ID管理システム開発の発注/外注/依頼/委託方法について

ID管理システムの発注・外注は、認証機能だけを買うのではなく、誰のIDをどのシステムへどの権限で連携し、入社・異動・退職時にどう管理するかまで決めてから委託先を選ぶことが重要です。

本記事では、ID管理システムの発注形態、RFPと要件整理、契約形態、2026年時点の費用相場、委託先の選び方、見積書の比較方法を、従業員向けIDと顧客向けIDの違いにも触れながら解説します。すでにExcelや個別システムでIDを管理している企業が、無理なく外注計画を立てるための実務的な進め方を確認できます。

▼全体ガイドの記事
・ID管理システム開発の完全ガイド

ID管理システムの発注・外注を始める前に

ID管理システムの外注では、製品名や月額料金から比較を始めると、導入後に連携開発や運用設計の不足が分かりやすくなります。先に管理対象、解決したい業務、既存システムとの接続条件を整理すると、必要な発注範囲と見積条件がそろいます。

従業員、派遣社員、取引先などの利用者を管理する仕組みはWorkforce IAM、顧客や会員を管理する仕組みはCIAMと呼ばれます。管理者の強い権限を対象にする場合はPAM、権限申請や定期レビューまで扱う場合はIGAの検討が必要です。対象を混ぜると、顧客向けの大量アクセス対策と従業員の退職即時停止が同じ要件になり、RFPが不明確になります。

人事システム、Active Directory、LDAP、Microsoft 365、Google Workspace、業務SaaS、VPN、オンプレミスアプリごとに、IDの正のマスター、認証方式、管理者、権限、退職時の停止方法、ログの保管期間を書き出します。使われていないアカウント、共有アカウント、委託先の期限切れIDも対象にすると、導入効果と移行工数を現実的に見積もれます。

ID管理システムの発注形態はどれを選びますか？

発注形態は、クラウドIDaaSを自社で設定する方法、製品の導入支援をSIerへ委託する方法、設計から運用までマネージドサービスへ任せる方法、特殊要件だけを自社開発する方法に分けて考えられます。従業員のSSOやMFAを早く整えたい場合は、標準機能を活用し、独自開発を最小限にする選択が現実的です。

Microsoft Entra ID、Okta、HENNGE OneなどのクラウドIDaaSを契約し、情シスがテナント設定やSAML連携を進める方法です。初期費用を抑えやすく、標準プロトコルに対応したSaaSから段階的に始められます。一方で、人事データの整形、SCIMやAPI連携、例外的なオンプレミスアプリの接続、障害時の運用設計を自社だけで担えるか確認が必要です。

SIerや導入支援会社へ、現状調査、製品選定、基本設計、連携設定、データ移行、テスト、教育をまとめて依頼する方法です。自社にIAMの専門人材が少ない場合でも、既存ADや人事システムを含めて設計しやすい点が強みです。発注時は「製品を販売する会社」と「第三者製品も比較して設計できる会社」を分けて確認し、特定製品だけを前提にした提案になっていないか見極めます。

24時間の監視、アカウント申請の受付、ログ確認、定期アクセスレビュー、障害時の一次対応まで外部へ委託する方法です。少人数の情シスや複数会社を抱える企業では、導入後の定常業務を減らせる可能性があります。月額料金だけで判断せず、対応時間、対象範囲、緊急時の連絡経路、作業記録、契約終了時の設定情報とデータの返却方法を契約書に明記します。

ID管理システムの発注・外注はどの順番で進めますか？

発注は、現状調査、要件整理、RFP配布、提案比較、契約、PoC、設計・移行、段階リリース、運用引き継ぎの順で進めます。いきなり全社の認証を切り替えるのではなく、対象を絞った検証で、ログイン体験と連携の確実性を確認してから本番展開することが大切です。

最初に、利用者の種類、人数、所属、雇用区分、契約期間、利用アプリ、権限ロール、認証方式、管理者を一覧化します。入社をJoiner、異動をMover、退職や契約終了をLeaverとして、人事情報がいつID管理基盤へ届き、いつ権限へ反映されるかを確認します。特に退職者の即時停止、委託先の期限切れ、共有アカウント、サービス連携用の非人間IDを見落とすと、導入後も手作業が残ります。

MUSTには、退職時のアカウント停止、管理者へのMFA、SSO、認証ログ、管理者操作ログ、権限分離、人事マスターとの連携など、導入初日から欠かせない要件を置きます。WANTには、高度なリスク判定、追加の自動化、AIによる分析、複雑な属性ベース認可などを置きます。すべてを初回リリースへ詰め込むと、設計とテストが膨らみ、現場が使いこなせないためです。

