IDaaS開発の発注/外注/依頼/委託方法について

IDaaS開発の発注・外注・依頼・委託は、認証サービスを契約するだけでは完了せず、利用者情報の正本、既存ADや人事システムとの連携、退職時の停止、障害時の業務継続までを決めてから委託先を選ぶことが成功の近道です。

本記事では、IDaaSを自社で構築・導入するときの発注形態、RFPと要件整理、契約形態、費用相場、委託先の選定、見積書の比較方法を、社内情シスが少人数の企業でも使える順序で解説します。標準SaaSで済む範囲と個別開発が必要な範囲を切り分け、導入後に運用できる計画へ落とし込むことが目的です。

▼全体ガイドの記事
・IDaaS開発の完全ガイド

IDaaS発注・外注の全体像を理解します

IDaaSは、従業員や業務委託先のIDを一元管理し、SaaSや社内システムへの認証・認可を提供する基盤です。SSOやMFAだけを導入するように見えても、実際の発注では「誰を利用者とするか」「どのシステムへ、どの条件でアクセスさせるか」「いつアカウントを止めるか」を業務ルールとして定義する必要があります。

IDaaSの外注範囲には、製品の初期設定、SAMLやOpenID Connectによるアプリ連携、Active Directory・Microsoft Entra ID・人事システムとの同期、ユーザー属性の設計、MFAの展開、移行、テスト、操作教育、運用監視などがあります。特に難しいのは、アカウントを作る処理よりも、入社・異動・退職の情報をどのシステムから受け取り、どの権限へ反映するかを決める部分です。

自社で決めるべきなのは、対象ユーザー、重要アプリ、許容する認証方法、退職者アカウントを停止する目標時間、監査ログの保管期間、障害時の業務継続方針です。ベンダーやSIerへ任せられるのは、製品の実装方法、連携設定、移行手順、テスト設計、ドキュメント作成です。ここを混同すると、委託先が便利な機能を提案しても、社内の責任者が承認できない状態になります。

今回の発注対象が社内業務用であれば、Workforce IAMとして従業員、派遣社員、業務委託先、取引先の利用者を管理します。ECサイトの会員やサービス利用者を認証するCIAMは、個人情報、登録・退会、アクセス集中、顧客サポートなどの要件が異なるため、同じIDaaSという言葉だけで見積もりを依頼してはいけません。RFPの冒頭で対象を明記すると、製品ベンダーと開発会社の提案条件がそろいやすくなります。

IDaaSの発注形態はどのように選びますか？

結論から言うと、最初は標準SaaSの導入支援を基本にし、既存環境との連携や運用設計だけを専門会社へ委託する形が比較的進めやすいです。独自開発は、標準機能やAPIでは満たせない要件が明確になった場合に限り、認証・可用性・脆弱性対応を含む長期運用費まで比較して選びます。

標準SaaS型は、SSO、MFA、条件付きアクセス、ログ確認などがサービスとして提供され、クラウド側のアップデートや基盤運用を自社だけで抱えずに済みます。Microsoft 365を中心に使っている企業はMicrosoft Entra ID、国内SaaSやメール・ファイル利用をまとめて考える企業はHENNGE One、国内サポートや端末証明書を重視する企業はCloudGate UNOやGMOトラスト・ログインなどを候補にできます。ただし、製品の候補と導入を担うSIerは別に選べる場合があるため、製品名だけで発注先を決めないことが重要です。

オンプレミスのActive Directory、LDAP、人事マスタ、社内Webシステムが残っている場合は、IDaaSを導入しても自動的にすべてがつながるわけではありません。標準コネクタ、SCIM、API、エージェント、SAML、OIDC、フォーム認証のどれを使うかを、システムごとに決めます。発注時は「連携できるか」だけでなく、属性の変換、エラー時の再実行、停止処理、ログの追跡、ネットワーク制約を見積書へ含めることが大切です。

独自認証基盤をスクラッチ開発すると、特殊な端末、閉域網、既存設備、独自の認証保証レベルなどに合わせやすくなります。一方で、パスワード保管、認証プロトコル、秘密鍵、MFA、管理者アカウント、脆弱性修正、冗長化、災害復旧、監査ログを継続して維持する責任が自社と委託先に残ります。初期費用が安く見えるからという理由だけで選ばず、標準SaaSでは解決できない要件を一覧化してから判断します。

