SaaSを50種類以上導入した企業では、ID管理が静かに破綻していくことがあります。入社手続きのたびに数十本分のアカウントを手作業で作成し、退職時のアカウント削除を見落とした結果、元従業員がSaaSにアクセスできる状態のまま数ヶ月が経過していた、というケースも珍しくありません。

しかし問題はそれだけではありません。リモートワークの定着でネットワーク境界が消え、シャドーITが広がり、情シスが把握していないIDが社内に無数に存在する状況が常態化しています。

IDaaSの定義からSSO・SCIMとの違い、ゼロトラストとの関係、導入メリット・デメリット、自社に必要かを判断するチェックリスト、主要製品の概要まで、情シス担当者が判断に必要な情報をまとめました。SaaSを20種類以上利用している中堅企業の情シス担当者を主な対象として想定しています。

IDaaSの5つの機能と、SSOだけを導入した場合の違いは次のとおりです。

SSOはIDaaSの入口にあたる機能で、アカウントの作成・削除や監査まで任せるには、残りの機能を組み合わせる必要があります。導入すべきかどうかは、後半の7項目のチェックリストで確かめられます。

IDaaSとは何か

IDaaSはクラウド上でID管理・認証・アクセス制御を一元提供するサービスで、SSOだけを指す言葉ではありません。IdP・IAM・IGAといった近接概念との違いを押さえておくことが、正確な導入設計の前提になります。

IDaaSの定義

IDaaSとはIdentity as a Serviceの略で、クラウド上でIDとパスワードの管理・認証・アクセス制御を一元的に提供するサービスです。読み方は「アイダース」または「アイディーアース」と呼ばれます。

従来の企業ID管理は、オンプレミスの認証基盤であるActive Directoryなどを中心に構築されていました。SaaSの普及により管理すべきIDの数と種類が急増したことで、クラウド型のIDaaSへの移行が加速しています。

IDaaSが担う役割は主に3つです。ひとつ目は認証で、アクセスしようとする人物が本当にその人かを確認します。ふたつ目は認可で、確認された人物がどのリソースにアクセスできるかを制御します。そして3つ目がプロビジョニングで、アカウントの作成・更新・削除を自動化します。

IdP・IAM・IGAとの違い

IDaaSと混同されやすいのが、IdP・IAM・IGAの3つです。それぞれ異なる範囲を指す概念であり、混同したまま設計を進めると後から認識のズレが生じやすくなります。

IdPとはIdentity Providerの略で、認証情報を提供する基盤のことです。IDaaSはこのIdPをクラウドサービスとして提供する形態を指します。平たく言えば、IDaaSはクラウド型のIdPにあたります。

IAMはIdentity and Access Managementの略で、アイデンティティ管理とアクセス管理を組み合わせた概念の総称です。IDaaSはIAMを実現する手段の一つです。IGA（Identity Governance and Administration）はIAMをさらに拡張し、ロールの設計・アクセス権限の棚卸し・監査・コンプライアンス対応まで含む上位概念で、セキュリティ成熟度の高い企業が採用するフレームワークです。

IAMとIGAの役割の違いや、特権IDの管理（PAM）との関係は、IGAとIAMの違いとIDaaS・PAMとの関係で詳しく整理しています。

参考：わかりやすい「IDaaS」とは？NTT東日本

参考：IDaaSとは？機能や導入メリット SCSK

IDaaSが求められる3つの背景

IDaaSが急速に普及している背景には、企業のIT環境の構造的な変化があります。SaaSの増加、リモートワークの定着、アカウント管理の限界という3つの圧力が重なり、従来型の管理手法では対応できなくなってきました。

SaaSの爆発的増加とシャドーIT

1社あたりのSaaS平均導入数は2020年代に入って急増しています。

SaaSを個別に管理しようとすると、情シスの工数が導入本数に比例して増え続けます。各SaaSに異なるID・パスワードが存在し、退職者アカウントの削除漏れも発生しやすくなります。さらに現場部門が情シスの承認なしにSaaSを導入するシャドーITの問題も深刻化しており、情シスが把握していないIDが社内に無数に存在する状況も生まれています。