Microsoft 365やGoogle Workspace、主要な業務SaaS、VPN、代表的なオンプレミスアプリから数本を選び、SSO、MFA、条件付きアクセス、プロビジョニング、ログ、障害時の迂回手段を検証します。新しいCIAMでは、日本精工が約半年のテストを経て段階移行を予定した事例があります（出典: Microsoft Customer Stories、日本精工の事例、2025年）。新製品や新しい連携方式ほど、提案書の機能一覧だけでなく、実際の業務データとサポート対応を確認します。

本番移行では、部門単位やアプリ単位で展開し、旧認証の停止日、問い合わせ窓口、利用者向け案内、ブレークグラス用管理者、バックアップ、手動復旧手順を決めます。導入会社から設計書、連携一覧、設定値、テスト結果、運用手順書を受け取り、自社が読める状態にします。導入後は、未使用IDの削除とアクセスレビューを定例化し、プロジェクト完了を「ログインできた日」ではなく「安全に運用できる日」と定義します。

RFP・要件整理では何を決めますか？

RFPは、会社へ「ID管理システムを作ってください」と伝えるだけの文書ではありません。対象範囲、現状課題、必須要件、連携方式、納品物、体制、スケジュール、見積の分け方、評価基準を同じ条件で提示し、提案と見積を比較できるようにする文書です。

従業員、派遣社員、取引先、顧客のどこまでを対象にするか、利用者数と増加見込み、国内外の拠点、対応言語、対象アプリ数を記載します。顧客IDであれば、会員登録、ソーシャルログイン、同意管理、退会・データ削除、パスワードリセット、大量アクセスのピークも必要です。従業員IDであれば、雇用区分、所属・役職、契約開始日・終了日、端末条件、管理者権限の承認者を明確にします。

認証連携はSAML 2.0、OpenID Connect、OAuth 2.0のどれを使うか、アカウント連携はSCIM、API、CSVのどれを使うかをアプリごとに整理します。社員番号やメールアドレスなどの一意キー、所属・役職・雇用区分・役割コードを定義し、人事システムを正のマスターにするのか、ディレクトリを基準にするのかを決めます。連携先の仕様が不明な場合は「対応予定」ではなく、検証方法と追加費用の扱いまでRFPに書きます。

要件定義書、基本設計書、連携仕様書、権限マトリクス、移行計画、テスト計画と結果、操作手順書、障害時の復旧手順、管理者教育を納品物として記載します。テストには正常ログインだけでなく、退職即時停止、異動後の権限変更、MFA再登録、同期失敗、認証基盤停止、管理者アカウントのロックを含めます。ログの保管期間、監査用レポート、サポート時間、サービスレベルも、提案書ではなく契約前に確認します。

ID管理システムの契約形態はどう選びますか？

ID管理システムでは、製品の利用契約と、導入・連携・運用を委託する契約が別になることが多いです。作業の不確実性が高い要件定義と、成果物が明確な設計・設定を同じ契約条件にせず、フェーズごとに責任と検収を整理すると、追加費用や品質の認識違いを抑えられます。

現状調査、課題整理、製品比較、ワークショップ、基本方針の策定は、企業ごとに前提が異なり、作業時間や論点を完全に固定しにくい領域です。そのため、専門家の助言や作業時間に対価を払う準委任契約が適する場合があります。作業時間だけでなく、会議回数、参加者、調査対象、作成する成果物、報告の形式を明確にしておくことが大切です。

要件と成果物が固まり、連携設定、データ移行、テスト環境の構築など完成条件を定義できる作業は、請負契約の対象として比較しやすくなります。ただし、認証基盤の切替では、相手先アプリの仕様変更やデータ不備など発注者だけでは制御できない要因があります。請負にする場合でも、前提条件、対象外作業、仕様変更時の手続き、検収基準、瑕疵対応の範囲を契約書と仕様書に分けて記載します。

運用監視やアカウント申請を委託する場合は、月額の対象作業、対応時間、問い合わせ件数の上限、インシデント連絡、定例報告、アクセスレビューの頻度をサービス仕様書へ落とします。IDaaSのライセンスは年契約や最低契約額が設定されることがあるため、利用者の増減、休職者や外部利用者のカウント、オプション、更新時の価格改定を確認します。契約終了時に、設定情報、ログ、監査証跡、ユーザーデータをどの形式で返却し、他製品へ移行できるかも発注前に確認します。