RFPと要件整理はどのように進めますか？

RFPは、製品の機能一覧を並べる資料ではなく、自社の業務課題と委託範囲を同じ条件で比較するための依頼書です。利用者数やアプリ数だけでは見積もりがぶれるため、認証の正本、ユーザー属性、連携方式、移行対象、運用分担、成果物、受入条件を記載します。最初から完璧な仕様書を作るのではなく、MUSTとWANTを分けて提案会社の質問を受けながら精度を上げます。

棚卸しでは、従業員だけでなく派遣社員、業務委託先、共有アカウント、管理者アカウントを分けて数えます。アプリごとに利用部署、重要度、現在の認証方式、SAML・OIDC・SCIMの対応可否、利用停止時の影響、保有データの機密度を記録します。特に「退職者の停止を誰が、どの情報を基に、何分以内に行うか」が不明な企業は、製品比較より先に業務フローを整理した方が、発注後の追加費用を抑えやすくなります。

人事システムを入社・異動・退職の正本にするのか、ADやEntra IDを正本にするのかを決めます。複数の台帳を人手で更新する設計を残すと、退職者の停止漏れや部署異動後の権限残存が発生しやすくなります。RFPには、入社前の仮登録、異動日の権限切替、退職日の停止、再雇用や休職、委託先の契約終了、例外申請の扱いまでを書き、SCIMやAPIを使う場合は連携方向と失敗時の通知先も確認します。

本番移行前に、代表ユーザー20〜50人、重要度の異なる3〜5アプリ、社内外の端末、通常利用と異常系を含むパイロットを行います。SSOでログインできることだけでなく、MFAの再登録、端末紛失、アカウントロック、属性変更、連携エラー、IdP障害、緊急用アカウントによる復旧まで検証します。受入条件には、テストケースの合格、未解決障害の扱い、操作マニュアル、運用引継ぎ、ログ確認方法を含めます。

契約形態と委託先は何を基準に選びますか？

IDaaSの契約は、SaaS利用契約、導入・連携支援契約、運用保守契約の三つに分けて考えると比較しやすくなります。ひとつの会社にまとめて依頼する場合でも、どこまでが製品料金で、どこからが設定・開発・運用費なのかを明細化します。委託先には、実装力だけでなく、認証情報を扱う作業体制、障害時の連絡、再委託、契約終了時のデータ返却まで確認します。

要件調査、製品選定、現状分析、運用設計のように、専門家の知見や作業時間を提供してもらいながら内容を調整する工程は、準委任契約が適する場合があります。反対に、決めた仕様に基づく連携プログラム、移行ツール、設定書、テスト結果など、完成を確認できる成果物を納品してもらう工程は請負契約が比較対象になります。実際には工程ごとに契約を分けることもあるため、契約類型の名称だけでなく、責任範囲、検収条件、変更管理を確認します。

製品ベンダーはロードマップ、標準機能、サービスの可用性、サポート、価格体系に強みがあります。導入支援会社やSIerは、既存システム調査、要件定義、連携設計、移行、教育、運用代行を担うことが多いです。候補会社へは「同規模でAD・人事連携を行った事例」「標準機能と個別開発の切り分け」「障害時に誰が一次対応するか」「担当者が交代した場合の引継ぎ」を質問し、営業資料ではなく実行体制を見極めます。

IDaaSの委託先が管理者画面や個人情報へアクセスする場合、作業者の権限、MFA、操作ログ、作業承認、接続元制限、秘密情報の保管方法を確認します。IPAの「中小企業の情報セキュリティ対策ガイドライン第4.0版」でも、重要情報を委託先へ提供する際は、委託先の対策を考慮し、事故時に委託元の管理責任が問われ得ると説明されています（出典: IPA、2026年7月更新）。契約時には再委託先、データの保管地域、監査対応、インシデント通知、ログの返却・消去、解約後の移行支援を明記します。

IDaaS発注の費用相場と見積比較のポイントを解説します

IDaaSの費用は、ライセンス、初期設定、アプリ連携、IDデータ移行、運用設計、教育、保守を分けて見ます。以下の金額は公開ライセンス価格と一般的な連携工数、リサーチノートの調査結果をもとにした編集部推定であり、特定企業の確定見積ではありません。ユーザー数、アプリ数、既存ADの状態、休日切替、ログ要件、サポート時間で変動するため、レンジとして比較します。

