Keycloakのシステム開発の発注/外注/依頼/委託方法について

Keycloakのシステム開発を発注・外注するなら、Keycloak本体の構築費だけでなく、既存アプリの認証連携、ユーザー移行、可用性、監視、脆弱性対応まで含めて要件化することが重要です。OSSであるためライセンス費用を抑えやすい一方、認証基盤を安全に運用するための設計・改修・保守費用が発生します。

本記事では、Keycloakのシステム開発を外注するときの発注形態の選び方、RFPや要件の整理方法、契約形態、費用相場、委託先の選定基準、見積書の比較ポイントを順に解説します。社内SSOから顧客向けBtoB認証基盤まで、発注前に確認すべき論点を具体化できます。

▼全体ガイドの記事
・Keycloakのシステム開発の完全ガイド

Keycloakのシステム開発を外注する前に知るべき全体像

Keycloakは、Webアプリ、スマートフォンアプリ、API、社内業務システムなどに認証・認可を提供するOSSのIAM・IdPです。アプリごとにログイン処理やパスワードリセットを実装する代わりに、Keycloakへ認証を委譲し、OIDCやSAMLを介してユーザー情報と権限を連携します。発注時は「Keycloakをインストールする案件」ではなく、「認証基盤を業務で使える状態にする案件」と定義することが大切です。

一般的には、現状調査、認証方式の設計、レルム・クライアント・ロールの設定、Keycloakの実行環境構築、データベース連携、アプリ側の改修、ユーザー移行、テスト、監視、バックアップ、運用手順書の作成までが対象になります。LDAPやActive Directoryと連携する場合は属性マッピングや退職者の無効化も必要です。顧客向けサービスなら、テナント単位の権限、メール送信、問い合わせ時のアカウント照会、個人情報のログ出力制御も含めて確認します。

Keycloakのソフトウェアライセンス費用を抑えられても、サーバーやRDB、ロードバランサー、WAF、ログ基盤、バックアップなどのインフラ費用は必要です。さらに、認証を組み込む各アプリの改修、既存ユーザーの移行、障害対応、CVEの影響確認、バージョンアップの回帰テストには専門的な工数がかかります。無料という言葉をライセンスだけに限定し、導入費・運用費・将来の更新費を分けて考えると、発注先にも正確な見積もりを依頼できます。

Keycloakの発注形態はどれを選ぶべきですか？

発注形態は、内製、自社クラウドでの構築を支援してもらう形、Keycloakに強いSI会社へ一括委託する形、Red Hatの商用サブスクリプションを使う形、IDaaSとKeycloakを組み合わせる形に分けて検討できます。最適解は、社内のJava・コンテナ・ネットワーク運用力、対象アプリ数、障害時の責任者、監査要件によって変わります。まず「誰が設計判断をし、誰が24時間の復旧を担うのか」を決めます。

認証基盤を運用するエンジニアがいて、対象アプリが少なく、社内の標準クラウドやKubernetes基盤を流用できるなら、自社構築に外部レビューを加える方式が選択肢になります。PoCや小規模な社内SSOでは、外部の専門会社に設計レビュー、セキュリティテスト、切り替え支援だけを依頼すると費用を抑えやすくなります。ただし、本番障害や脆弱性の一次対応まで外注先に期待するなら、支援範囲を契約書に明記します。

既存アプリが複数あり、LDAP・SAML・OIDCが混在し、ユーザー移行やHA、監査ログまで必要なら、認証基盤とアプリ連携を一括して管理できるSI会社への委託が現実的です。Keycloakの設定経験だけでなく、ネットワーク、RDB、コンテナ、アプリ改修、テスト、運用設計を一つのプロジェクトとして扱える会社を選びます。発注者側には、業務部門の権限承認者と各アプリの責任者を置き、外注先任せにしない体制が必要です。

OpenShiftやRHELをすでに採用し、製品サポートやライフサイクルを重視する場合は、Red Hat build of Keycloakを比較します。Red Hatの公式情報では、同製品のエンタイトルメントはRed Hat Runtimes、Red Hat Application Foundations、OpenShift Container Platformなどのサブスクリプションに含まれると説明されています。新規に契約する場合は、Keycloak単体の価格だと決めつけず、既存契約への追加条件と構築SIの費用を確認します。

