IdP（IDプロバイダー）の種類とは？クラウド型・オンプレミス型の違いと代表サービス・選び方を解説

クラウドサービスの利用が広がるなかで、社内の認証基盤としてIdP（アイデンティティプロバイダー）の導入や見直しを検討する企業が増えています。IdPがどのような役割を果たすかを一通り把握すると、次に気になるのが「IdPには種類があるのか」「自社にはどのタイプが合うのか」という点です。

IdPは、どこで動かし誰が運用するかという提供形態で、大きくクラウド型（IDaaS）・オンプレミス型・ハイブリッド型に分けられます。さらに、対応する認証プロトコル（SAML・OpenID Connect）や、複数のIdPを束ねるブローカー型といった分け方もあります。

本記事では、IdPの種類を提供形態と対応プロトコルの両面から整理し、各タイプの違い・運用イメージ・代表的な製品と、自社に合うタイプを見極めるための選び方を解説します。IdPとIDaaS・SSOという紛らわしい用語の関係もあわせて整理するので、製品を具体的に比較する前の当たりをつける材料としてご活用ください。

IdP（IDプロバイダー）の種類とは？提供形態による分類一覧

IdPは「どこで動かし、誰が運用するか」という提供形態によって、クラウド型（IDaaS）・オンプレミス型・ハイブリッド型の3つに整理できます。まず全体像として、それぞれが動く場所・運用の主体・コストや運用の傾向・向いている企業・代表的な製品を一覧で示します。

※上記は各提供形態の一般的な傾向です。実際のコストや運用範囲は製品・契約内容によって異なります。

この提供形態の違いが、IdPの種類を考えるうえで最も基本となる軸です。まず前提としてIdPの役割を簡単におさらいし、続いて各タイプの違いを順に見ていきます。

IdPとは（前提のおさらい）

IdP（IDプロバイダー／アイデンティティプロバイダー、Identity Provider）とは、利用者の本人確認を行い、その認証結果を各サービスへ伝える役割を担うシステムです。

米国国立標準技術研究所（NIST）のガイドラインでは、IdPを「フェデレーション（認証連携）において、利用者に関するアサーション（認証結果の情報）を生成し、それを依拠当事者（RP、リライングパーティ）へ伝える主体」と定義しています。

ここでいうRPは、IdPの認証結果を受け取ってアクセスを許可する側のサービスで、SAML認証の文脈では同じ役割をSP（サービスプロバイダー）と呼びます。本記事では「IdPがどんな種類に分かれるか」を主題とするため、IdPとSPの違いの詳細は後半のよくある質問で簡潔に触れます。

出典・参考資料（1件）

• 出典：Digital Identity Guidelines: Federation and Assertions（NIST SP 800-63C-4）｜米国国立標準技術研究所（NIST）（https://pages.nist.gov/800-63-4/sp800-63c.html）

提供形態別のIdPの違い（クラウド型・オンプレミス型・ハイブリッド型）

ここからは、提供形態ごとにIdPがどう違うのかを、動く場所・運用の主体・責任の分かれ目・向いている企業の観点で解説します。同じIdPでも、この違いによって導入後の運用イメージやセキュリティ上の責任範囲が変わります。

クラウド型（IDaaS）：ベンダーがSaaSとして運用

クラウド型は、提供ベンダーが自社のクラウド上でIdPを運用し、利用企業はインターネット経由でサービスとして使う形態です。利用者の端末とは別の場所（ベンダーのリモートサービス）で動くIdPにあたり、サーバーの構築や可用性の維持、ソフトウェアの更新はベンダー側が担います。

利用企業は自社でサーバーを用意する必要がなく、短期間で使い始めやすい傾向があります。一方で、認証基盤の可用性やデータの保管をベンダーに委ねる形になるため、責任の分かれ目は「自社が設定・運用するアカウントやアクセスポリシー」と「ベンダーが担う基盤の運用」に分かれます。

複数のSaaSを利用し、認証基盤を早く整えたい企業に向いています。この形態は一般にIDaaS（アイデンティティ・アズ・ア・サービス）と呼ばれます。

出典・参考資料（1件）

• 出典：Digital Identity Guidelines: Federation and Assertions（NIST SP 800-63C-4）｜米国国立標準技術研究所（NIST）（https://pages.nist.gov/800-63-4/sp800-63c.html）

オンプレミス型：自社サーバーで構築・運用

オンプレミス型は、自社が用意したサーバー上にIdPを構築し、自社で運用する形態です。代表的なものに、Windows ServerのAD FS（Active Directoryフェデレーションサービス）や、オープンソースソフトウェア（OSS）として提供されるKeycloakがあります。