2026年8月に公式サイトで確認した表示例では、Microsoft Entra ID P1が899円／ユーザー／月相当の年払い・税別、HENNGE One Identity Editionが300円〜／月、GMOトラスト・ログインのSSOプロ＋SaaS管理が500円／ID／月の税別・12か月契約です（出典: Microsoft、HENNGE、GMO各公式料金、2026年8月確認）。既存のMicrosoft 365契約への包含、最低契約ID数、年払い条件、オプション、代理店経由の価格で実額は変わります。したがって、単価だけでなく、対象ID数を掛けた年間費用と契約条件を並べます。

30〜100人でSaaSを3〜5個、既存の人事連携が少ない小規模導入なら、初期の導入・連携費は30万〜150万円程度、期間は1〜2か月が一つの目安です。100〜500人でSaaSが5〜15個、ADや人事連携、段階移行を含む中規模導入なら、100万〜500万円程度、2〜4か月程度を見込みます。500〜3,000人、多拠点、社内Web、多数の例外処理を含む場合は、500万〜1,500万円程度、4〜9か月程度まで広がる可能性があります。いずれも公開相場が統一されているわけではないため、個別見積の前提条件とセットで扱います。

見積比較では、初年度だけでなく3年間の総保有コストを確認します。ライセンス費、初期設定、連携開発、データ移行、追加アプリの登録、MFA端末や証明書、監視・ヘルプデスク、バージョンアップ対応、障害時の支援、契約更新費を同じ表へ記載します。例えば100人の場合、公開単価を単純計算した年間ライセンスはサービスごとに異なりますが、既存契約の包含条件や最低ID数があるため、単価×100だけで予算を確定してはいけません。

委託先の選定と見積比較で失敗しないポイントを紹介します

委託先は、価格の安さだけでなく、認証基盤を安全に移行して運用へ引き渡せるかで選びます。提案依頼は3〜5社程度へ同じRFPを渡し、質問への回答も全社へ共有すると、提案条件がそろいます。評価表には、要件適合、実績、担当体制、移行計画、セキュリティ、運用支援、費用、契約条件を置き、点数だけでは分からない懸念事項をコメントで残します。

「IDaaSの導入実績がある」という説明だけでは不十分です。自社と同じ規模の利用者、同じ認証方式、同じ既存AD、人事連携、委託先アカウント、複数拠点、古い業務システムのいずれを経験したのかを確認します。可能であれば、導入前に何が課題で、移行後に問い合わせや停止時間がどう変わったか、運用担当者が何を内製化できたかまで聞きます。HENNGEの公式事例では、日本ハムが100超のシステムをSSO化し、問い合わせを10分の1に削減した事例が紹介されていますが、同じ効果が自社で得られるかは利用アプリと運用条件で検証します。

見積書では、「環境構築一式」「連携一式」「移行支援一式」といった一式表記だけで判断しません。対象アプリ数、ユーザー数、属性項目、テストケース、会議回数、現地作業、休日対応、ドキュメント、教育、追加変更の単価を確認します。安い提案に見えても、要件定義、受入テスト、切戻し、運用設計、障害対応が除外されていれば、後から追加費用や社内負担が発生します。逆に高い提案でも、運用移管や監査資料まで含むなら、3年TCOでは合理的な場合があります。

SSOを集約すると、IdPの停止や管理者アカウントの侵害が複数システムへ波及する可能性があります。委託先には、緊急用のブレークグラスアカウント、別経路の管理者認証、バックアップ、ログ監視、ベンダー障害時の連絡、直接ログインへ戻す切戻し手順を提案してもらいます。MFAやパスワードレスは安全性を高める重要な手段ですが、利用者の再登録や端末紛失に対応できなければ、業務停止やサポート負荷につながります。

本人確認、認証器、認証プロトコル、フェデレーションなどの技術要件を整理したNIST SP 800-63-4は、2025年8月1日に公開された最新のデジタルアイデンティティ指針です（出典: NIST、2025年）。日本企業の法的義務を直接定めるものではありませんが、認証強度や連携方式を検討するときの技術的な参照資料になります。国内では、業種のガイドライン、個人情報の委託先管理、契約上のデータ所在を合わせて確認します。

よくある質問

IDaaSの発注では、費用や製品機能だけでなく、既存環境との接続と導入後の責任分担について質問が寄せられます。ここでは、委託先へ相談する前に確認しておきたい代表的な疑問へ回答します。