運用をできるだけ軽くしたい場合は、IDaaSで社員認証を担い、Keycloakを顧客向けや特殊な認可だけに使うハイブリッドも検討できます。ただし、IDaaSとKeycloakの間でユーザー属性、MFA、ログアウト、障害時の挙動が分かれるため、連携点が増えて安くなるとは限りません。機能比較ではなく、必要な運用責任と移行難易度を含む総額で判断します。

Keycloakの発注・外注はどのように進めますか？

発注は、現状調査、要件整理、RFP配布、提案比較、PoC、契約、設計・実装、移行、段階リリース、保守引き継ぎの順で進めると失敗を抑えられます。最初から全社のログインを切り替えるのではなく、代表的なWebアプリとAPIで認証方式、権限、ログアウト、障害時の切り戻しを検証してから本番範囲を広げます。

発注前に、対象アプリ数と種類、利用者数、ピーク時の同時認証数、社内ユーザーか顧客ユーザーか、既存のLDAP・Active Directory・外部IdP、OIDCとSAMLの利用箇所、MFAやパスキーの要否を整理します。加えて、レルムやテナントの単位、管理者の権限、ロールとグループの定義、ユーザー属性、パスワード移行の可否、退職者や契約終了者の無効化方法を決めます。

非機能要件では、稼働時間、目標復旧時間、目標復旧時点、ログ保存期間、監査ログへのアクセス権、バックアップ頻度、複数AZの要否、障害通知の時間帯、脆弱性の評価とパッチ適用期限を明記します。Keycloak公式の対応構成では、OpenJDK 17・21・25やPostgreSQL 14〜18など、確認時点のサポート範囲が示されていますが、実際の採用バージョンは組み合わせごとに検証が必要です（出典: Keycloak公式「Supported Configurations」、2026年8月確認）。この確認をもとに採用バージョンを決めます。

RFPでは、背景と目的、対象範囲、現行構成、利用者とアプリの一覧、認証・認可の方式、ユーザー移行、求めるSLA、セキュリティ要件、納品物、希望スケジュール、予算の考え方を示します。特に「Keycloak構築一式」とだけ書くと、アプリ改修や移行が別料金になり、会社ごとの見積条件がそろいません。要件定義、Keycloak設定、インフラ、アプリ改修、テスト、移行、教育、保守を分けた見積書を求めます。

提案依頼には、対応するKeycloakのバージョン、標準機能とカスタムSPIの範囲、採用DB、バックアップと復旧方法、IaCやCI/CDの有無、ログの保存先、CVE発生時の連絡と修正方針、ソースコード・設定・手順書の引き渡し条件も含めます。ベンダーには、類似案件の規模、担当範囲、失敗時の切り戻し、ユーザー移行の実績を匿名化できる範囲で説明してもらいます。

PoCでは、代表アプリを1〜2本選び、OIDCまたはSAMLログイン、トークン更新、ログアウト、MFA、権限エラー、管理者操作、LDAP属性のマッピングを確認します。実装の見栄えだけでなく、ユーザーが無効化されたときに既存セッションをどう扱うか、Keycloakが停止したときにアプリが何を表示するかまで検証します。顧客向けなら、利用規約同意、メール認証、アカウント重複、問い合わせ窓口による本人確認もPoCに含めます。

本番では、非重要アプリ、限定ユーザー、業務部門の順に段階導入し、各段階で認証成功率、レスポンスタイム、トークンエラー、問い合わせ数、監査ログの欠落を確認します。切り替え前に旧ログインへ戻す手順と、DNSやリダイレクトURIを含むロールバック手順をリハーサルします。Keycloak 26.7.0ではSCIM APIがプレビューとして提供されていますが、プレビュー機能は将来の互換性やサポート範囲を確認してから本番採用を判断します（出典: Keycloak公式「Release Notes 26.7.0」、2026年7月）。本番利用前にサポート範囲を確定します。

Keycloakの外注で選ぶ契約形態と責任分界

Keycloak案件では、要件が固まっている工程と、検証しながら決める工程で適した契約が異なります。契約形態だけでなく、成果物の定義、検収条件、変更手続き、障害対応、知的財産、再委託、秘密情報の管理をセットで確認します。認証基盤は障害の影響が大きいため、開発完了後の保守契約まで見通して発注します。