リモートワーク普及と境界型セキュリティの崩壊

コロナ禍以降に定着したリモートワークは、従来の「社内ネットワーク内は安全」という前提を崩しました。自宅・カフェ・出張先など様々な場所からSaaSにアクセスする現代において、どこからのアクセスも適切に検証する仕組みが不可欠になっています。

この課題に対応するアーキテクチャがゼロトラストですが、その実現においてIDaaSは中核的な役割を担います。ゼロトラストとIDaaSの関係については後述します。

入退社・異動時のアカウント管理が追いつかない

退職者のアカウントが残存していた、新入社員の初日にアカウントが間に合わなかったというトラブルは、多くの情シス担当者が経験してきた問題です。

従業員の入社・異動・退職のたびに数十本のSaaSアカウントを手作業で管理するのは現実的に限界があります。特に退職者アカウントの削除漏れは、不正アクセスや情報漏洩の直接的なリスクになります。IDaaSのSCIMプロビジョニング機能を活用することで、人事システムと連携してこれらの作業を自動化できます。

IDaaSの主要機能5つ

IDaaSはSSOだけを提供するツールではなく、複数の機能を統合したID管理基盤です。以下の5つの機能が連携することで、認証・プロビジョニング・監査の全体を一元的に管理できます。

シングルサインオン（SSO）

SSOは1回の認証で複数のSaaSやシステムにアクセスできる機能です。従業員は1つのIDとパスワードだけを覚えれば、Slack・Salesforce・Google Workspaceなど連携している全サービスにアクセスできます。

情シス担当者にとっては、パスワードリセット対応の件数を減らせるという効果があります。パスワードを忘れた従業員からのリセット依頼は、情シスに日常的に寄せられる定型の問い合わせです。従業員が覚えるパスワードが1つになれば、この対応にかかる工数を減らせます。

多要素認証（MFA）

MFAはパスワード以外の認証要素を追加することでセキュリティを強化する機能です。「知識（パスワード）」「所持（スマートフォン）」「生体情報（指紋・顔認証）」の中から複数を組み合わせることで、パスワード単体での不正アクセスを防ぎます。

代表的な認証方式は3種類あります。認証器アプリはGoogle AuthenticatorやMicrosoft Authenticatorで生成するワンタイムパスワードで、コストが低く広く普及しています。FIDO2/パスキーはフィッシング耐性が高い最新の認証規格で、デバイスに紐づいた秘密鍵を使うためフィッシングサイトへの誘導が無効化されます。SMS認証は携帯番号へのSMSで確認コードを送る方式ですが、SIMスワッピング攻撃への耐性が低いため現在は推奨度が下がっています。

SCIMプロビジョニング（アカウント自動作成・削除）

SCIMとはSystem for Cross-domain Identity Managementの略で、IDaaSと各SaaS間でユーザー情報を自動同期するプロトコルです。人事システムとIDaaSを連携することで、入社・異動・退職に応じたアカウントの作成・変更・削除が自動化されます。

SCIMを使わない状態では、人事部門から退職の連絡を受けた情シスが各SaaSに手作業でアカウントを削除していきます。漏れや遅延が生じやすく、退職後もSaaSにアクセスできる状態が続くリスクがあります。SCIMに対応し、プロビジョニングを設定したSaaSでは、人事システムのデータが変わった時点でIDaaSがそれを受け取り、アカウントの作成・停止・削除を自動で反映します。工数削減に加えて、退職者アカウントの削除漏れも減らせます。ただしSCIMに対応していないSaaSや、プロビジョニングを設定していないSaaSには反映されないため、対象外のSaaSを一覧にして手作業の手順を残しておく必要があります。SCIMの仕組みと対応SaaSはSCIMとは｜SAMLとの違い・自動連携の仕組みで解説しています。

