Keycloakのシステム開発の完全ガイド - ブログ

Keycloakのシステムとは、Webアプリや業務システム、スマートフォンアプリ、APIの認証・認可を一元化し、SSOと安全な権限管理を実現する認証基盤です。OSSで利用を始められますが、実際の費用と成否はアプリ連携、ユーザー移行、可用性、運用体制まで含めて決まります。

この記事では、Keycloakでできること、OIDCとSAMLの使い分け、構成の種類、PoCから本番稼働までの進め方、2026年時点の費用相場、開発会社やベンダーを選ぶときの確認事項をまとめます。最後まで読むと、自社のシステム構成に必要な要件を整理し、見積もりやRFP（提案依頼書）に落とし込める状態を目指せます。

Keycloakとは何ですか？

Keycloakは、利用者の本人確認と、ログイン後に何を許可するかをまとめて扱うIAM（Identity and Access Management）です。各アプリケーションがパスワードを直接管理するのではなく、Keycloakへ認証を委譲し、発行されたトークンを使って利用者や権限を確認する構成が基本です。

認証と認可を一元化できます

認証は「誰であるか」を確認する処理で、認可は「何をしてよいか」を判断する処理です。Keycloakでは、ユーザー、グループ、ロール、スコープを組み合わせて、管理者だけが設定画面を開ける、取引先ユーザーは自社データだけを参照できる、といったルールを設計できます。アプリごとにログイン画面やパスワードリセットを実装する必要が減るため、認証機能の重複実装を抑えやすくなります。

SSOとトークン連携が中心です

利用者がアプリにアクセスすると、アプリはKeycloakへリダイレクトし、ログイン後に認証結果を受け取ります。ブラウザー向けにはIDトークンやアクセストークン、API向けには有効期限や権限情報を含むアクセストークンを使い分けます。この流れによって、一度のログインで複数サービスを利用できるSSOを実現できますが、リダイレクトURI、トークンの有効期限、ログアウト、署名検証を誤ると脆弱性につながるため、標準仕様に沿って設計することが重要です。

対応できるシステムの範囲

対象は社内ポータルや業務システムだけではありません。顧客向けWebサービス、スマートフォンアプリ、API、社内外のSaaS、LDAPやActive Directoryと接続した既存のユーザー管理にも適用できます。MFA、WebAuthn、パスキー、外部IdPとのIdentity Brokering、イベントログ、管理者コンソールも利用できます。ただし、Keycloakを導入しただけで業務の権限設計や個人情報保護への対応が完了するわけではありません。業務ルール、アプリの実装、ログの監視、障害時の手順まで含めて認証基盤システムとして設計します。

Keycloakのシステム全体像と主要機能

Keycloakの構成は、利用者が操作するアプリ、認証を担うKeycloak、ユーザー情報を保持するデータベース、既存のディレクトリ、外部IdP、監視・ログ基盤から成り立ちます。小規模な検証では1台で始められますが、本番ではロードバランサーやWAFの背後に複数台を配置し、外部RDB、バックアップ、監視を組み合わせる設計が一般的です。

OIDCとSAMLの使い分け

OIDC（OpenID Connect）はOAuth 2.0を基盤にした認証仕様で、Webアプリ、スマートフォンアプリ、APIなど新しいサービスとの連携に向いています。SAMLは企業向けSaaSや既存の社内サービスで広く使われてきた仕様で、XML形式のアサーションを用いてSSOを実現します。新規のアプリやAPIはOIDCを第一候補にし、既存サービスがSAMLに対応している場合は無理に置き換えず、Keycloakで両方を受ける設計が現実的です。

ユーザーフェデレーションと外部IdP連携

すでに社内ディレクトリや顧客データベースがある場合、すべてのユーザーを一度にKeycloakへコピーする必要はありません。LDAPやActive Directoryとのフェデレーションで認証元を維持しながら、属性のマッピングやグループ情報の取り込みを検証できます。外部の認証サービスをIdentity Brokeringでつなぐ場合も、メールアドレスや従業員番号などの一意キーを決め、同一人物のアカウントが重複しないルールを先に設計します。

ロール、MFA、監査ログ

ロールとグループを使うと、役職や所属、契約先、利用サービスに応じた権限をトークンへ反映できます。MFAやWebAuthn、パスキーはアカウント乗っ取り対策の強化に役立ち、ログイン失敗、設定変更、ユーザー作成などのイベントは監査ログとして扱えます。ログを保存するだけでなく、誰がいつどの操作をしたかを検索できる期間、アラート条件、個人情報を含むログのマスキング方針まで決めることが本番運用のポイントです。

