは？読み方・Active Directoryとの違い・機能・料金をコード付きで解説【2026年版】](https://www.issoh.co.jp/tech/details/3163/)で扱っています。 Entra IDを選ばないのは、Google Workspaceが主で Microsoft 365が一部部署だけの組織や、グループ会社ごとに別のテナントがあり統合の見込みがない組織です。この場合は特定のオフィス製品に依存しないIDaaS型のほうが、将来の組織変更に追随しやすくなります。 ## 自社開発システムへのSSO組込み可否を判断する比較の観点と改修範囲 比較サイトの製品比較がほぼ触れないのが、自社で開発した業務システムや会員サイトをSSOにつなぐ部分です。ここは製品の差より、システム側の状態で費用が決まります。 ### 既存の自社システムがSAMLやOIDCに対応しているかを確認する4つの手順 自社システムがSSO製品とつながるかは、次の順で確認すると漏れが出ません。 1. ログイン処理がどのフレームワーク・ライブラリで作られているかを開発元に確認する 2. そのフレームワークにSAMLまたはOIDCのクライアント機能（ライブラリ）があるかを調べる 3. ユーザーを識別する値（社員番号・メールアドレスなど）がSSO製品側の属性と一致するかを照合する 4. パスワードでのログインを残すか、SSO経由のみに絞るかを決める 1と2が満たせれば、改修はログイン画面周りに限られます。新しく作る場合は[OIDC（OpenID Connect）とは？IDトークンの検証手順とOAuth 2.0との違いを解説](https://www.issoh.co.jp/tech/details/6532/)で扱っているOIDCを選ぶと、Webとスマートフォンアプリの両方で同じ仕組みを使えます。 ### ユーザーIDの紐付けとログイン画面の改修で工数が膨らむ3つの条件 改修の工数が膨らむのは、次の条件が重なったときです。 - 自社システムのログインIDが独自の採番で、SSO製品側のメールアドレスと対応表がない - 1人が複数のアカウントを持つ運用（管理者用と一般用など）になっている - ログイン後の権限判定がログインIDと強く結びついていて、IDの持ち方を変えると画面全体に影響する この場合、先にアカウントの対応表を作り、権限判定をロール単位に整理してからSSOをつなぎます。順番を逆にすると、SSOは動くのに権限が正しく付かない状態が続きます。自社システムのログイン改修やID統合の設計から相談したい場合は、[認証基盤・ID管理システム開発](https://www.issoh.co.jp/service/system/identity/)の支援範囲をご覧ください。 ### SCIMでアカウントを自動連携するとき業務システム側に要るAPI実装 SSO製品からアカウントの作成・削除を自動で流すには、業務システム側にSCIMの受け口（API）が必要です。RFC 7644では利用者の一覧取得・作成・更新・削除の操作が定められていて、最低限それに応える実装を用意します。 受け口を作る手間が見合うのは、利用者が100人を超える、または入退社が月に数件以上ある組織です。それより小さければ、退職時のチェックリストに手作業で載せるほうが早く済みます。実装の具体は[SCIMとは？ID自動プロビジョニングの仕組みとエンドポイント実装を解説](https://www.issoh.co.jp/tech/details/15876/)で確認してください。ログインの統合だけでなく[アカウントの配布・棚卸しまで含めたID管理システムの比較](https://www.issoh.co.jp/column/details/18694/)も別記事にまとめています。自社サービスの会員認証まで1つの基盤で扱いたい場合は、OSSの[Keycloak](https://www.issoh.co.jp/tech/details/7663/)（2026年10月時点で26.x系、[公式サイト](https://www.keycloak.org/)）で自前構築する選択肢もあります。 ## SSO製品を導入しない方がよい場面と比較選定でよくある失敗パターン ### 連携先が3システム未満でMicrosoft 365だけを使う組織は導入を見送る ログインするシステムがMicrosoft 365と勤怠SaaSの2つだけ、という規模なら、SSO製品を別に契約する必要はありません。Microsoft 365付属のEntra IDに勤怠SaaSをつなぐか、パスワード管理ツールで十分です。Oktaの年間最低額240,000円は、この規模では1システムあたり年間12万円の負担になります。 見送った場合も、多要素認証だけは各システムで有効にしておきます。SSOの目的のうちセキュリティ面は、多要素認証でかなりの部分を先に得られます。 ### 連携アプリ数だけで選び自社開発システムが対象外になる失敗パターン 比較サイトでは「連携アプリ数◯千以上」が目立つ位置に書かれます。しかし、その数に自社開発のシステムは含まれません。