シングルサインオン（SSO）開発の発注/外注/依頼/委託方法について

シングルサインオン（SSO）開発の発注では、ログイン画面だけでなく、IDの発行・変更・削除、MFA、権限、監査ログまで含む認証基盤として委託範囲を定義することが重要です。

「Microsoft 365やGoogle Workspaceを使っているので追加のIDaaSは必要ですか」「SaaSと古い社内システムを一緒にSSO化できますか」「費用はいくらで、どの会社に頼めばよいですか」と悩む担当者は少なくありません。本記事では、発注形態の選び方、RFPと要件整理、契約形態、2026年時点の費用相場、委託先の比較方法、失敗を防ぐ確認項目まで、外注前に判断すべきことを順番に解説します。

▼全体ガイドの記事
・シングルサインオン（SSO）開発の完全ガイド

シングルサインオン（SSO）開発はどのように発注・外注しますか？

SSO開発の発注は、まず「既製のIDaaSを導入するだけなのか」「既存業務システムの改修まで必要なのか」「顧客向けの認証基盤を新しく作るのか」を切り分けます。SaaSがSAMLやOIDCに対応している場合は設定とテストが中心になりますが、古いWebアプリやクライアントサーバー、共有IDが残る場合は、認証方式の変換や利用者データの整理が必要になります。

最初に確認するのは、誰のログインを統合するかです。従業員、派遣社員、委託先を対象にするWorkforce IAMでは、Microsoft Entra IDやActive Directory、Google Workspace、人事マスタとの連携、入社・異動・退職にともなうIDライフサイクル管理が中心になります。一方、会員や顧客、取引先を対象にするCIAMでは、月間アクティブユーザー、会員登録・退会、利用規約への同意、外部IdP連携、ブランドに合わせたログイン画面、ピーク時の可用性を要件に含めます。

この2つを同じ見積もりで比較すると、利用者数の数え方も必要な機能もずれてしまいます。従業員100人のSaaS連携と、会員10万人のサービス認証では、認証プロトコルが同じでも、負荷試験、サポート、アカウント回復、個人情報の取り扱いに必要な工数が大きく異なります。

発注形態は、作業の不確実性と成果物の明確さで選びます。製品選定、現状調査、アプリ一覧の棚卸し、PoCは、環境を見ながら論点を洗い出すため、時間単価や月額の準委任契約、または短期間の導入支援契約が適しています。対象アプリ、認証方式、画面改修、テスト項目、切り替え日まで合意できる構築フェーズは、成果物と検収条件を定めた請負契約にしやすくなります。

実務では、最初から一括請負にせず、(1)現状調査と基本設計、(2)PoCと詳細設計、(3)連携開発と移行、(4)運用保守のように分ける方法が安全です。特に古い認証方式や不明な共有アカウントがある場合は、調査結果を受けて後続工程の範囲と金額を確定する方が、発注者と受託者の双方にとって現実的です。

SSOを外注する前にRFPと要件をどう整理しますか？

RFPは製品名を指定する資料ではなく、現状の課題、対象範囲、達成したい状態、制約、評価方法を伝える資料です。受託会社が同じ前提で提案できるように、利用者数や対象アプリ数だけでなく、現行の認証方式、アカウントの管理元、業務停止が許されない時間帯まで記載します。

アプリごとに、名称、所有部署、利用者数、重要度、認証方式、SAML・OIDC・SCIMの対応状況、ログアウト方法、アカウント発行者、退職時の停止方法を一覧にします。SaaSだけでなく、社内ポータル、VPN、ファイルサーバー、オンプレミスWeb、クライアントサーバー、APIも対象に含めることが大切です。ログインできるかどうかだけでなく、誰がどの権限で何を見られるかまで確認します。

人事マスタと実際のアカウントを突き合わせると、退職者ID、異動前の権限、重複アカウント、共有IDが見つかることがあります。これらはSSOの設定だけでは自動的に解決しません。データクレンジングと権限の再設計を別タスクとしてRFPに書き、誰が承認するか、完了を何で判定するかを決めておきます。

SSOはIdPに認証を集中させるため、IdPのアカウントを奪われると複数のアプリへ影響が広がる集中リスクがあります。RFPにはMFAの必須対象、フィッシング耐性を求めるか、端末・場所・リスクによる条件付きアクセス、管理者の特権分離、緊急用アカウント、証明書や秘密鍵の更新、ログの保管期間と検索可能な期間を記載します。