ID管理システムの費用相場とコストの内訳

ID管理システムの総費用は、ライセンス、初期アセスメント、要件定義・設計、連携開発、データクレンジングと移行、教育、運用監視、ログ保管に分かれます。公開ライセンス価格は比較の起点になりますが、連携本数と既存データの状態で導入費が大きく変わるため、以下の金額は見積り前提を置いた目安として扱います。

2026年8月に公式価格ページを確認したところ、Microsoft Entra ID P1はユーザーあたり月額899円相当の年払い、Okta Workforce IdentityはStarterが月額940円から、Essentialsが月額2,670円から、HENNGE One Identity Editionは月額300円からと案内されています（出典: Microsoft、Okta、HENNGEの各公式価格ページ、2026年8月確認）。100人で単純計算すると、ライセンスだけで月3万円台から27万円程度、年36万円台から324万円程度の幅になります。既存のMicrosoft 365に含まれるプランや最低契約数、オプションで変わるため、二重契約の確認が必要です。

50〜150人、SaaSが5〜15個、標準設定と数本のSAML連携、MFA・SSO中心であれば、初期費用は50万〜250万円程度、期間は1〜2か月が一つの推定目安です。200〜1,000人で、AD・人事システム・SaaSが20〜100個、Joiner/Mover/Leaverの自動化や段階移行を含む場合は、初期300万〜1,000万円程度、期間3〜6か月程度と見積もるケースがあります。

複数会社、海外拠点、IGAやPAM、CIAM、複雑な基幹連携、24時間運用まで含める大規模案件では、初期1,000万〜5,000万円以上、期間6〜18か月程度の推定レンジになります。富士通の公式価格ページでは、ID管理の課題整理とToBe像の提示を行う統合認証アセスメントが150万円からと公開されています（出典: 富士通「LDAP Manager 価格」、2026年8月確認）。これらは公的な一律相場ではなく、公開価格と一般的な連携・移行工数からの試算です。

ランニングコストには、IDaaSの月額または年額、運用監視、ヘルプデスク、ログ保管、追加アプリの連携、ユーザー増加、端末交換、証明書更新、教育、監査対応が含まれます。初期費用が安くても、アプリ追加が都度高額で、設定を自社へ返してもらえない契約では、数年後のTCOが膨らみます。3年程度の利用期間を仮置きし、初期費用と毎年の費用、更新・移行費を合算して比較します。

委託先の選定と見積比較で確認するポイント

委託先は、製品の機能だけでなく、認証・認可・IDライフサイクル・監査を一つの運用として設計できるかで比較します。提案内容を同じ前提で比べるため、RFPの評価項目を先に決め、価格だけでなく実績、体制、標準化、サポート、契約終了時の移行性を総合評価します。

「ID管理の実績があります」という説明だけでなく、利用者数、対象アプリ数、ADや人事システムとの連携、移行期間、運用体制、障害対応を匿名化した範囲で確認します。J:COMの事例では、4つの基幹システムの認証をOktaへ統合し、認証・ログ機能の開発期間が従来の5〜6か月から2〜3か月になり、認証関連の運用工数が月20数時間程度からほぼゼロになったと紹介されています（出典: Okta公式顧客事例、2026年8月確認）。一社の事例であり自社の相場ではありませんが、期間と運用効果を具体的に質問する材料になります。

見積書は、アセスメント、要件定義、基本設計、テナント設定、アプリ連携、SCIM・API開発、データクレンジング、移行、テスト、教育、運用設計、保守に分けてもらいます。連携本数、ユーザー数、環境数、移行データ件数、会議回数、期間、担当者数が記載されているかを確認します。「一式」だけの行が多い場合は、何が含まれ、何が追加費用になるか質問します。

サービス提供者の障害と、導入会社が設定した連携の不具合をどこへ連絡するか、一次切り分けを誰が行うか、緊急時にどの時間帯で対応するかを確認します。MFAの認証情報、管理者アカウント、ログ、バックアップ、特権操作の記録を誰が閲覧できるかも重要です。個人情報を扱う場合は、委託先の再委託、保管場所、アクセス制御、漏えい時の報告、契約終了後の消去を確認します。IPAの中小企業向け情報セキュリティ対策ガイドライン第4.0版も、最新環境を踏まえた実践的な対策を示しています（出典: IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版」、2026年）。

SAML、OIDC、OAuth、SCIM、FIDO2・WebAuthnなどの標準を使い、独自仕様への依存を必要最小限にします。提案時には、他製品へ移行する場合のユーザー属性、グループ、権限、監査ログの持ち出し方法、設定書の所有者、APIやエクスポート機能の有無を聞きます。契約期間中の価格改定、最低利用数、解約予告、データ削除証明、支援会社を変えるときの引き継ぎ費用まで確認すると、安価な初年度料金だけに引っ張られにくくなります。