アクセス管理・認可（RBAC/条件付きアクセス）

アクセス管理は、同じ従業員でも部署・役職・デバイスの状態によってアクセスできるシステムを制御する機能です。認証による本人確認の次のステップとして、どのリソースに何ができるかを細かく制御します。

RBACはロールベースアクセス制御の略で、「営業部門は顧客管理SaaSにアクセス可」「人事部門のみ給与システムにアクセス可」のようにロールに基づいてアクセス権を一元管理します。条件付きアクセスは、デバイスが会社管理のものか、アクセス元の国・IPアドレス、時間帯などを条件として動的にアクセスを制御する機能です。

ログ管理・監査

ログ管理は、誰がいつどのSaaSにアクセスしたかを一元的に記録する機能です。個別のSaaSに散在するログを統合することで、ISMSやSOX法対応の監査証跡として活用できるほか、インシデント発生時の原因調査も迅速に行えます。

異常なアクセスパターン、たとえば深夜の大量ダウンロードや普段と異なる場所からのログインをリアルタイムで検知する機能を持つ製品も増えており、SIEMとの連携も可能です。

参考：IDaaSとは？機能や注意点、導入手順まで SmartHR

SSOとIDaaSの違い

SSOを導入すればIDaaSを導入したことと同じではないか、という疑問をもつ情シス担当者は少なくありません。しかし実際には、SSOはIDaaSが持つ機能の一部にすぎません。

SSOは「1回の認証で複数サービスにアクセスする仕組み」という単一機能です。一方IDaaSは、SSOを含むMFA・SCIMプロビジョニング・アクセス管理・ログ監査を統合したプラットフォームを指します。SSOだけを導入した状態では、プロビジョニングやログ監査の機能は得られません。

技術的なプロトコルとしてよく登場する用語も整理しておきましょう。

IDaaSはこれらの複数プロトコルに対応することで、多種多様なSaaSとの連携を実現しています。

SSOのIDとIDaaSが管理するIDの関係

SSOでログインに使うIDは、IDaaS（IdP）に登録された1つのアカウントです。従業員はこのIDで一度認証すれば、連携した各SaaSに入れます。ただし各SaaSの中にも、その従業員のユーザーアカウントが別に作られており、SSOはIdPのIDと各SaaSのアカウントを結びつけてログインを肩代わりしているにすぎません。

この仕組みは退職時の対応に影響します。IdP側でIDを停止すればSSO経由のログインは止まりますが、各SaaS側のアカウントは残ります。SaaSによっては、SSOを通さないパスワードでのログインや、発行済みのAPIトークン、共有リンクが有効なままになることもあります。IdPのIDを止めたうえで、SCIMやSaaSの管理画面から各SaaS側のアカウントも停止・削除して、初めて退職者のアクセスを断てます。

SSOの仕組みそのものは、SSO（シングルサインオン）とは｜仕組みと製品比較で詳しく解説しています。

ゼロトラストにおけるIDaaSの役割

ゼロトラストセキュリティを構成する要素の中で、IDaaSは最初に整備すべき基盤に位置づけられます。IDが正確に管理されていなければ、その後のアクセス制御もログ監視もデバイス管理も機能しないからです。

ゼロトラストとは、すべてのアクセスを信頼しないことを前提とし、常に「誰が・どこから・何にアクセスするか」を検証するセキュリティモデルです。この「誰が」の部分を担うのがIDaaSです。

国内の制度面でも、ID管理の記録を示せる体制の重要性は高まっています。2024年5月には、セキュリティ・クリアランス制度を設ける重要経済安保情報保護活用法が成立しました。能動的サイバー防御を導入するための法整備も進み、取引先のセキュリティ対策を確かめるSCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）について、経済産業省は2026年3月27日の構築方針の公表で、2026年度末頃の制度開始を目指すとしています（出典：SCS評価制度の構築方針の公表｜経済産業省）。誰がどの情報にアクセスできるかを管理し、その履歴を記録できるIDaaSのログ管理・監査機能は、こうした要求に応えるための土台になります。