個人情報を扱う場合は、個人情報保護委員会の通則ガイドラインが示す「個人データを扱う情報システムを使用する従業者を識別し、認証する」という考え方と、実装・運用を対応させます。認証だけで法令対応が完了するわけではありませんが、アクセス制御、権限棚卸し、監査ログ、委託先の安全管理を発注要件に落とし込む基準になります。出典は個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（2026年確認）です。

SSO開発・導入を外注するときの進め方

SSO導入は、認証方式を決めて設定するだけの作業ではありません。現状調査、目標設計、PoC、段階移行、運用設計を通じて、利用者と管理者が安全に使える状態を作ります。発注時は工程ごとの成果物と、次の工程へ進む条件を明確にします。

PoCでは、代表的なSAML対応SaaS、新規開発するOIDCアプリ、古いフォーム認証やBasic認証のアプリを一つずつ選ぶと、実際の難所が見えます。ログインとログアウト、属性・グループの連携、MFA、利用停止、証明書更新、IdP障害時の復旧、利用者が迷わない導線を確認します。

新規WebアプリはOIDCを第一候補にし、既存のエンタープライズSaaSはSAMLを中心に確認するのが一般的です。OAuth 2.0はAPIへのアクセス権限を扱う仕組みであり、ログイン認証そのものと混同しないようにします。Microsoft Learnも、OIDCはOAuth 2.0上に構築されたサインインプロトコルで、SAML 2.0と用途を比較して選ぶものと説明しています。出典はMicrosoft Learn「SAMLとOpenID Connect – 適切なSSOプロトコルを選択する」（2026年確認）です。

移行は、影響の小さいSaaSから始め、重要業務、オンプレミス、外部利用者へ広げます。各アプリについて、切り替え日時、並行稼働期間、旧ログインを止める条件、切り戻しの手順、問い合わせ窓口、管理者の連絡網を決めます。認証の失敗は全社的な業務停止につながるため、「本番切り替え日に受託会社が待機するか」も契約と見積もりに含めます。

2026年3月には、docomo business RINK IDaaSが社内ポータルや業務アプリのリンクから直接SSOを起動できる機能を公開しました。IDaaSの管理画面へ利用者を誘導するだけでなく、既存の社内導線を生かして定着させる考え方が広がっています。出典はdocomo business RINK IDaaS機能アップデート（2026年3月）です。発注時には、利用者向けの案内文、ポータルのリンク差し替え、エラー表示まで含めて検討すると、導入後の問い合わせを減らせます。

本稼働後に重要なのは、毎日のログインよりも例外処理です。人事異動の反映、退職者の即時無効化、権限の承認、アカウント復旧、証明書・秘密鍵の更新、MFA端末の紛失、IdPや連携アプリの障害を運用手順にします。委託先に任せる範囲と社内管理者が判断する範囲を分け、連絡先と対応時間を一覧化します。

運用テストでは、正常系のログインだけでなく、退職処理後にアクセスできないこと、権限を外した利用者が対象アプリへ入れないこと、MFAを失った利用者を本人確認後に復旧できること、IdPが停止したときの緊急経路が機能することを確認します。これらを受入テストの項目に入れておくと、「設定は完了したが運用できない」という状態を防げます。

SSOの契約形態は準委任と請負のどちらを選びますか？

SSO案件では、工程に応じて契約を分ける方法が適しています。要件が変わりやすい初期調査や運用設計は準委任、仕様と成果物が固まった連携設定・改修・テストは請負、稼働後の監視や問い合わせは保守契約として整理します。契約名だけでなく、成果物、責任分界、検収、変更手続き、障害対応を確認することが大切です。

準委任契約では、受託者が専門知識と稼働時間を提供し、調査、会議、設計支援、設定支援を進めます。対象アプリが後から増える、現行の認証方式が分からない、社内の意思決定を支援してほしいといった段階に向いています。一方、作業時間を使ったことと、期待した機能が完成したことは別なので、月次の作業報告、課題一覧、次月の成果目標を定めます。

発注者側も、必要な資料を提供し、会議に参加し、判断を期限内に行う体制が必要です。受託会社に要件整理を丸投げすると、情報不足を前提にした仮定が増え、後で追加費用やスケジュール遅延が発生します。準委任だから責任が曖昧になるのではなく、発注者と委託先の担当範囲を文書化することが重要です。