一律の最低額はありません。公開ライセンスだけなら1ユーザーあたり月数百円から1,000円前後の例がありますが、最低契約ID数や年契約があり、初期設定・連携・移行・教育は別費用になる場合があります。小規模の標準導入でも、導入・連携費は30万〜150万円程度を一つの検討レンジとし、対象アプリと作業範囲を明記して複数社へ見積もりを依頼します。

導入できる可能性はありますが、同期方式、認証の正本、ネットワーク経路、属性の対応関係を事前に確認します。ADを残したままクラウドIdPと連携する構成、Entra IDを中心に段階移行する構成、人事システムを正本にする構成などがあり、社内の運用ルールで適切な方式が変わります。RFPにはADのバージョン、ドメイン構成、グループ数、同期対象、停止時の扱いを記載します。

一般的な従業員向け認証であれば、標準SaaSを採用し、要件定義・連携・移行・運用設計を外注する方法が検討しやすいです。自社開発は、標準機能で対応できない特殊要件があり、認証技術、セキュリティ、可用性、脆弱性対応、24時間運用まで担える体制がある場合に限って比較します。開発費だけでなく、3年から5年の保守・監査・障害対応の費用と人材を含めて判断します。

利用者一覧、アプリ一覧、現行の認証方式、AD・人事システムの構成、対象範囲、MUSTとWANT、移行希望時期、運用体制、セキュリティ条件、予算レンジを渡します。資料がそろわない場合は、現状調査と要件定義を第一工程として見積もり、調査後に本導入の再見積もりを行う進め方もあります。最初から「一式」で依頼せず、調査、設計、設定、連携、テスト、移行、教育、運用引継ぎの工程ごとに提案してもらいます。

まとめ

IDaaS開発の発注・外注では、製品の価格やSSOの機能だけを比較せず、利用者の範囲、認証の正本、AD・人事連携、入社・異動・退職のライフサイクル、障害時の切戻し、運用責任までを先に整理します。標準SaaSを基本にし、個別開発が必要な部分だけを切り出すと、費用とリスクの見通しを立てやすくなります。

発注前は、対象ユーザーとアプリの棚卸し、MUST・WANTの区分、認証の正本、連携方式、MFAと条件付きアクセス、PoCの範囲、受入条件、契約形態、ライセンスと初期費用の分離、3年TCO、委託先の作業権限、再委託、データ返却、障害対応を確認します。見積額の大小だけでなく、「その金額でどの成果物と運用状態まで到達するのか」を説明できる会社を選びます。

IDaaSの価値は、ログインが一度で済むことだけではありません。退職者の停止漏れを減らし、権限を定期的に見直し、認証ログを監査へ活用し、情シスがアカウント管理に費やす時間を減らせるかで評価します。委託先と運用KPI、定例レビュー、障害訓練、契約更新の判断基準まで決めておくと、導入後も安全性と業務効率の両方を改善しやすくなります。

▼全体ガイドの記事
・IDaaS開発の完全ガイド

会社紹介

株式会社riplaでは、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを、構想策定・要件定義から開発・改善まで一気通貫で支援。事業会社でIT・DXを経験したプロフェッショナルによる高い要件定義力・システム設計力を活かし、事業成果の最大化に伴走します。

また、当社独自の開発テンプレート「Boxシリーズ」による標準機能の高速開発と、AI駆動開発の独自フレームワーク「GoDD」による独自機能のAI実装を組み合わせることで、低コスト・短期間で開発を実現いたします。

もし、システム開発やプロダクト開発に関するご要望がございましたら、お気軽にお問い合わせください。

株式会社riplaの会社HPはこちら

・サービス概要資料のURLはこちら >>>
・お問合せページのURLはこちら >>>
・お役立ち資料のURLはこちら >>>

執筆者プロフィール

張田谷凌央

株式会社ripla 代表取締役CEOとして、システムパッケージ活用、システム開発、データ分析、生成AI活用、SaaS開発、アプリ開発、EC構築など、幅広い領域で企業のDX推進と事業成長を支援している。事業会社でIT・DXを経験したプロフェッショナルが集う株式会社riplaにおいて、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを構想策定・要件定義から開発・改善まで一気通貫で支援し、単なるシステム納品にとどまらず、クライアントと同じ目線で事業成果の最大化に向けた伴走支援を行う。早稲田大学卒業後、ラクスル株式会社、LINEヤフー株式会社にて事業開発やDX推進などに従事した後、株式会社riplaを創業。