よくある質問（FAQ）

ID管理システムの発注では、製品を買うべきか、自社開発すべきか、どの範囲を外注すべきかで迷いやすくなります。ここでは、初期検討で特に質問されやすい点を、費用と実装範囲を分けて回答します。

SSO、MFA、標準的なライフサイクル管理であれば、既製のIDaaSを導入し、設計・連携・移行を外注する方法が一般的に検討しやすいです。顧客固有の認可や会員体験が差別化要件であっても、認証・パスワード保管・MFAの中核は既製基盤を使い、独自開発は業務ロジックに限定する方が、脆弱性対応と規格変更の負担を抑えやすくなります。

50〜150人で、SaaSが5〜15個、標準的なSSO・MFAと数本の連携に絞る場合、初期50万〜250万円程度、期間1〜2か月程度という推定レンジがあります。ライセンスは製品と既存契約で異なり、初期設定、データ整理、運用設計、教育、ログ保管は別費用になることがあります。実際の見積では、対象アプリ数と人事連携の有無を伝え、ライセンスと導入作業を分けて提示してもらいます。

相談できますが、最初から本番導入の一括見積を依頼するより、現状調査やアセスメントを小さな契約として依頼する方が適しています。対象ユーザー、困っている業務、既存システムの一覧、想定時期、予算の上限だけでも共有すると、発注先が調査範囲と次の成果物を提案しやすくなります。調査後にMUSTとWANTを固め、同じRFPで複数社へ声をかけます。

月額ライセンスだけを比較し、連携開発、データクレンジング、運用監視、ログ保管、教育、将来のアプリ追加を見落とすことです。また、退職即時停止や権限レビューを要件に入れず、SSOだけ導入して手作業を残す失敗も起こります。提案段階で例外処理、障害時の迂回、契約終了時のデータ返却まで質問し、納品物と検収基準に反映します。

まとめ

ID管理システムの発注・外注では、まず従業員ID、顧客ID、特権IDを分け、利用者・アプリ・権限・認証方式・退職時処理を棚卸しします。そのうえで、クラウドIDaaSの標準導入、SIerへの設計・移行委託、マネージドサービス、限定的な自社開発を、自社の運用体制と要件で選びます。

RFPにはMUSTとWANT、正のマスター、SAML・OIDC・SCIM・APIの連携条件、ログと監査、PoCの合格基準、納品物、責任分界を記載します。見積はライセンスと初期導入費を分け、連携・移行・教育・運用・将来の変更を含むTCOで比べます。価格の安さだけでなく、同規模の実績、障害時の支援、設定情報とデータの返却、ベンダーロックインの回避を評価することが、長く使える発注につながります。

次の一歩は、現在使っているIDとアプリの一覧を作り、退職者や委託先のアカウント停止が何日で行われているかを確認することです。現状が見えたら、対象を絞ったアセスメントやPoCを依頼し、3社程度から同じ条件で提案と見積を取得します。ID管理は一度導入して終わるものではないため、アクセスレビューと運用改善まで含めて委託先と計画してください。

▼全体ガイドの記事
・ID管理システム開発の完全ガイド

会社紹介

株式会社riplaでは、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを、構想策定・要件定義から開発・改善まで一気通貫で支援。事業会社でIT・DXを経験したプロフェッショナルによる高い要件定義力・システム設計力を活かし、事業成果の最大化に伴走します。

また、当社独自の開発テンプレート「Boxシリーズ」による標準機能の高速開発と、AI駆動開発の独自フレームワーク「GoDD」による独自機能のAI実装を組み合わせることで、低コスト・短期間で開発を実現いたします。

もし、システム開発やプロダクト開発に関するご要望がございましたら、お気軽にお問い合わせください。

株式会社riplaの会社HPはこちら

・サービス概要資料のURLはこちら >>>
・お問合せページのURLはこちら >>>
・お役立ち資料のURLはこちら >>>

執筆者プロフィール

張田谷凌央

株式会社ripla 代表取締役CEOとして、システムパッケージ活用、システム開発、データ分析、生成AI活用、SaaS開発、アプリ開発、EC構築など、幅広い領域で企業のDX推進と事業成長を支援している。事業会社でIT・DXを経験したプロフェッショナルが集う株式会社riplaにおいて、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを構想策定・要件定義から開発・改善まで一気通貫で支援し、単なるシステム納品にとどまらず、クライアントと同じ目線で事業成果の最大化に向けた伴走支援を行う。早稲田大学卒業後、ラクスル株式会社、LINEヤフー株式会社にて事業開発やDX推進などに従事した後、株式会社riplaを創業。