要件、対象アプリ、認証方式、納品物、テスト基準が明確な構築・移行工程では、請負契約で成果物と検収条件を定めやすくなります。たとえば、設計書、構築済み環境、設定ファイル、テスト結果、移行手順、運用手順書を納品物として列挙します。請負だから変更費用が発生しないわけではないため、アプリ追加、属性変更、MFA方式変更、対象環境追加などの変更単位と見積もり方法を合意します。

現状調査、要件定義、PoC、アーキテクチャ検討、運用設計のように、調査結果によって作業内容が変わる工程では、準委任契約で専門家の稼働を確保する方法が向いています。時間単価や月額の稼働枠だけでなく、会議体、成果報告、設計レビュー、課題管理、対応時間を定義します。準委任でも成果が不要になるわけではなく、調査報告書や設計方針など、期待するアウトプットを合意しておくと評価しやすくなります。

Keycloak本体の障害、クラウドやRDBの障害、アプリ側の設定ミス、ユーザー属性の不整合、外部IdPの障害を、どの窓口が切り分けるかを表にして契約書や運用設計書へ反映します。重大度ごとの受付時間、一次回答、暫定復旧、恒久対応、エスカレーション、休日対応の有無も必要です。パスワードやクライアントシークレットを外注先が扱う場合は、保管方法、アクセス記録、返却・削除、担当者変更時の権限剥奪まで定めます。

Red Hat版を使う場合も、製品サポートが構築・運用代行まで含むとは限りません。Red Hatのライフサイクル情報では、26.xの主要リリースについて一定期間のフルサポートとメンテナンスサポートが説明されていますが、実際の契約範囲や対象構成はサブスクリプションとサポートポリシーで確認します（出典: Red Hat Customer Portal「Red Hat build of Keycloak Life Cycle and Support Policies」、2026年8月確認）。委託先には、製品窓口とSI窓口の切り分けを説明してもらいます。

Keycloakのシステム開発費用相場とコストの内訳

Keycloakの開発費用に公式の一律価格表はありません。以下は2025〜2026年の国内受託開発における人月単価と、Keycloak導入で一般的に発生する工程を組み合わせた概算レンジです。Keycloak単体のライセンス価格ではなく、要件定義、アプリ改修、クラウド構築、移行、テスト、運用設計を含む場合の目安であり、利用者数だけで金額を決めないことが重要です。

PoCや検証環境で、1〜2アプリにOIDC接続し、基本ロールを確認する規模なら、初期費用は100万〜300万円、期間は1〜2か月程度が一つの目安です。3〜10アプリの社内SSOで、LDAP・AD連携、MFA、監査ログ、バックアップまで含める場合は、初期費用300万〜800万円、期間2〜4か月程度が目安になります。

BtoBの顧客向け基盤で、多テナント、ユーザー移行、OIDC・SAML混在、API連携、HA構成まで含める場合は、800万〜2,000万円、4〜8か月程度が目安です。金融・公共などで複数AZ、DR、厳格な監査、24時間運用、複数環境を求める場合は、2,000万〜5,000万円以上、6〜12か月以上になる可能性があります。これらは案件条件から置いたレンジであり、公式価格ではありません（出典: 本記事のリサーチノートに記載された2025〜2026年の国内業務システム受託開発相場データ）。このレンジを起点に個別見積もりを依頼します。

費用を大きく左右するのは、Keycloakのインストールよりも周辺作業です。要件定義では権限表と認証フローを作り、設計ではレルム、クライアント、トークンクレーム、セッション、メール、秘密情報、監査ログを決めます。開発ではアプリごとにOIDCやSAMLのライブラリを組み込み、リダイレクトURI、トークン検証、ログアウト、エラー画面、権限不足時の挙動を修正します。アプリが10本あれば、連携方式が同じでもテストと調整は10本分必要です。

インフラではKeycloakのコンピュート、外部RDB、ロードバランサー、WAF、ログ、監視、バックアップ、通信量が対象になります。AWS RDS for PostgreSQLをMulti-AZで使うと、別のアベイラビリティゾーンに待機系が配置され、障害時の自動フェイルオーバーを利用できますが、インスタンス、ストレージ、I/O、バックアップなどの課金要素が増えます（出典: AWS「Amazon RDS for PostgreSQL Pricing」、2026年8月確認）。月額は「数万円〜」とだけ出さず、リージョン、インスタンスタイプ、AZ、ログ保存期間、通信量を前提に再計算します。