参考：ゼロトラストセキュリティとは｜概念・原則・SaaS環境での実装方法

参考：IDaaSとは？ゼロトラスト時代のID管理 JBサービス

参考：重要経済安保情報保護活用法について｜内閣府

IDaaS導入のメリット

IDaaSを導入することで生まれる効果は、情シス担当者・従業員・経営層それぞれの立場で異なります。それぞれの視点で具体的に何が変わるかを整理します。

情シス担当者のメリット

最も直接的な効果は管理工数の削減です。SSO導入でパスワードリセット対応を減らせます。

SCIMで連携したSaaSでは入退社時のアカウント管理が自動化されるため、数十本のSaaSに手作業でアカウントを作成・削除する作業からも解放されます。さらにログが一元化されることで、監査対応やインシデント調査の作業量も大幅に短縮されます。

従業員のメリット

従業員にとっての主な恩恵は、パスワード疲れからの解放です。複数のSaaSに異なるパスワードを設定・管理することは認知負荷が高く、パスワードの使い回しという別のセキュリティリスクを生む原因にもなります。

SSOにより1つのIDで全サービスにアクセスできるようになると、業務開始のストレスが軽減され、生産性向上にもつながります。

経営・コンプライアンスのメリット

経営層やコンプライアンス担当者にとって重要なのは、退職者リスクの排除と監査対応の強化です。退職者のアカウントが残存している状態は情報漏洩や内部不正の温床になります。

SCIMで連携したSaaSでは退職日に合わせてアカウントの停止・削除を自動化できるため、削除漏れのリスクを仕組みで減らせます。また、アクセスログの一元管理によって、ISMS認証・SOX法対応・個人情報保護法対応における監査証跡の整備が格段に容易になります。

IDaaSのデメリット・リスクと対策

IDaaSには多くのメリットがある一方で、導入前に理解しておくべきリスクも存在します。4つのリスクとそれぞれの対策を確認しておきましょう。

単一障害点（SPOF）リスク

IDaaSに障害が発生した場合、連携している全SaaSへのアクセスが一時的に不能になるリスクがあります。IDaaSが認証の玄関口を一本化することの裏返しです。

主要なIDaaS製品は稼働率の目標や実績を公開しています。たとえばMicrosoftは、Entra IDの認証の可用性を月ごとに公表しており、2026年1〜9月はいずれも99.999%でした。緊急時用のオフライン認証バックアップや、基幹システムへの直接アクセス手順を事前に整備しておくことで、実質的なリスクを最小化できます。

参考：Microsoft Entra ID のサービス レベル アグリーメントのパフォーマンス｜Microsoft Learn

全SaaSに対応できないケース

SAML 2.0やOpenID Connectに対応していない古いシステムやオンプレミスアプリケーションは、IDaaSとのSSO連携ができない場合があります。

導入前に利用中の全SaaSとシステムの対応状況を棚卸しすることが必要です。SaaS管理ツールの選び方を活用してSaaSを可視化した上で、優先度の高いものから段階的に連携していくアプローチが現実的です。

導入・移行コスト

IDaaSの導入にはライセンス費用・設定作業・従業員への教育コストが発生します。ユーザー数に応じた月額課金が一般的で、規模によっては想定以上のコストになることもあります。

段階的な移行アプローチをとり、まず利用頻度の高いGoogle Workspace・Microsoft 365・Slackとの連携から始めることで、初期コストを抑えながら効果を実感しやすくなります。

認証情報漏洩時の影響拡大

IDaaSのIDとパスワードが漏洩した場合、連携している全SaaSへの不正アクセスが可能になるリスクがあります。

MFAを必須化することで、パスワード単体での不正アクセスを防ぐことが最も効果的な対策です。近年ではフィッシング耐性の高いFIDO2（パスキー）認証の採用も広がっており、セキュリティをさらに高められます。