Keycloakの種類と導入方式はどれを選ぶべきですか？

結論として、検証や小規模な社内SSOならコミュニティ版を自社環境で運用する方式が候補になります。一方、停止できない顧客向け基盤や厳格なサポート要件がある場合は、商用サポート付きのディストリビューション、構築支援、24時間運用を組み合わせて比較することが重要です。方式の違いはソフトウェアの機能だけでなく、障害対応とアップグレードの責任分界に表れます。

コミュニティ版を自社運用する方式

コミュニティ版はライセンス費用を抑えやすく、コンテナ、仮想マシン、Kubernetesなど自社に合う環境へ配置できます。テーマやSPIで拡張できる自由度も魅力ですが、脆弱性情報の確認、パッチ適用、バックアップ、監視、復旧訓練、バージョンアップの回帰テストを自社で担います。「無料だから安い」と判断せず、担当者の工数と夜間休日の対応費まで含めてTCO（総保有コスト）を算定します。

商用サポート付きの方式

商用サポート付きの方式では、対応するバージョン、Javaやデータベースなどのサポート構成、セキュリティ修正、問い合わせ窓口を契約条件として確認できます。26.x系の商用ディストリビューションでは、メジャーリリースとマイナーリリースでサポート期間や機能追加の扱いが異なり、プレビューAPIや非公開APIには互換性保証がないとされています（出典: 商用Keycloakディストリビューションのライフサイクル・サポート方針、2026年）。本番で利用する機能は、サポート対象か、将来のアップグレードで残るかを契約前に確認します。

KeycloakとIDaaSを役割分担する方式

すべてをKeycloakへ集約する必要はありません。従業員のライフサイクル管理は既存のIDaaSやディレクトリに任せ、顧客向けの多テナント認証や細かなアプリ権限をKeycloakで担うなど、役割分担も選択肢です。複数基盤を組み合わせる場合は、ユーザーの正本、アカウント停止の反映時間、属性の優先順位、障害時の代替経路を決めないと、同一人物の重複や退職者の利用継続が起こりやすくなります。

Keycloakのシステム開発の進め方

Keycloak開発は、サーバーを起動してログイン画面を表示すれば終わりではありません。対象アプリ、ユーザーの正本、認証方式、権限、非機能要件、移行方法、運用担当を順番に決めます。最初から全社一斉に切り替えず、代表アプリで難所を検証してから段階的に広げると、手戻りとログイン停止のリスクを抑えられます。

▶ 詳細はこちら：Keycloakのシステム開発の進め方/やり方/流れや方法/手法/工程/手順

現状調査とPoC

最初に、対象アプリ数、利用者数、同時ログイン数、ピーク時の認証回数、ログイン方式、LDAPや既存データベースの有無、個人情報の項目、必要な稼働率を棚卸しします。PoCでは代表的なWebアプリとAPIを1〜2本選び、OIDCまたはSAMLのログイン、ログアウト、トークン更新、権限エラー、MFA、ユーザー移行の一連の流れを確認します。特に本番で問題になりやすいリダイレクトURI、CORS、セッションタイムアウト、メール送信を先に試します。

基本設計とアプリ連携

基本設計では、レルムを分ける単位、クライアント、ロール、グループ、トークンのクレーム、セッション、テーマ、メール、秘密情報、監査ログを定義します。レルムを増やしすぎると設定と運用が分散し、1つに集約しすぎるとテナント間の境界を誤りやすくなります。企業単位の権限を扱う場合は、テナント識別子をどこで検証し、APIが他社データを返さないことをどうテストするかまで決めます。

HA、セキュリティ、運用設計

本番環境では、Keycloakを複数台にし、ロードバランサー、外部RDB、バックアップ、監視、ログ保管、秘密情報管理を組み合わせます。複数AZで冗長化する場合は、データベース、ネットワーク、メール、外部IdP、ログ基盤まで障害点を洗い出し、復旧目標時間（RTO）と復旧時点（RPO）を定義します。バックアップは取得設定だけでなく、実際にリストアしてログインと権限が戻ることを定期的に確認します。

