midPointとは？オープンソースのIGA（ID統制）ツールを実装視点で解説【2026年版】

midPoint（ミッドポイント）は、スロバキアの Evolveum が開発するオープンソースの IGA（Identity Governance and Administration＝アイデンティティの統制・管理）プラットフォームです。入退社や異動に合わせて Active Directory・LDAP・クラウドサービスのアカウントを自動で発行・回収し、誰にどの権限があるかを一元的に統制します。同じ「midpoint」でもシェアオフィスや英単語とは別物で、本記事は Evolveum の midPoint に絞り、IAM・IDM との違い、アーキテクチャ、主要機能、最新バージョンと導入方法までを一次情報に基づいて整理します。

まとめ：midPointは「認証」ではなく「ID統制」を担うOSS

midPoint は Keycloak のような認証・SSO ツール（IAM）ではなく、その手前でアカウントと権限のライフサイクル全体を管理・監査する IGA ツールです。ConnId コネクタで外部システムと連携し、RBAC・アクセス認証・職務分掌（SoD）まで扱えるのが商用 IGA（SailPoint など）に対する強みで、ライセンス費が不要な代わりに Java・Spring・PostgreSQL の運用と設定オブジェクトの学習コストがかかります。2026年7月時点の最新安定版は 4.10 系（4.10.3）、長期安定を求めるなら LTS の 4.8「Curie」を選びます。以下で定義・構造・機能・導入判断を順に見ていきます。

midPointとは：Evolveum製オープンソースIGAの定義

midPoint は 2011 年から開発が続くオープンソースソフトウェアで、GitHub のリポジトリ説明でも「Identity Management (IDM) and Identity Governance (IGA)」と位置づけられています。ソースコードは github.com/Evolveum/midpoint で公開され、開発元の Evolveum が保守とサポートを担う本家ベンダーです。Evolveum 自身は midPoint を「オープンソースのアイデンティティセキュリティプラットフォーム」と表現しています。

開発元Evolveumと「IGA」というカテゴリ

Evolveum は EU 圏（スロバキア）の企業で、midPoint の開発・ドキュメント整備・商用サポートを一手に引き受けています。ここで押さえたいのはカテゴリの正確さです。midPoint は IDM（アカウントのライフサイクル管理・データ連携・プロビジョニング）を土台に、アクセス認証や職務分掌といったガバナンス・コンプライアンス機能を上乗せしたもので、この全体が IGA にあたります。「ログインを提供するツール」ではなく「誰がどのシステムに、なぜアクセスできるのかを統制するツール」だと捉えると役割を誤りません。

ライセンスの変遷と有償サポート

ライセンスは移行の途中にあり、バージョンで異なる点に注意が必要です。当初は Apache License 2.0 で公開されていましたが、現在は EUPL（European Union Public License）へ移行しており、4.10 以降は EUPL 単独、移行期にあたる 4.8・4.9 は EUPL と Apache 2.0 のデュアルライセンスです。ソフトウェア自体は無償ですが、Evolveum の収益源はサポートで、本番運用ではサブスクリプション契約による 3rd-line サポートを結ぶのが一般的です。価格は公開されていないため、費用は個別見積もりで確認します。最新のライセンス条件は導入前に公式で確認してください。

最新版4.10とLTS 4.8のバージョン体系

midPoint はフィーチャーリリース（新機能優先・サポートは1〜2年程度）と LTS（長期安定・サポート約5年）の2系統を並行提供します。2026年7月時点の状況は次のとおりです。ここで「4.10 は LTS ではなく、現行 LTS は 4.8」を取り違えないよう注意します。

長く塩漬けで運用する基盤なら LTS の 4.8 を、新機能を早く取り込みたいなら 4.10 系を選ぶ、という判断になります。次の LTS は 4.12 で、2027 年ごろのリリースが予定されています。なお 4.10 では PostgreSQL 以外のデータベースのサポートが打ち切られたため、新規導入は実質 PostgreSQL 前提です。バージョンとサポート期限は変動するので、採用時は公式のダウンロードページとロードマップで再確認してください。

IGA・IAM・IDMの違いとmidPointの守備範囲

midPoint を誤解なく使うには、隣接する用語との線引きを最初に押さえます。とくに Keycloak と混同されやすいため、認証（IAM）と統制（IGA）の境界を明確にしておきます。

IDMを土台にガバナンスを載せたのがIGA

IDM は「入社した人にアカウントを作り、異動で権限を変え、退職で消す」というアイデンティティのライフサイクル管理を指します。IGA はそこに、アクセス認証（棚卸し）や職務分掌のチェックといったガバナンス層を加えた上位概念です。midPoint はこの IGA をカバーし、単なるアカウント同期にとどまらず「その権限付与は妥当か」を審査・記録する仕組みまで含みます。監査対応が求められる組織ほど、IDM だけでなく IGA が必要になります。