数で選んで契約した後に、社内で最も利用者の多い業務システムがSAMLにもOIDCにも非対応だと分かり、代理認証で妥協するか追加の改修予算を取り直すことになります。 これを避けるには、契約前に自社システムを1つ選んで試験連携までを済ませます。試用期間や検証用の環境を用意している製品なら、その期間内に「最も利用者の多い自社システム」と「最も古いシステム」の2つでログインが通るかを確かめるのが確実です。 ### IdPが停止すると全システムに入れなくなる単一障害点への備え方 SSOを入れると、SSO製品（IdP）が停止したときに、つないだ全システムへログインできなくなります。製品の稼働率の約束（SLA）を比較表に加え、停止時に使う緊急用の管理者アカウントを各システムに1つずつ、SSOを経由しない形で残しておきます。 緊急用アカウントは利用記録を残し、使った後はパスワードを変更する運用にします（[SSOのデメリットと単一障害点への備え](https://www.issoh.co.jp/column/details/18688/)）。この備えを用意できない場合、業務の止まり方は導入前より大きくなります。 ## シングルサインオンの比較でよくある質問：料金・製品選びと自社システムへの導入 SSO製品の比較を始めた担当者からよく出る質問に、料金と選び方の観点で答えます。 ### シングルサインオンに無料で使えるサービスはありますか？ Microsoft Entra ID Freeは無料でSSOが使えますが、Azureのサブスクリプションが必要で、条件付きアクセスなどのログイン制御は有料のP1以上です。OSSのKeycloakもライセンス費はかかりませんが、サーバー費と運用の手間は自社持ちになります。無料かどうかより、ログイン制御と運用の担い手まで含めた総額で比べてください。 ### 国産と海外のSSO製品はどちらを選ぶべきですか？ 使っているSaaSが国内製品中心で、情報システム担当が少なく日本語サポートを重視するなら国産が合います。海外SaaSが多い、または海外拠点があるなら海外IDaaSが候補です。料金は人数で順位が入れ替わるため、国産か海外かで先に決めず、自社の人数で年間費用を試算してから判断します。 ### SSOとIDaaSは何が違いますか？ SSOは「1回のログインで複数のシステムを使える仕組み」を指し、IDaaSはSSOに多要素認証やアカウント管理を加えてクラウドで提供するサービスを指します。製品比較の場面では、両者はほぼ同じ意味の用語です。認証まわりの用語の整理は[認証・ID管理とは？MFA・SSO・OIDC・IDaaSの違いと選定を解説【2026年版】](https://www.issoh.co.jp/column/details/13631/)で確認できます。 ### シングルサインオンのランキング上位の製品を選べば失敗しませんか？ ランキングは資料請求数や掲載順で作られていることが多く、自社のシステム構成との相性は反映されません。上位製品でも、自社開発システムが非対応なら導入効果は下がります。ランキングは候補を挙げる材料にとどめ、対応プロトコルと年間費用の試算で絞り込んでください。 ### 自社で開発したシステムに後からSSOを導入できますか？ 多くの場合は後からでも導入が可能です。ログイン処理を担うフレームワークにSAMLかOIDCのライブラリがあれば、改修はログイン画面周りとユーザーIDの紐付けに限られます。IDの採番が独自で、権限判定がIDと強く結びついているシステムは、先にアカウントの対応表と権限の整理が必要になり、改修の範囲が広がります。改修できないシステムを含めた具体的なつなぎ方は、[自社開発システムをSSOに対応させた構成例](https://www.issoh.co.jp/column/details/18690/)で紹介しています。 ## 関連記事 - [Auth0とOktaの違い: 顧客IDと従業員IDで分かれる選定基準と料金・実装の判断【2026年9月時点】](https://www.issoh.co.jp/tech/details/17298/)：海外IDaaSの2製品を、従業員向けと顧客向けの用途で比べています。 - [Okta（オクタ）とは？認証の仕組み・料金（円）・セキュリティを2026年10月の一次情報で解説](https://www.issoh.co.jp/tech/details/9368/)：比較表に入れたOktaの機能とプランの詳細です。 - [Keyspiderとは：国産ID管理の連携方式と自社システムをつなぐ実装手順](https://www.issoh.co.jp/tech/details/18103/)：国産のID管理製品で自社システムとつなぐ実装の例です。 - [ゼロトラストとは？境界型防御との違い・NIST7原則と導入判断を解説](https://www.issoh.co.jp/column/details/13096/)：SSOを入口にしたアクセス管理全体の考え方を整理しています。 --- 出典: [シングルサインオン比較：SSO製品・IDaaSの選び方と料金、自社システム組込みの判断]()（株式会社一創）