ユーザー移行、テスト、段階リリース

ユーザー移行では、IDの重複、メールアドレス変更、属性の欠損、退職者や休眠アカウント、パスワードのハッシュ方式を確認します。既存パスワードをそのまま移せない場合は、初回ログイン時のパスワード再設定や段階的な移行を検討します。テストでは正常系だけでなく、期限切れトークン、署名不一致、権限昇格、ブルートフォース、CSRF、誤ったリダイレクト、障害時の切り戻しを確認し、非重要アプリから本番へ段階的に移行します。

Keycloakの費用相場とコストの内訳

Keycloakには一律のライセンス価格がないため、ソフトウェア費用だけで判断できません。初期費用には要件定義、設計、Keycloak構築、アプリ改修、ユーザー移行、テスト、ドキュメント作成が含まれ、月額費用にはクラウド、データベース、監視、バックアップ、保守、脆弱性対応が含まれます。以下の金額はKeycloak単体ではなく、業務システムの認証基盤として必要な作業を含めた2026年時点の概算です。

▶ 詳細はこちら：Keycloakのシステム開発の見積相場や費用/コスト/値段について

規模別の初期費用と期間

PoCや検証で1〜2アプリをOIDC接続する場合は、初期費用100万〜300万円、期間1〜2か月が目安です。3〜10アプリの社内SSOでLDAPやAD、MFA、監査ログ、バックアップまで整備する場合は、300万〜800万円、2〜4か月程度を見込みます。顧客向けの多テナント基盤でユーザー移行、API連携、HAを含める場合は800万〜2,000万円、4〜8か月程度、大規模・金融・公共レベルで厳格な監査やDR、24時間運用まで含める場合は2,000万〜5,000万円以上、6〜12か月以上になる可能性があります。

この金額は、PM90万〜150万円、SE65万〜110万円、PG50万〜90万円、テスター45万〜80万円という業務システム開発の人月単価を参照し、Keycloakの構築と周辺作業を組み合わせた試算です（出典: 業務システム開発の公開相場とKeycloak構成要素をもとにした試算、2026年）。アプリが10本ある場合、サーバー設定よりも各アプリの改修、結合テスト、利用部門との受入確認が費用を押し上げやすい点に注意します。

クラウド、保守、アップグレードの費用

月額費用は、小規模なら5万〜20万円、BtoBやHA構成なら20万〜80万円、大規模で24時間監視やDRまで含めるなら50万〜200万円以上が一つの目安です。これはKeycloakの実行環境、外部RDB、ロードバランサー、WAF、ログ、バックアップ、通信量、監視を合算したレンジです。クラウドRDBはインスタンス時間だけでなく、ストレージ、I/O、バックアップ、データ転送、冗長構成で変動し、Multi-AZでは可用性とデータ耐久性を高める一方で課金対象が増えます（出典: クラウドRDB公式料金表、2026年）。

保守費用は初期開発費の年15〜25％を仮置きし、クラウド実費とは分けて見積もります。保守範囲には、問い合わせ対応だけでなく、CVEの影響調査、パッチ適用、回帰テスト、バックアップ確認、障害復旧、バージョンアップ計画を含めるか確認します。平日日中だけの対応か、夜間休日を含むか、復旧目標時間は何時間かで月額は大きく変わります。

Keycloakの開発会社・ベンダーの選び方

Keycloakの選定では、管理画面を触った経験だけでなく、認証方式、既存ユーザー移行、アプリ改修、コンテナ、データベース、監視、障害対応を一つのシステムとして設計できるかを見ます。認証基盤は停止すると複数の業務が同時に使えなくなるため、初期構築の安さだけでなく、運用の再現性と責任分界を比較します。

実績と対応範囲を確認します

実績を確認するときは、「Keycloakを使ったことがあるか」だけで終わらせません。OIDCとSAMLの混在、LDAPや既存DBとの連携、多テナント、APIのサービス間認証、ユーザー移行、複数AZ、監査ログの設計をどこまで担当したかを聞きます。公開できる事例が限られる場合は、匿名化した構成図、テスト項目、障害時の対応例、納品ドキュメントのサンプルで実力を確認します。

RFPと見積書に含める項目

RFPには、対象アプリ数、利用者数、ピーク時の同時ログイン、OIDCまたはSAMLの別、LDAPや既存DBの有無、MFA、パスキー、テナント数、目標稼働率、RTO・RPO、監査ログの保存期間、ユーザー移行件数、希望する切替時期を記載します。見積書は要件定義、基本設計、Keycloak構築、アプリ改修、移行、テスト、クラウド、運用設計、保守を分け、何が含まれないかも明記してもらいます。