請負契約にする工程では、対象アプリ一覧、実装する認証方式、属性マッピング、グループと権限、テスト環境、本番切り替え、成果物、検収期限を明記します。「SSO対応」という一言では、SAML設定だけなのか、アプリの画面改修やSCIMによるアカウント自動発行まで含むのかが分かりません。

対象アプリが追加された場合、未対応の認証方式が判明した場合、Microsoft 365など既存ライセンスの前提が変わった場合に、追加費用と納期をどう決めるかも契約に入れます。無償対応の範囲、見積もりが必要な変更、緊急時の単価、再テストの扱いをあらかじめ決めておくと、発注後の対立を抑えられます。

SSO開発を発注・外注する費用相場はいくらですか？

SSOの費用は、ライセンス、初期設定、既存アプリの改修、IDデータの整理、移行、利用者教育、保守を分けて考えます。公開料金から見えるライセンスは、100ユーザーで年額数十万円から300万円台まで幅がありますが、これはサービスの利用料であり、構築・移行の外注費を含みません。以下の構築費は公式一律価格ではなく、対象規模と作業範囲を置いた概算レンジです。

2026年8月時点で公式ページに表示されている税別・年契約等の条件を基準にすると、Microsoft Entra ID P1はユーザーあたり月額899円相当で、Microsoft 365 E3やBusiness Premiumに含まれる場合があります。Okta Workforce IdentityはStarterが月額940円、Core Essentialsが2,020円、Essentialsが2,670円です。100ユーザーで単純計算すると、年間約10万7,880円から320万4,000円の範囲になりますが、年契約最低額や上位機能の条件を確認する必要があります。出典はMicrosoft Security「Entraのプランと価格」とOkta「プランと価格」（2026年8月確認）です。

国内サービスでは、HENNGE OneのIdentity Editionが月額300円から、GMOトラスト・ログインのSSOプロが月額300円、SSOプロ＋SaaS管理が月額500円、CloudGate UNOがStandard Plus月額400円、Enterprise Plus月額500円と案内されています。100ユーザーなら単純計算で年間36万円から60万円程度ですが、最低ID数、初期設定費、オプション、サポート費が別にかかる場合があります。出典はHENNGE One、GMOトラスト・ログイン、CloudGate UNO各公式料金ページ（2026年8月確認）です。

小規模のクラウド中心企業で、50〜300人、対象SaaSが3〜10本、既存IdPがあり、設定・テスト・簡単な運用設計までを委託する場合は、100万〜300万円程度、期間は1〜2カ月が一つの目安になります。SaaSの連携テンプレートを使えるか、利用者データが整理済みかで変動します。

中規模で300〜1,000人、SaaSが10〜30本、ADや人事連携、MFA、SCIM、権限設計、段階移行を含む場合は、300万〜800万円程度、3〜6カ月が目安になります。複数拠点やオンプレミスのレガシー認証、冗長化、SOC連携、24時間運用まで含める大規模案件は、800万〜2,000万円超、6〜12カ月以上になる可能性があります。

顧客向けCIAMをスクラッチで作り、会員登録、同意管理、外部IdP、アカウント回復、ピーク時の高可用性まで作り込む場合は、1,000万〜3,000万円超を想定して比較します。これは認証処理を自社実装することを推奨する数字ではありません。実績あるIDaaSや標準ライブラリを使い、自社固有の会員体験や業務連携だけを開発する方が、暗号鍵、トークン、パスワード、脆弱性対応を抱え込みにくくなります。

初期費用が安くても、対象アプリごとの連携設定、レガシーアプリ改修、IDの重複整理、利用者向け案内、並行稼働、監視、ログ保管、証明書更新、MFA端末、障害時の待機を含めると総額は変わります。見積書では、ライセンス、初期設定、1アプリあたりの連携費、移行費、教育費、保守費、追加オプションを別行にします。

3年または5年のTCOを作るときは、ユーザー数の増加、退職・異動の運用、上位プランへの変更、最低契約数、解約時のデータ・設定エクスポート、他製品へ移行する場合の支援費も入れます。ライセンス単価だけでなく、管理者の作業時間と障害時の業務停止リスクを比較し、何を削減できるかを社内で説明できるようにします。