運用費は、クラウド実費に加えて、監視、障害対応、脆弱性確認、パッチ適用、アップグレード検証、バックアップ復元テスト、問い合わせ対応を含めて見積もります。国内の業務システム受託開発では、保守費用を初期開発費の年15〜25％程度と置くケースがありますが、これは人員や対応時間によって変わる目安です。コミュニティ版を採用する場合は、CVEの影響判定と修正の責任が自社または委託先にあることを契約で確認します。

Keycloak 26.xでは、26.5でOpenTelemetryによるログ・メトリクス・トレースの活用が進み、26.7ではSCIM APIやマルチクラスターHAのプレビュー機能が追加されています。新機能を使うほど便利になるとは限らず、supported、preview、experimentalの区分、アップグレード時の互換性、カスタムSPIやテーマの修正工数を確認します。将来の更新費用を初期見積もりから除外しないことが、OSS導入の重要なポイントです。

Keycloakの委託先選定と見積比較のポイント

委託先は、Keycloakを設定できる会社ではなく、認証基盤を継続運用できる会社として選びます。公開事例の有無だけでなく、OIDC・SAML、LDAP・AD、Java、コンテナ、Kubernetes、RDB、WAF、監視、ユーザー移行、セキュリティテスト、24時間対応のどこまで自社で担えるかを確認します。候補企業には同一のRFPを渡し、同じ前提で提案と見積もりを受けます。

「Keycloakを使ったことがありますか」だけでは不十分です。「本番のKeycloakのバージョンと構成は何か」「アプリは何本、利用者は何人、ピーク時の認証数はどの程度だったか」「OIDCとSAMLをどう使い分けたか」「ユーザー移行で何が課題になったか」「障害時にどの順番で復旧するか」を質問します。回答が製品機能の説明だけでなく、設計判断、テスト観点、運用手順まで具体的なら、実務経験を評価しやすくなります。

カスタムSPI、テーマ、独自アダプターを提案された場合は、標準機能で代替できない理由とアップグレード影響を確認します。独自実装は自由度が上がる反面、担当者が変わったときの引き継ぎと、次のメジャーバージョンでの修正費用が発生します。ソースコード、ビルド方法、テストコード、IaC、設定値一覧、運用手順が納品されるかも選定評価に含めます。

見積書は、要件定義、基本設計、詳細設計、Keycloak構築、アプリ改修、インフラ、ユーザー移行、テスト、リリース、ドキュメント、教育、保守に分けてもらいます。さらに、含むアプリ数、環境数、ユーザー移行件数、テストケース数、会議回数、納期、担当者の役割を確認します。「一式」の金額が安くても、アプリ改修や移行が別途なら総額は変わります。

比較では、価格だけでなく、提案範囲、前提条件、除外事項、追加時の単価、納品物、体制、スケジュール、品質保証、保守SLAを並べます。最も安い会社ではなく、費用の根拠と不確実な部分を説明できる会社を選ぶと、後からの追加請求や責任の押し付けを防ぎやすくなります。相見積もりは3社程度から始め、各社の提案に同じ質問を返して条件をそろえます。

Keycloakは認証と認可の実装部品であり、導入すれば法令対応やセキュリティ対策が完了するわけではありません。個人情報保護委員会のガイドラインが示すアクセス制御、アクセス者の識別・認証、外部からの不正アクセス防止、漏えい防止などの観点を、自社のリスクに合わせて設計します。委託先には、最小権限、管理者MFA、秘密情報の保管、ログのマスキング、アカウント棚卸し、インシデント対応を提案してもらいます。

運用提案では、監視項目を「サーバーが生きているか」だけにせず、認証成功率、トークン発行エラー、外部IdP連携、RDB接続、ディスク容量、証明書期限、管理者操作、異常なログイン試行まで含めます。復旧訓練、バックアップ復元、証明書更新、Keycloakのマイナー・メジャーアップグレードを年間計画に入れ、委託先が対応する範囲と社内承認が必要な範囲を明確にします。

よくある質問

Keycloakの発注では、ライセンス、費用、技術選定、保守の責任について疑問が生じやすくなります。ここでは、発注前に特に多い質問へ直接回答します。

不要ではありません。OSSのライセンス費用を抑えられても、要件定義、環境構築、アプリ改修、ユーザー移行、テスト、クラウド、監視、脆弱性対応、保守の費用が発生します。ライセンス費、初期構築費、クラウド費、保守費を分けて見積もり、無料という言葉がどの範囲を指すか確認します。