CVE、アップグレード、引き継ぎの品質

確認したい質問は、対応バージョン、CVEの影響調査と通知の時間、パッチ適用の手順、アップグレード時の回帰テスト、障害時の連絡経路、保守時間、ソースコード・IaC・設定一覧・構成図・運用手順の引き渡しです。特にカスタムSPIやテーマを多用すると、アップグレード時に作り直しが必要になることがあります。標準機能を優先し、拡張が必要な箇所には理由と将来の撤去条件を残します。

▶ 詳細はこちら：Keycloakのシステム開発でおすすめの開発会社/ベンダー6選と選び方

▶ 詳細はこちら：Keycloakのシステム開発の発注/外注/依頼/委託方法について

Keycloakのシステム開発でよくある質問

Keycloakは自由度が高い一方、無料性、移行、セキュリティ、運用について誤解が生まれやすい製品です。ここでは、導入前に特に質問されやすい点を簡潔に整理します。

Keycloakは無料で使えますか？

コミュニティ版はソフトウェアのライセンス費用を抑えて利用できますが、システム全体が無料になるわけではありません。クラウド、RDB、WAF、監視、バックアップ、構築、アプリ改修、CVE対応、障害復旧の費用が発生するため、初期費用と月額費用、社内運用工数を合算して判断します。

既存ユーザーのパスワードは移行できますか？

移行できるかどうかは、現在のパスワードハッシュ方式、ソルト、ユーザー属性、既存システムの仕様によって決まります。直接移行できない場合は、初回ログイン時に再設定を求める方式や、旧認証を一時的に参照して成功時にKeycloakへ移す方式を検討します。移行前に重複アカウント、休眠ユーザー、退職者、メールアドレス変更者を整理し、件数とエラー時の扱いを決めます。

Keycloakだけで個人情報保護法に対応できますか？

Keycloakだけで法令対応が完了するわけではありません。個人情報保護委員会のガイドラインは、個人データを扱う情報システムについて、識別に基づくアクセス制御、権限の最小化、無権限アクセスの防止、アクセス制御機能の有効性検証などを例示しています（出典: 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」、2026年）。Keycloakは認証や権限管理の実装部品になりますが、業務権限、ログ分析、脆弱性管理、委託先管理、インシデント対応まで自社の管理策として整備します。

2026年時点の新機能をすぐ本番利用すべきですか？

すぐに本番利用するのではなく、正式サポートの対象か、プレビューや実験的機能ではないかを確認します。2026年のKeycloak 26.7.0では、SCIM API、外部キャッシュに依存しないマルチクラスターHA、SAMLクライアントのステップアップ認証などが新たに案内されていますが、SCIMやマルチクラスターHAはプレビューとして扱われています（出典: Keycloak公式リリースノート、2026年）。採用する場合は、仕様変更、互換性、撤去時の代替策をPoCと運用計画に含めます。

Keycloakのシステム開発完全ガイドまとめ

Keycloakは、OIDCやSAMLによるSSO、LDAPや外部IdPとの連携、ロールやグループによる認可、MFA、監査ログをまとめて扱える認証基盤です。OSSで始められることは大きな利点ですが、アプリ改修、ユーザー移行、HA、監視、脆弱性対応、アップグレードまで含めて初めて本番で使えるシステムになります。

費用と進め方の要点

費用は、PoCで100万〜300万円、小規模社内SSOで300万〜800万円、BtoB向けで800万〜2,000万円、大規模・厳格な要件で2,000万〜5,000万円以上が概算の目安です。実際の見積もりでは、アプリ数、利用者数、ピーク認証数、接続方式、ユーザー移行件数、可用性、運用時間を前提条件として分けます。まず代表アプリでPoCを行い、難所と責任分界を確認してから、段階的に本番へ広げる進め方が適しています。

最初に整理する6項目

導入を検討するときは、(1)対象アプリ数、(2)利用者数とピーク時の同時ログイン、(3)OIDC・SAML・LDAPなどの接続方式、(4)ユーザー移行の有無と件数、(5)必要な稼働率・RTO・RPO、(6)脆弱性対応と障害対応を担う運用体制を整理します。この6項目がそろうと、Keycloakを自社運用するのか、商用サポートや開発会社を組み合わせるのか、費用の比較軸が明確になります。