Keycloak（IAM）との違いと組み合わせ

Keycloak は IAM、つまりログイン・SSO・ソーシャルログインといった「認証とアクセス管理」をアプリケーションに提供するツールです。対して midPoint は「アカウントと権限を作り・配り・棚卸しする」ガバナンス側を担います。両者は競合ではなく補完関係で、実務では midPoint が各システムへ ID と権限をプロビジョニングし、Keycloak がその ID でのログインを担う、という組み合わせで完全な基盤を構成します。「認証だけが欲しい」なら Keycloakとは？メリット・デメリットとAuth0・Okta・Cognito比較で導入を判断【2026年版】 で扱う IAM で足り、midPoint は過剰投資になります。逆に権限の統制・監査が主目的なら midPoint が本命です。

midPointのアーキテクチャと中核コンセプト

midPoint の設定は独自のオブジェクトモデルで表現します。ここを理解しておくと、公式ドキュメントや導入支援の説明がぐっと読みやすくなります。

Resource・Connector・Mappingの関係

連携先の外部システム（AD、LDAP、データベースなど）は Resource として定義し、その Resource と実際に通信するモジュールが Connector です。属性値のコピーや変換ロジックは Mapping が担い、たとえば「人事システムの部署コードを AD の OU に変換して反映する」といった処理を式で書けます。連携の振る舞いの大半はコネクタではなく midPoint 側のマッピングと同期ロジックで実装されるため、コネクタは各システムとの通信に集中する設計です。

Focus/Projectionとロール・組織・アーキタイプ

midPoint の中心オブジェクトを Focus（通常は人を表す User）と呼び、各システム上のアカウント（shadow）を Projection と呼びます。midPoint は Focus の値を計算し、複数の Projection＝アカウントへ反映します。権限は Role で表現し、単純な RBAC を超えるパラメトリックロールや階層ロールに対応します。組織構造は Org のツリーでモデル化し、Archetype（例：User に「従業員」、Role に「ビジネスロール」）で専用の振る舞いや GUI、ポリシーを与えられます。ロールの設計思想そのものは RBACとは？ロールベースアクセス制御の仕組みと導入判断を実装視点で解説 と共通なので、あわせて読むと権限モデルの理解が深まります。

ネイティブPostgreSQLリポジトリと技術スタック

midPoint は Java 製で Spring フレームワークを基盤とし、管理 Web UI は Apache Wicket で作られています。権威データ（ユーザー、ロール、他システム上アカウントへのポインタ、同期ポリシー、設定）を保持するのがリポジトリで、4.4 から PostgreSQL 固有機能を活かした「ネイティブ PostgreSQL リポジトリ」が導入されました（大規模化プロジェクト midScale 由来）。従来の汎用 RDB 実装より高速・スケーラブルで、PostgreSQL 14 以降が対象です。前述のとおり 4.10 で他 DB のサポートが外れたため、リポジトリは PostgreSQL 一択になります。

midPointの主要機能

midPoint の機能は「アカウントを配る」プロビジョニングと、「権限を統制する」ガバナンスの2軸に整理できます。

プロビジョニングと3つの同期方式

プロビジョニングは、コネクタフレームワーク ConnId を介して外部システムへアカウントを作成・更新・削除する機能です。同梱コネクタとして LDAP・Active Directory・CSV があり、DB やスクリプト型も利用できます。同期には用途の違う3方式があります。Import は初期の一括取り込み、Reconciliation はあるべき状態と実状態を突き合わせて是正する照合、Live Sync は変更を準リアルタイムに取り込む同期です（Active Directory では DirSync 方式が推奨）。入社直後に必要なアカウントを一斉発行し、退職時に全アカウントを確実に消す、といった運用はこの仕組みで自動化します。

RBAC・アクセス認証・職務分掌（SoD）

権限は RBAC で管理し、条件付きで有効になるパラメトリックロールや階層ロールで複雑な要件も表現できます。ガバナンスの中核がアクセス認証（Access Certification）で、レビュー対象を特定してレビュアーを割り当て、判定を集め、不要な権限を是正（remediation）する再認証キャンペーンを回せます。職務分掌（SoD）は、相互に排他すべきロール（例：申請者と承認者）を同一人物に同時付与させない role exclusion で実装し、midPoint 汎用の policy rules として表現します。これらは商用 IGA が高額で提供してきた領域で、オープンソースで扱える点が midPoint の価値です。

パスワード管理・セルフサービス・承認ワークフロー・監査

複数システムのパスワードを統一ポリシーで管理・同期でき、利用者は自分のプロファイル更新やアクセス申請をセルフサービス GUI から行えます。ロール申請や競合するロールの割り当て時には、case management ベースの承認ワークフローが起動して管理者の判断を挟みます。すべての操作は監査ログに記録され、監査対応向けのレポートを出力できます。権限の付与状況からロール候補を導く role mining も備え、既存環境の RBAC 整理に使えます。

midPointの導入とツール

「open source」「github」で検索して辿り着く読者向けに、入手からデプロイ、開発支援ツールまでを実務目線で押さえます。

入手とデプロイ（GitHub・Docker・PostgreSQL前提）

ソースとリリースは GitHub の Evolveum/midpoint で公開され、ネイティブ（bare）インストールのほか、Docker Hub の公式イメージ evolveum/midpoint を使えば Docker Compose や Kubernetes 上でコンテナ実行できます。ただし midPoint はリポジトリ用の PostgreSQL が必須のため、イメージ単体ではなく、PostgreSQL を同梱した Docker Compose 定義でまとめて起動するのが実際の手順です。

docker pull evolveum/midpoint:4.10.3
docker compose up -d   # PostgreSQLごと起動。ネイティブリポジトリのスキーマ初期化を含める