SSOの委託先と見積もりを比較するポイント

委託先は、製品を販売する会社、導入設定を支援する会社、既存システムを改修するSIer、稼働後の運用を担う会社に分かれます。製品の機能一覧だけで選ばず、自社の認証方式と発注範囲に合った責任体制を確認します。

確認したい実績は、「SSOを導入したことがある」という事実だけではありません。自社と同じ利用者規模、SaaSとオンプレミスの混在、ADや人事連携、レガシー認証、顧客向けか従業員向けか、MFA・SCIM・権限棚卸しの有無を尋ねます。SCSKの統合認証基盤導入サービスでは、SSO、権限管理、棚卸し、IDライフサイクル、多要素認証、プロビジョニングを一体の機能として扱い、全労済、明治大学、JCOMなどの事例を掲載しています。出典はSCSK「統合認証基盤導入サービス」（2026年確認）です。

事例を聞くときは、製品名、対象アプリ数、移行期間、受託会社の担当範囲、導入後に誰が運用しているかまで確認します。公開事例をそのまま自社へ当てはめず、提案時には匿名化した類似案件の体制図や課題・解決方法を示してもらうと比較しやすくなります。

複数社へ依頼するときは、同じRFP、アプリ一覧、利用者数、対象期間、検収条件を渡します。見積書は、要件定義、基本設計、PoC、連携設定、アプリ改修、SCIM、人事連携、テスト、移行、教育、保守という粒度で比較します。作業一式という表記が多い場合は、何人日を想定し、対象アプリが何本で、どこまでが完了条件かを質問します。

安い見積もりが、連携アプリ数を少なく置いている、レガシー対応を別費用にしている、テストと切り戻しを含めていない、保守窓口が平日日中だけ、という場合があります。高い見積もりにも、冗長化や24時間対応など不要な要件が含まれている可能性があります。金額の大小ではなく、前提条件をそろえたうえで、除外項目と追加単価を比較します。

SSOは一度設定して終わりではありません。SAML証明書の期限切れ、OIDCクライアントシークレットの更新、アプリ側の仕様変更、入退社データの同期エラー、MFA端末の紛失に対応します。月次のログ確認、権限棚卸し、定期的な復旧訓練、問い合わせの受付時間、重大障害の連絡時間、SLA、報告書の内容を保守契約で確認します。

また、契約終了時に設定情報、アプリ一覧、属性マッピング、監査ログ、運用手順をどの形式で受け取れるかを確認します。特定ベンダーから離れられない状態を避けるため、データと設定のエクスポート、他IdPへの移行支援、ライセンス解約時のユーザー通知、旧認証へ戻す場合の手順を、発注前に質問しておくと安心です。

SSOの発注・外注で起こりやすい失敗と対策

SSOの発注で起きる問題は、技術方式の選択だけでなく、対象範囲と運用責任の曖昧さから発生します。発注前に失敗パターンを知り、RFP、契約、受入テストへ反映します。

SSOはパスワードの使い回しを減らし、認証を集約できる一方、IdPが攻撃されたときの影響範囲を広げます。MFA、条件付きアクセス、管理者アカウントの分離、最小権限、異常ログの監視、緊急時の復旧経路を組み合わせます。特に管理者のMFAを例外扱いにしたり、共有IDをそのまま連携したりすると、SSOの利便性だけが残り、追跡性と統制が弱くなります。

提案書では、認証の成功率だけでなく、退職者の無効化時間、権限変更の反映時間、管理者操作のログ、異常ログの通知先、復旧目標時間を確認します。安全性を「SSO対応」と一語で評価せず、具体的な運用状態で受入判定することが対策になります。

一括移行は短期間に見えても、1つの属性マッピングや証明書の不備で多数の業務へ影響します。重要度と認証方式で移行グループを分け、テスト環境、パイロット利用者、並行稼働、切り戻し条件を設定します。利用者への案内は、ログイン方法だけでなく、MFA登録、スマートフォン紛失時の連絡、問い合わせ先まで伝えます。

受託会社に移行を依頼する場合は、アプリごとの担当者と承認者を発注者側で決めます。業務部門が「この権限でよい」と確認しなければ、技術担当だけでは最小権限を判断できません。発注者、受託会社、アプリ所有部署、人事・総務、情報セキュリティの役割をRACIのような表で整理すると、抜け漏れを防ぎやすくなります。

