Okta（オクタ）とは？認証の仕組み・料金（円）・セキュリティを2026年10月の一次情報で解説

Okta（オクタ）は、社員や取引先のID（アカウント）をクラウド側で一元管理し、SaaSや社内システムへのログインを束ねるIDaaS（Identity as a Service）です。導入を検討する段階で確認が必要になるのは、認証がどう成立しているか、日本円でいくらかかるか、過去にインシデントを起こしたベンダーを信用してよいか、の3点です。この記事では、Okta社の公式価格ページ、Form 10-K、セキュリティアドバイザリを2026年10月19日に確認した内容をもとに、この3点を整理します。

まとめ

• 正体：従業員・パートナー向けのOkta Platformと、自社サービスの利用者向けのAuth0 Platformを持つID管理専業ベンダー。顧客は20,000社超です。
• 認証の仕組み：SAML／OIDCで連携したSaaSにはパスワードを渡さず、署名済みトークンで「認証済み」を伝えます（パスワードを代理入力するSWA方式も別にあります）。Okta FastPassはデバイス内の秘密鍵で署名する方式で、認証ポリシーで耐フィッシング性を要求すれば偽サイトからの要求に応答しません。
• 料金：日本向け価格はStarter 1ユーザー月940円、Core Essentials 2,020円、Essentials 2,670円（年間一括請求）。年間最低契約額は240,000円で、Starterなら21人以下は人数にかかわらず24万円になります。
• プラン差：Core EssentialsとEssentialsの差は、Privileged Access・Identity Governance・Workflowsの本数（5本と50本）。Starterでは適応型MFAとライフサイクル管理がアドオン扱いです。
• セキュリティ：2022年・2023年の事案に加え、2026年9月8日にはOkta Access Gatewayで11件の脆弱性（最大CVSS 8.1）が公表されました。クラウド本体はOktaが直しますが、社内に置くゲートウェイやエージェントは顧客が更新しないと穴が残ります。

Oktaとは：IDaaSとして担う範囲と2026年の製品構成

Oktaは2009年設立、本社はサンフランシスコ、Nasdaq上場（ティッカー：OKTA）の企業です。FY2026のForm 10-Kによると、2026年1月31日時点の顧客は20,000社超、年間契約額10万ドル超の顧客は5,100社、Okta Integration Network（OIN＝設定済みの連携先カタログ）は7,000超です。2026年8月26日のFY2027第2四半期の決算資料では、10万ドル超の顧客が5,255社に増えています。2021年に顧客向けID管理のAuth0を買収し、日本法人はOkta Japan株式会社（2020年9月設立）です。

IDaaSの役割は、各SaaSがばらばらに持っていた「誰がログインできるか」の判断を1か所へ集めることです。人事システムで入社処理をすれば連携先のアカウントが作られ、退職処理をすればプロビジョニングに対応したSaaSのアカウントが止まる。この一元管理が本体で、SSOはその結果として得られる機能です。自動停止に対応していないアプリについては、手作業での削除が必要なユーザーを管理者に通知する扱いです。

日本語の解説記事には「Workforce Identity Cloud」「Customer Identity Cloud」という呼び方がまだ多く残っていますが、FY2026のForm 10-Kにこの2語は出てきません。現在の主な表記はOkta Platform（従業員・パートナー向け）とAuth0 Platform（自社製品の利用者向け）です。ただし価格ページには「Okta Workforce Identity」「Okta Customer Identity」という区分名が残っているため、資料を読むときは発行時期と区分を確認してください。

Okta認証の仕組み：パスワードを渡さずにログインが成立する流れ

ログインボタンを押してからSaaSの画面が開くまでに、OktaとSaaSは次の3つの仕組みで役割を分けています。

SSO（SAML／OIDC）：パスワードを渡さない「認証済み」の証明

利用者がSalesforceやSlackを開くと、アプリはログイン処理をOktaへ委ねます。Oktaが本人確認を終えるとSAMLアサーションまたはOIDCのIDトークン（署名付きの証明）を発行し、アプリは署名を検証してセッションを張ります。この方式ではアプリ側にパスワードが渡らないため、連携先のSaaSが1社漏えいしても、そこからOktaのパスワードは抜けません。ただしOktaには、SAML／OIDCに対応しないアプリ向けに、保管したパスワードを代理入力するSWA（Secure Web Authentication）方式もあり、こちらはアプリ側にパスワードが送られます。裏を返せば、Oktaのアカウント1つが乗っ取られると連携する全アプリに届くため、次のMFAが前提になります。