PoCなら100万〜300万円、小規模な社内SSOなら300万〜800万円、BtoBの顧客向け認証基盤なら800万〜2,000万円、大規模・金融・公共案件なら2,000万〜5,000万円以上が概算レンジです。これはKeycloak単体の料金ではなく、対象アプリ数、移行、HA、テスト、インフラ、保守を含めた前提付きの目安です。RFPで範囲をそろえ、複数社の内訳を比較してから予算を確定します。

Keycloakの設定だけでなく、OIDC・SAML、LDAP・AD、アプリ改修、クラウド、RDB、コンテナ、セキュリティテスト、ユーザー移行、保守まで経験している会社を選びます。候補には、本番バージョン、類似規模、障害対応、CVE対応、納品物、カスタムSPIの方針を質問します。公開価格がない企業も多いため、ランキングではなく同じRFPによる提案の適合性と見積の透明性を比べます。

移行方法は、既存DBのパスワードハッシュ方式、ユーザー属性、本人確認の状況によって変わります。ハッシュを安全に引き継げる場合、初回ログイン時に段階移行する場合、パスワード再設定を求める場合があり、すべてのケースで無条件に移せるわけではありません。重複アカウント、無効ユーザー、退職者、テナント所属、同意情報を事前に洗い出し、移行リハーサルと戻し方を含めて見積もります。

まとめ

Keycloakのシステム開発を発注・外注するときは、Keycloak本体の構築ではなく、認証基盤を安全に継続利用するための業務全体を委託範囲として整理します。発注形態は、社内の運用力、対象アプリ数、ユーザー移行、可用性、監査要件から選び、まず代表アプリでPoCを行います。

対象アプリ、認証方式、ユーザー移行、可用性、監査、保守範囲をRFPへ書き、要件定義やアプリ改修を「一式」に隠さないことが重要です。納品物と責任分界を先にそろえることで、複数社の見積もりを同じ条件で比較できます。

認証基盤はリリースして終わりではなく、CVE対応、バックアップ復元、証明書更新、バージョンアップ、障害訓練が続きます。初期費用だけでなく、年間の保守体制と社内への引き継ぎを含めて委託先を選ぶと、長期的な総保有コストを見通しやすくなります。

RFPには、OIDC・SAML、LDAP・AD、ユーザーと権限、アプリ改修、非機能要件、バックアップ、監視、CVE対応、納品物、保守SLAを書きます。費用はPoCで100万〜300万円、小規模社内SSOで300万〜800万円、BtoB基盤で800万〜2,000万円、大規模案件で2,000万〜5,000万円以上という概算を起点にし、必ず対象範囲と前提をそろえて再見積もりします。価格の安さだけでなく、アプリ・移行・運用まで責任を持てる委託先かを確認することが、発注後の手戻りを減らします。

▼全体ガイドの記事
・Keycloakのシステム開発の完全ガイド

会社紹介

株式会社riplaでは、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを、構想策定・要件定義から開発・改善まで一気通貫で支援。事業会社でIT・DXを経験したプロフェッショナルによる高い要件定義力・システム設計力を活かし、事業成果の最大化に伴走します。

また、当社独自の開発テンプレート「Boxシリーズ」による標準機能の高速開発と、AI駆動開発の独自フレームワーク「GoDD」による独自機能のAI実装を組み合わせることで、低コスト・短期間で開発を実現いたします。

もし、システム開発やプロダクト開発に関するご要望がございましたら、お気軽にお問い合わせください。

株式会社riplaの会社HPはこちら

・サービス概要資料のURLはこちら >>>
・お問合せページのURLはこちら >>>
・お役立ち資料のURLはこちら >>>

執筆者プロフィール

張田谷凌央

株式会社ripla 代表取締役CEOとして、システムパッケージ活用、システム開発、データ分析、生成AI活用、SaaS開発、アプリ開発、EC構築など、幅広い領域で企業のDX推進と事業成長を支援している。事業会社でIT・DXを経験したプロフェッショナルが集う株式会社riplaにおいて、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを構想策定・要件定義から開発・改善まで一気通貫で支援し、単なるシステム納品にとどまらず、クライアントと同じ目線で事業成果の最大化に向けた伴走支援を行う。早稲田大学卒業後、ラクスル株式会社、LINEヤフー株式会社にて事業開発やDX推進などに従事した後、株式会社riplaを創業。