シングルサインオン（SSO）発注・外注でよくある質問

SSOの発注では、費用と製品だけでなく、対象範囲、契約、運用体制を確認する質問が多く寄せられます。ここでは、発注前に特に判断しやすい3つの質問へ直接回答します。

既存IdPがあり、50〜300人、SaaSが3〜10本で、設定・テスト中心なら、構築・移行費は100万〜300万円程度が一つの概算レンジです。ライセンスは別で、サービスによってユーザー単価、最低ID数、初期設定費、オプションが異なります。古いWebアプリの改修、ADや人事連携、SCIM、顧客向けの会員機能を含める場合は、対象範囲を分けて見積もる必要があります。

Microsoft 365の契約にEntra IDの機能が含まれる場合、追加のIDaaSライセンスを抑えられる可能性があります。ただし、既存アプリとの連携、属性・グループ設計、MFAと条件付きアクセス、レガシー認証、SCIM、人事連携、移行と運用は別の設計・作業です。自社で対応できる設定と、外注したい設計・改修・移行を分けて依頼すると、不要な重複費用を抑えられます。

要件が固まっている構築案件なら、同じRFPを3社程度へ提示し、価格、範囲、体制、移行計画、保守を比較する方法が現実的です。要件が不明な場合は、最初に2〜3社へ現状調査やPoCの提案を依頼し、その結果を使って本構築の見積もりを取り直します。製品の販売会社だけでなく、既存業務システムの改修経験と導入後の運用支援を持つSIerも候補に入れます。

まとめ

シングルサインオン（SSO）開発を発注・外注するときは、最初に従業員向けWorkforce IAMか顧客向けCIAMかを分け、対象アプリ、認証方式、利用者、権限、入退社フローを棚卸しします。そのうえで、導入支援・準委任・請負・保守を工程ごとに使い分け、RFPにはMFA、SCIM、ログ、切り戻し、運用責任まで記載します。

公開料金では、100ユーザーのライセンスが年額数十万円から300万円台まで幅を持ち、構築・移行費は小規模で100万〜300万円、中規模で300万〜800万円、大規模で800万〜2,000万円超が概算レンジになります。これは対象アプリ、既存環境、権限設計、移行方式、可用性、保守条件によって変動するため、単価だけでなく3年・5年TCOと見積もりの除外項目を比較します。

委託先を決める前に、代表的なSAMLアプリ、新規OIDCアプリ、古い認証方式のアプリを選び、ログイン、MFA、権限、退職時無効化、障害時復旧を検証してください。委託先には、似た環境での実績、担当者の技術範囲、受入条件、保守体制、撤退時のデータ引き渡しを質問します。SSOを単なるログイン統合で終わらせず、IDライフサイクル、最小権限、監査ログを含む認証基盤として発注することが、長期的な安全性と費用の予測しやすさにつながります。

▼全体ガイドの記事
・シングルサインオン（SSO）開発の完全ガイド

会社紹介

株式会社riplaでは、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを、構想策定・要件定義から開発・改善まで一気通貫で支援。事業会社でIT・DXを経験したプロフェッショナルによる高い要件定義力・システム設計力を活かし、事業成果の最大化に伴走します。

また、当社独自の開発テンプレート「Boxシリーズ」による標準機能の高速開発と、AI駆動開発の独自フレームワーク「GoDD」による独自機能のAI実装を組み合わせることで、低コスト・短期間で開発を実現いたします。

もし、システム開発やプロダクト開発に関するご要望がございましたら、お気軽にお問い合わせください。

株式会社riplaの会社HPはこちら

・サービス概要資料のURLはこちら >>>
・お問合せページのURLはこちら >>>
・お役立ち資料のURLはこちら >>>

執筆者プロフィール

張田谷凌央

株式会社ripla 代表取締役CEOとして、システムパッケージ活用、システム開発、データ分析、生成AI活用、SaaS開発、アプリ開発、EC構築など、幅広い領域で企業のDX推進と事業成長を支援している。事業会社でIT・DXを経験したプロフェッショナルが集う株式会社riplaにおいて、お客様の事業・ユーザー・業務に最適化したオーダーメイド型システムを構想策定・要件定義から開発・改善まで一気通貫で支援し、単なるシステム納品にとどまらず、クライアントと同じ目線で事業成果の最大化に向けた伴走支援を行う。早稲田大学卒業後、ラクスル株式会社、LINEヤフー株式会社にて事業開発やDX推進などに従事した後、株式会社riplaを創業。