認証情報の漏洩は、すでに多くの企業で起きています。ジョーシスが日経225構成企業とそのグループ企業を対象に行った調査（2026年6月公表）では、225社のうち217社（96.4%）で過去3年間に情報漏洩が確認され、168社（74.6%）では認証基盤や顧客管理アプリなどの認証情報を含む深刻な漏洩が確認されました。ダークウェブなどで流通していた情報を集計したもので、無効化済みの情報が含まれる可能性はあります。それでも、IDaaSのIDが一度は漏れるものとして、MFAの必須化と漏洩の定期的な確認を組み合わせておくことが現実的です。確認の手順は認証情報の漏洩を確認する方法にまとめています。

参考：日経225構成企業の情報漏洩に関する調査｜ジョーシス

自社にIDaaSが必要か判断するチェックリスト

導入すべきかどうか迷っている情シス担当者に向けて、判断基準を7項目にまとめました。3項目以上に該当する場合は、IDaaSの導入を本格的に検討することをお勧めします。

☐ 従業員数が100名以上である

☐ 利用しているSaaSが20種類以上ある

☐ リモートワーク・複数拠点での勤務がある

☐ 入退社時のアカウント処理に1時間以上かかっている

☐ 退職者アカウントの棚卸しを定期的に実施していない

☐ ISMSの取得済み、または取得を予定している

☐ ゼロトラストへの移行を検討している

特に「退職者アカウントの棚卸しを定期的に実施していない」と「SaaSが20種類以上ある」の2点に該当する場合は、セキュリティリスクの観点から優先度を高く設定することをお勧めします。

3項目以上該当した方は、Josysの無料デモで実際の削減効果を確認してみてください。

無料デモを申し込む

主要IDaaS製品の概要

IDaaSには多様な製品があり、企業の規模・既存環境・予算によって最適な選択肢が異なります。代表的な7製品の特徴を概観します。

Microsoft Entra IDはMicrosoft 365・Azure環境との親和性が非常に高く、Windowsデバイス管理とのシームレスな統合が強みです。すでにMicrosoft環境を使っている企業にとって、追加コストを抑えながら高機能なIDaaSを導入できる有力な選択肢です。

Okta は8,000以上の事前構築済みの連携を持ち、グローバルでのデファクトスタンダード的な存在です。マルチクラウド・マルチSaaS環境での高度なID管理が必要な大企業や、グローバル展開する企業に特に適しています。

GMOトラスト・ログイン は国産IDaaSで、日本語でのサポートを受けやすい製品です。無料トライアルが用意されており、自社のSaaSと連携できるかを試してから導入を判断できます。

Google Cloud IdentityはGoogle Workspaceを中心に利用している企業向けの選択肢です。Googleエコシステムとの連携がシームレスなほか、Chromebookとの組み合わせでデバイス管理も一元化できます。

OneLoginはSCIM対応の幅広さが強みで、多数のSaaSを利用する企業でのプロビジョニング自動化に優れています。マルチクラウド環境での統合管理を重視する企業に向いています。

Gluegent GateはオンプレミスのActive Directoryとの共存・連携に強みを持つ国産製品です。完全なクラウド移行が難しく、オンプレシステムが残存している日本企業に適した選択肢として評価されています。

IIJ IDサービス は国内大手通信系のIDaaSで、日本語でのサポート体制が特徴です。

各製品の詳細な比較・選定についてはIdPとは｜認証の仕組み・SPとの違いと8製品比較をご参照ください。中堅企業が料金や既存環境との相性から製品を絞り込む手順は、IDaaS比較｜中堅企業の選び方と主要製品で解説しています。

参考：IDaaS（ID管理システム）比較｜ミツモア

参考：Microsoft Entra ID とは｜Microsoft Learn

参考：Okta Workforce Identity

参考：GMOトラスト・ログイン（各種機能）

参考：Google Cloud Identity

参考：OneLogin SSO

参考：Gluegent Gate（サイオステクノロジー）

参考：IIJ IDサービス

IDaaSとJosysを組み合わせると何が変わるか

IDaaSを導入しただけでは、企業のSaaS管理課題がすべて解決するわけではありません。IDaaSとJosysを組み合わせることで、より包括的なIT管理基盤が構築できます。