適応型MFA：IP・端末・位置で変わる追加認証

Adaptive MFAは、同じ利用者でも状況に応じて要求を変えます。社内ネットワークの管理済みPCからはパスワードのみ、海外IPや未登録端末からはOkta Verifyのプッシュ承認や生体認証を追加、という設定です。判定にはIPアドレス、デバイスの管理状態、位置の変化などを使います。上位プランのIdentity Threat Protectionを併用すると、ログイン後にリスクが上がった時点でセッションを打ち切る継続評価ができ、ここがログイン時に1回だけ確認する従来型MFAとの違いです。

Okta FastPass：デバイス内の秘密鍵で署名するパスワードレス認証

FastPassはOkta Verifyアプリを認証器にするパスワードレス方式で、公式の技術資料に沿うと流れは次のとおりです。

1. Okta Verifyの登録時に、デバイス上で公開鍵と秘密鍵のペアを作る。Oktaへ送られるのは公開鍵だけ
2. ログイン時、Oktaがそのリクエスト限りのチャレンジ（乱数）を発行する
3. Okta Verifyがデバイスのシグナルを集め、秘密鍵でチャレンジに署名して返す
4. Oktaが公開鍵で署名を検証し、正しければ認証成立

署名はその場限りのチャレンジに対するものなので、横取りしても使い回せません。フィッシング耐性はこれとは別の仕組みで、Okta Verifyが要求元（どのドメインからのサインインか）を確かめ、偽サイトからの要求には応答しないことによります。この判定が効くのは、認証ポリシーで耐フィッシング性を要求した場合です。要求していなければ、ポリシーが耐フィッシング性のない方式を選ぶこともあります。秘密鍵は端末に紐づくため、紛失・故障・機種変更でその端末の鍵は使えなくなります。SMS・メール・セキュリティキーなど別の認証方法を登録していれば本人が再登録でき、何も登録していない利用者は管理者のリセットを待つことになります。

Okta Verify（オクタ アプリ）の対応OSと機種変更の注意点

「オクタ アプリ」で探されているのは、ほぼOkta Verifyです。プッシュ通知の承認、ワンタイムコードの表示、生体認証、FastPassを担う公式の認証アプリで、Okta Verifyの対応プラットフォーム表（Identity Engine版・2026年10月19日確認）は次のとおりです。

Windows版Okta Verifyの32bit版は2026年3月31日でサポートが終わっています。工場や店舗に古い32bit Windows端末が残る環境では、MFAの展開計画より先に端末の棚卸しが必要です。また、Windows版は後述のとおり2026年9月に脆弱性が公表され、7.0.1以降への更新が推奨されています。

機種変更では作業が1つ増えます。Okta Verifyの登録情報とFastPassの鍵は端末ごとに作られるため、新しい端末にアプリを入れ直しただけでは引き継がれません。旧端末が動くうちにエンドユーザーダッシュボードから新端末を追加登録するのが確実です。旧端末を失った後は、ほかに登録済みの認証方法（SMS・メール・セキュリティキー等）があれば本人が再登録でき、なければ管理者にリセットしてもらいます。

Okta Platformの主要機能と、課題ごとの対応関係

機能名は多いものの、担当する課題で並べると5系統に収まります。

Universal Directoryは、Active Directory・人事システム・SaaS側のユーザー情報を1つのプロファイルに束ねるディレクトリです。部署や雇用形態といった属性がそのままアクセス判断の材料になるため、人事マスタが汚れているとIDaaSを入れても権限設計が崩れます。導入前に、どのシステムの属性を正とし、どの順で同期するかを決めておく必要があります。

Lifecycle Managementは入社・退職のイベントを起点に、SCIM連携でSaaS側のアカウントを自動で作成・停止します。監査で指摘されやすい退職者アカウントの消し忘れを、運用ではなく仕組みで防ぐ機能です。長期間ログインしていないアカウントの自動停止など、条件分岐を伴う処理はノーコードのOkta Workflowsで組みます。

Oktaの料金：円建て価格と年間最低契約額24万円

Oktaの価格は、Okta公式の価格ページと代理店の参考価格で値が違い、国別ページでも通貨が違います。ここではOkta公式の日本向け価格ページと米国向け価格ページを2026年10月19日に確認した値で整理します。

Workforce Identityのプラン別価格（円・ドル）

どのプランも年間一括請求です。価格表は機能単品の積み上げではなくスイート（セット）制で、ProfessionalとEnterpriseは見積もりになります。以前広く引用された「SSOが1ユーザー月2ドル、MFAが3ドル」という単品価格は現行の公式ページにはなく、この表を載せている記事は見積もりの根拠に使えません。従業員向けとは別に、Okta Customer IdentityのEnterpriseベースプラットフォームが月470,000円（米国向けは月3,000ドル）から掲載されています。Auth0の料金は別ページです。