まず評価するだけなら Docker が最短で、本番はサイジングと PostgreSQL の運用体制を前提に設計します。バージョンタグは採用する版に合わせて指定します。

Ninja（CLI）とmidPoint Studio

運用・開発を支える公式ツールが2つあります。Ninja は同梱の CLI で、オブジェクトの export・import やコンテナ環境でのアップグレード、設定の点検に使い、リポジトリ層への直接操作や REST 経由の操作、Axiom フィルタ構文に対応します。midPoint Studio は IntelliJ プラットフォームのプラグインで、Axiom クエリ言語のシンタックスハイライトなど設定オブジェクトの開発を支援します。GUI だけでなくこれらを併用することが、midPoint を継続運用する現実的な進め方です。

日本での導入支援

日本語での導入支援も選べます。野村総合研究所（NRI）の OpenStandia は 2019 年に Evolveum とパートナーシップを結び、midPoint の日本語ドキュメント翻訳やソースコード貢献、年間サポートを提供しています。CloudNative Inc もゼロトラスト／ID 領域で midPoint を扱い、本番運用では Evolveum のサブスクリプション契約によるサポートを推奨しています。自社に Java・PostgreSQL の運用体制が薄い場合は、こうした支援ベンダーと組むことで導入のハードルを下げられます。

midPointが向くケース・向かないケース

オープンソースだからと全ての組織に勧められるわけではありません。投資対効果の観点で、向き不向きをはっきりさせておきます。

向いているケースは、多数の外部システムにまたがる入退社・異動のアカウント発行と権限付与を自動化したい、アクセス認証や SoD など監査対応が必須、商用 IGA のライセンス費を避けたい、そして Java・Spring・PostgreSQL を運用できる体制がある組織です。ここでは商用製品に匹敵する統制を費用を抑えて実現できます。

向かないケースもはっきりしています。欲しいのがログイン統合・SSO だけなら、それは IAM の領域で、Keycloak や OIDC（OpenID Connect）とは？仕組み・OAuthとの違いをわかりやすく解説 で扱う認証プロトコルで足り、midPoint は過剰です。連携するシステムが少なく手作業で回る小規模環境では、設定オブジェクトの学習コストに見合いません。Java・PostgreSQL の運用要員が確保できない場合も、無償である利点が運用負荷で相殺されがちです。「安いから」ではなく「統制と監査が要るか」で判断するのが失敗しないコツです。

よくある質問

midPointとは何ですか？どういう意味ですか？

Evolveum が開発するオープンソースの IGA（アイデンティティ統制・管理）プラットフォームです。外部システムのアカウントと権限を自動で発行・回収・棚卸しするツールで、同名のシェアオフィスや英単語の midpoint（中点）とは無関係です。

midPointはIAMツールですか？

厳密には IAM（認証・アクセス管理）ではなく IGA（統制）ツールです。ログインや SSO を提供する Keycloak のような IAM とはレイヤが異なり、実務では midPoint（統制・プロビジョニング）と IAM（認証）を組み合わせて使います。

midPointのライセンスと費用は？

オープンソースで、4.10 以降は EUPL 単独、4.8・4.9 は EUPL と Apache 2.0 のデュアルライセンスです。ソフトウェアは無償ですが、本番向けのサポートは Evolveum のサブスクリプション契約（有償・非公開価格）で提供されます。

最新バージョンはどれを選べばよいですか？

2026年7月時点の最新安定版は 4.10 系（4.10.3）です。長期安定を優先するなら LTS の 4.8「Curie」（サポート 2028年まで）を選びます。4.10 は LTS ではない点に注意し、DB は PostgreSQL を前提にします。

どこから入手できますか？

ソースとリリースは GitHub（Evolveum/midpoint）で公開され、Docker Hub の公式イメージ evolveum/midpoint でコンテナ実行できます。日本語での支援が必要なら OpenStandia（NRI）などのベンダーサポートも利用できます。

関連記事

• Keycloakとは？メリット・デメリットとAuth0・Okta・Cognito比較で導入を判断【2026年版】
• RBACとは？ロールベースアクセス制御の仕組みと導入判断を実装視点で解説
• OIDC（OpenID Connect）とは？仕組み・OAuthとの違いをわかりやすく解説
• GitHub SSOの設定手順｜SAML連携・PAT/SSH認可の落とし穴