IDaaSは認証とプロビジョニングを担います。具体的には、誰がどのSaaSにどんな権限でアクセスできるかを管理する役割です。Josysは、企業内の認証情報を統合管理するAI駆動のアイデンティティセキュリティ基盤で、ITデバイスとSaaSの統合管理を出発点に、どのSaaSが使われているか、何ライセンスが使われているか、シャドーITはないかを把握し、退職者IDの放置や余剰ライセンスの是正までを支援します。

この2つを組み合わせることで、以下のような統合管理サイクルが実現します。

1. JosysのSaaS Discoveryで、ログインやブラウザ活動からシャドーITを含むSaaSの利用状況を把握する
2. IDaaSでプロビジョニングを設定し、SCIMに対応したSaaSから順に連携する
3. Josysで未使用ライセンスと過剰な権限を洗い出し、コストとリスクを減らす
4. IDaaSのSCIM連携とJosysのAccess Automationで、連携しているSaaSの退職者アカウントの停止・削除を自動化し、連携外のSaaSは手作業の手順で補う
5. Josysで棚卸しを続け、新しく使われ始めたSaaSを早く見つける

IDaaSが認証・権限の深さを管理し、Josysが利用中のSaaSの広さを管理するイメージです。具体的な連携の設定例は、IDaaS × SaaS管理ツール連携｜Entra ID・OktaとJosysで実現する一気通貫管理で紹介しています。

関連記事：シャドーITとは？BYODとの違い・具体例と対策

関連記事：SaaS管理とは？機能・メリットと選び方を解説

よくある質問

IDaaSの検討を始めた情シス担当者から、よく寄せられる質問をまとめました。

Q1. IDaaSの読み方は何ですか

「アイダース」または「アイディーアース」と読みます。Identity as a Serviceの略で、ID管理・認証・アクセス制御をクラウドサービスとして提供する形態を指します。

Q2. SSOとIDaaSは何が違いますか

SSOは1回の認証で複数のサービスにログインできるようにする機能で、IDaaSが持つ機能の1つです。IDaaSはSSOに加えて、多要素認証、SCIMによるアカウントの自動作成・削除、アクセス管理、ログ監査をまとめて提供します。SSOだけでは、退職者の各SaaS側のアカウントは残ります。

Q3. IDaaSの製品はどう比較すればよいですか

まず、すでに使っている基盤（Microsoft 365かGoogle Workspaceか）と、利用中のSaaSがSAMLやSCIMに対応しているかを確かめます。そのうえで、日本語サポート、料金体系、オンプレミスのActive Directoryとの併用の要否で候補を絞ると判断しやすくなります。

まとめ

IDaaSはSSOの上位概念です。SSOはIDaaSが持つ機能のひとつにすぎず、IDaaSはSSO・MFA・SCIMプロビジョニング・アクセス管理・ログ監査を統合したクラウド型ID管理基盤を指します。

導入価値は3つの軸で整理できます。ゼロトラストセキュリティの実現、入退社アカウント管理の自動化、そしてISMS・SOX法への対応です。重要経済安保情報保護活用法の成立や能動的サイバー防御の法整備、SCS評価制度の運用開始に向けた動きもあり、ID管理の記録を示せる体制づくりは制度対応の面でも重要になっています。

中堅企業での導入検討の目安は、SaaS20種類以上かつ従業員100名超のタイミングです。この規模を超えると、手作業によるID管理の限界が具体的なコスト・リスクとして現れてきます。冒頭の早見表と、記事後半のチェックリストで自社の状況を確認してみてください。

IDaaSだけで情シスの課題がすべて解決するわけではありません。認証・プロビジョニングを担うIDaaSと、利用中のSaaSの把握や退職者IDの是正を担うJosysを組み合わせることが、現代の情シスにとって現実的な最適解です。

JosysとIDaaSの連携でどこまで管理工数を削減できるか、まずは資料と無料デモで確認してください。

資料ダウンロード：5分でわかるジョーシス

無料デモを申し込む