Core EssentialsとEssentialsの違い：Governance・Privileged Access・Workflowsの差

価格ページ上部の各プランの紹介欄だけを見ると、Core Essentialsの内容が分かりません。ページ下部の比較表を列ごとに読むと、差は次のとおりです（「アドオン」は別料金で追加、「—」は提供なし）。

選び方の分かれ目ははっきりしています。入退社に合わせたアカウントの自動作成・停止と適応型MFAが欲しいだけならCore Essentialsで足ります。アクセス権の定期レビュー（棚卸し）を監査対応として回す必要があるならIdentity Governanceが込みのEssentialsで、差額は1ユーザー月650円です。Enterpriseでは、さらにAPI Access Management・Access Gateway・マシン間トークンが込みになります。

なお、日本向けページはStarterの紹介欄に「アダプティブMFA」と書かれていますが、同じページの比較表と米国向けページの紹介欄（Multi-Factor Authentication）ではStarterの適応型MFAはアドオン扱いです。契約前に見積書の品目で確かめてください。

最低契約額24万円から逆算する人数の目安

小規模組織で総額を決めるのは単価ではなく年間最低契約額です。単価×12か月×人数が24万円に届かない人数では、支払いは24万円になります。

公式価格ページに最低ユーザー数の記載はなく、公開情報で確認できる下限はこの最低額です（契約条件の詳細は見積もりで確認してください）。10人の組織がStarterを選んでも、Core Essentialsを選んでも年額はほぼ24万円で変わりません。人数が20人を切る組織では、最低額の範囲で使える上位プランを選んだほうが機能あたりの費用は下がります。

代理店の参考価格と見積もりで確認する点

国内では代理店経由の購入が中心で、代理店によって単価が違います。たとえば日立ソリューションズの価格ページは税抜の参考価格としてStarter 960円、Essentials 2,720円を掲載しており、Okta公式の940円・2,670円とは一致しません。見積もりでは、ドル建てか円建てか、税抜か、導入支援費が別建てかを確認してください。国内SIerの導入支援パックの構成と総額はOktaスターターパック（ラック）の3プランと料金で試算しています。

Oktaのセキュリティ評価：過去のインシデントと顧客側の対策

Oktaのセキュリティを評価するときは、侵害事案の起点（委託先・サポート系・本番基盤）、顧客側で被害を防げた設定、顧客が自分で更新すべき部品の3点を分けて見ます。以下では、侵害事案と脆弱性の公表を区別して整理します。

2022〜2024年に公表された主な侵害事案と認証バイパス

• 2022年1月・Lapsus$（委託先経由）：委託先Sitelの端末が侵害されました。当初は「最大366社に影響の可能性」と発表されましたが、最終調査では攻撃者が端末を制御したのは1月21日の25分間、実際にアクセスされたテナントは2つと結論づけられています。
• 2023年10月・サポートシステム侵害：不正アクセス期間は2023年9月28日〜10月17日。根本原因の報告では134社（顧客の1%未満）のファイルが閲覧され、その中のHARファイルに含まれるセッショントークンで5社のOktaセッションが乗っ取られました。11月29日の更新では、サポートシステムの全利用者の氏名とメールアドレスを含むレポートが取得されていたと公表されています（FedRAMP HighとDoD IL4の環境は別システムのため対象外）。
• 2024年10月・AD/LDAP委任認証のバイパス：AD/LDAP委任認証を使い、MFAを適用しておらず、ユーザー名が52文字以上で、過去の認証がキャッシュ済みで、AD/LDAPエージェントの停止や通信の混雑によってキャッシュが先に使われた、という条件がすべてそろうとパスワードなしで認証が通り得た不具合です。2024年10月30日に本番環境で修正され、11月1日にアドバイザリが公開されました。MFAを適用していれば影響しません。

上の3件のうち2件は委託先端末とサポート系システムが起点で、本番の認証基盤が破られたわけではありません。ただし2023年の事案では、顧客がサポートに送ったHARファイル（通信ログ）に残っていたセッショントークンから顧客側で被害が出ました。認証済みのセッションを盗まれると、ログイン時のMFAでは止まりません。Oktaがこの事案のあとに、別の接続元からセッションが使われたら管理者に再認証を求める管理者セッションのバインディングを追加したのはこのためです。採否は、これらの事案をどう見るかより、顧客側でトークンの管理・管理者保護・ログ監視を運用できるかで判断するのが現実的です。運用できないなら、どのIDaaSを選んでも同じ穴が残ります。

2026年8〜10月のアドバイザリ：顧客が自分で更新する部品

見落とされやすいのが、Oktaのクラウド本体ではなく、顧客が自社のサーバーや端末に入れる部品の脆弱性です。Oktaのセキュリティアドバイザリ一覧では、2026年8月25日〜10月13日にOkta製品だけで21件が公開されました（Auth0のSDK等は別に8件）。

最も重いのは、Access Gatewayの保護ルールの入力処理に起因する認可バイパス（CVE-2026-78626・CVSS 8.1）です。ほかにもSAMLアサーションの属性値をそのままSQLに埋め込むSQLインジェクション（CVSS 7.7）や、ヘッダーで渡された利用者名を検証せずに受け取るパススルー認証の不備などが並び、11件とも2026.9.1で修正されています。Access Gatewayはオンプレミスの社内アプリをOktaにつなぐために顧客が自社環境へ置くアプライアンスなので、Oktaがクラウド側を更新しても、顧客がイメージを上げない限り古い版が動き続けます。

Access Gateway、RADIUS Agent（VPN等のRADIUS認証をOktaへつなぐ）、Credential Provider for Windows（WindowsログオンにOktaのMFAを入れる）のいずれかを使っている組織は、資産台帳にこれらの版数を載せ、アドバイザリのRSSを購読して更新を運用に組み込んでください。IDaaSを導入しても、社内側に置く部品の管理はなくなりません。

管理コンソールの既定の保護と、顧客が追加で有効にする設定

2023年の事案のあと、Oktaは2024年2月にSecure Identity Commitmentを公表し、管理者まわりの保護を強化しました。Identity Engineでは、管理コンソールのポリシーが既定で管理者にMFAを要求し、セッション中にIPアドレスが変わると管理者をサインアウトさせるIPバインディングも既定で有効です。一方、管理者ロールの付与など保護対象の操作に、設定した間隔で再認証を求めるProtected actionsは、機能を有効にしたテナントで効く仕組みです。導入時には次の4点を確認してください。

• Super Admin権限を常設せず、必要なときだけ昇格させる運用にしているか
• 管理コンソールへの接続元をネットワークゾーンで絞り、管理者にFastPassやFIDO2などフィッシング耐性のある認証器を必須にしているか
• サポートへHARファイルを送る前に、セッショントークンを消しているか
• システムログをSIEMへ送り、管理者操作の異常を検知できるか

既定で有効な保護は、ポリシーを緩める変更をすると外れます。初期設定から何を変えたかを記録し、定期的に見直すことが前提です。

第三者認証の取得状況とISMAP登録の確認

Okta公式のコンプライアンス一覧には、ISO 27001／27017／27018、SOC 1・2・3、FedRAMP High（Okta for Government High）、IRAP、C5、PCI DSSなどが並びます。ISMAP（政府情報システムのためのセキュリティ評価制度）については、Okta側の一覧に記載がなく、2026年10月19日時点で登録の有無を一次情報で確認できていません。官公庁・自治体の案件でISMAP登録が要件になる場合は、ISMAPポータルのクラウドサービスリストと販売代理店に直接確認してください。海外の認証を多数持っていることは、ISMAPに登録済みであることを意味しません。

AIエージェントのID管理：Cross App AccessとOkta for AI Agents

2025年以降、Oktaの製品開発はAIエージェント対応に重心が移っています。人ではなくAIエージェントがSaaSのAPIを呼ぶようになると、人がクリックする前提のOAuth同意画面では統制できなくなるためです。

Cross App Access（XAA）は、ID-JAG（Identity Assertion JWT Authorization Grant）というトークンを使い、IdPであるOktaがアプリ間・エージェント間の認可を仲介する仕組みです。Identity Engineのリリースノートでは、2026年8月17日に展開が始まった2026.08.1で全顧客向けの一般提供になりました。8月24日にはAgent SSOの一般提供が発表され、Okta SSOに追加料金なしで含まれると説明されています。エージェント自体の検出・登録・停止を担うOkta for AI Agentsは2026年4月30日に一般提供となり、価格ページでは各スイートに足すアドオンとして掲載されています。XAAの仕組みと設定手順はOkta Cross App Access（XAA）の解説で扱っています。

注意したいのはIPSIEです。Oktaが2024年10月にOpenID Foundationで立ち上げたエンタープライズIDの相互運用仕様の策定活動ですが、IPSIEの仕様一覧では2026年10月19日時点でFinal SpecificationもImplementer’s Draftも「None yet」で、IPSIE v1はDraftの段階です。「IPSIEという標準に準拠しているから安心」とは、まだ言えません。

導入判断：Oktaが向く企業と、選ぶべきでない企業

向いているのは、SaaSを数十本使い、しかもMicrosoft以外の比率が高い企業です。OINの7,000超の連携先とUniversal Directoryが効くのはこの条件のときで、AD・人事システム・SaaSが複数ベンダーに散らばっているほど費用に見合います。国内では日立ソリューションズ、伊藤忠テクノソリューションズ、丸紅情報システムズなどが取扱パートナーとして導入メニューを公開しています。

選ぶべきでない場面もはっきりしています。

• Microsoft 365中心で他のSaaSがほとんどない：契約中のMicrosoft 365のプランに含まれるEntra IDの機能（条件付きアクセス等はプランで異なる）で要件を満たせるなら、Oktaを別に契約すると同じ機能に二重で払うことになります。
• 従業員十数人でコストを最小にしたい：年間最低24万円があるため、1人あたり単価の安さが効きません。
• ID基盤を自社データセンター内に置く必要がある：SaaS前提のOktaでは要件を満たせません。OSSのKeycloakを自社で運用する選択肢になり、比較の観点はKeycloakとは？Oktaとの違いと連携手順にまとめています。

日本企業でもう1つ問題になりやすいのがデータの保管場所です。個人情報保護法の越境移転や社内規程で国内保管が必須なら、契約前に自社テナントがどのセル（Oktaがテナントを収容するインフラ単位）に載るのかと、保管されるデータの範囲を書面で確認してください。既存のADや業務システムとの連携まで含めて認証基盤を設計する場合は、認証基盤・ID管理システム開発として構成から相談いただけます。

よくある質問

Oktaの読み方は？Okta Verifyは何と読みますか？

Oktaは「オクタ」、Okta Verifyは「オクタ ベリファイ」と読みます。日本法人の商号もOkta Japan株式会社です。一般名詞のoktaは空の雲量を8分割で表す気象の単位で、社名の由来として語られることがありますが、Okta社が公式に由来を説明した一次情報は確認できていません。

小規模でも契約できますか？最小ユーザー数はありますか？

公式価格ページに最小ユーザー数の記載はなく、公開情報で確認できる下限は年間最低契約額240,000円（米国向けは1,500ドル）です。Starterなら21人以下、Core Essentialsなら9人以下では人数にかかわらず24万円になります。契約前に30日間の無料トライアルで、管理コンソールとSSO・MFAの動きを確かめられます。

Oktaのアカウントがロックされたらどう解除しますか？

管理者がパスワードポリシーでセルフサービスのロック解除を有効にしていれば、サインイン画面の「Unlock account?」から、MFAの検証を経て本人が解除できます。有効になっていない場合は、管理者が管理コンソールで該当ユーザーのプロフィールを開いて解除します。ADと連携している組織では、AD側でロックを解除してもOkta側のロックは解除されない点に注意が必要です（Okta公式のセルフサービス解除の説明）。

Microsoft Entra ID（旧Azure AD）ではなくOktaを選ぶ理由は？

ベンダーに依存しないことです。Entra IDはMicrosoft製品との統合が最も深く、OktaはOINで7,000超の連携先を持ちます。Google Workspace・AWS・Salesforce・国内SaaSが混在する環境ほどOktaが有利で、M365にほぼ閉じた環境ではEntra IDのほうが合理的です。

Auth0とOktaは別の製品ですか？

同じOkta社の2つのプラットフォームです。従業員・パートナーのID管理はOkta Platform、自社サービスの会員登録やソーシャルログインなど利用者向けのID管理はAuth0 Platformが担います。料金体系と選び方の違いはAuth0とOktaの違いで比較しています。

関連記事

• Okta Cross App Access（XAA）とは？ID-JAGの仕組みとAgent SSO GA後の導入判断【2026年10月】
• Oktaスターターパック（ラック）の3プランと料金｜50万円からの支援範囲とライセンス込み総額【2026年9月時点】
• Auth0とOktaの違い: 顧客IDと従業員IDで分かれる選定基準と料金・実装の判断【2026年9月時点】
• Keycloakとは？Oktaとの違いと連携手順｜Auth0・Cognito比較で導入を判断【2026年10月】
• 認証・ID管理とは？MFA・SSO・OIDC・IDaaSの違いと選定を解説【2026年版】