サーバーの構築・可用性の確保・ソフトウェアの更新やセキュリティ対応を自社で担うため、運用の手間や専門人材が必要になる傾向があります。その分、認証基盤やデータを自社の管理下に置ける点や、既存の社内ディレクトリと密接に連携できる点が利点です。

データの保管場所を自社に限定したい要件がある企業や、オンプレミスのActive Directoryをすでに運用している企業で選ばれます。コスト面では、OSSのKeycloakはライセンス費用がかからない一方、サーバーの構築や保守・更新を担う人材の工数が主な負担になります。

ハイブリッド型：既存のオンプレIDとクラウドを併用

ハイブリッド型は、既存のオンプレミスのID基盤（Active Directoryなど）を残したまま、クラウド型のIdPと連携させて併用する形態です。社内システムは従来のオンプレミスIDで認証し、クラウドのSaaSはクラウド型IdP経由で認証するといった使い分けができます。

既存のオンプレミス資産を活かしつつ、クラウドサービスへの対応を段階的に広げられるのが特徴です。オンプレミスからクラウドへ一度に移行するのが難しい企業が、移行の過渡期に採る構成としても使われます。

提供形態以外のIdPの分け方（対応プロトコル・ブローカー型）

IdPは提供形態だけでなく、対応する認証プロトコルや、複数のIdPを束ねる構成によっても分けられます。製品を選ぶ際に自社で使いたいサービスと連携できるかを左右するため、提供形態とあわせて押さえておきます。

対応プロトコル別（SAML／OIDC・OAuth）

IdPとサービス側が認証情報をやり取りする際の取り決めが認証プロトコルです。IdPによって対応するプロトコルが異なり、SAMLのみ・OpenID Connectのみ・両方に対応、といった違いがあります。代表的なものはSAMLとOpenID Connect（OIDC）の2つです。

SAML（Security Assertion Markup Language）は、オンラインの事業者間でセキュリティ情報を記述・交換するためのXMLベースの枠組みで、IdPとSPという役割もSAMLが定義した用語です。SAMLの最も主要な用途は、複数ドメインにまたがるWebシングルサインオン（SSO）とされ、社内の業務システムをまたいだエンタープライズSSOで広く使われています。

OpenID Connect（OIDC）は、認可の仕組みであるOAuth 2.0の上に乗る「アイデンティティ層（認証の層）」です。クライアント（サービス側）が、認可サーバーによる認証結果をもとに利用者の本人性を確認し、プロフィール情報を受け取れるようにします。

前提となるOAuth 2.0自体は、第三者のアプリケーションにリソースへの限定的なアクセス権を与えるための認可（authorization）のフレームワークで、利用者をどう認証するかは仕様の範囲外とされています。このようにOAuth 2.0は認可の取り決めで、本人確認（認証）はその上にOIDCが層として足す関係です。

OIDCはモバイルアプリやAPI連携との相性が良く、近年のクラウドサービスで広く採用されています。

出典・参考資料（3件）

• 出典：Security Assertion Markup Language (SAML) V2.0 Technical Overview｜OASIS（http://docs.oasis-open.org/security/saml/Post2.0/sstc-saml-tech-overview-2.0.html）
• 出典：OpenID Connect Core 1.0｜OpenID Foundation（https://openid.net/specs/openid-connect-core-1_0.html）
• 出典：The OAuth 2.0 Authorization Framework（RFC 6749）｜IETF（https://datatracker.ietf.org/doc/html/rfc6749）

ブローカー型（上流IdPとのフェデレーション）

ブローカー型は、複数のIdPとサービスの間に立って認証連携を仲介する構成です。NISTのガイドラインでは、これをフェデレーションプロキシ（federation proxy）と呼び、「複数のIdPに対してはRP（サービス側）として、複数のRPに対してはIdPとして振る舞い、両者を1つのコンポーネントで橋渡しするもの。これはブローカー（broker）とも呼ばれる」と説明しています。

この構成では、IdPとRPが直接やり取りせず、間に立つプロキシがすべての連携通信を仲介します。社内に複数の認証基盤がある場合や、取引先など外部のIdPと連携する場合に、接続先ごとに個別対応するのではなく、ブローカーを介して束ねて管理できるのが利点です。

こうした仲介は専用製品だけでなく、オープンソースのKeycloakが備える「Identity Brokering（他のIdPとの仲介）」機能などでも実現できます。

出典・参考資料（1件）

• 出典：Digital Identity Guidelines: Federation and Assertions（NIST SP 800-63C-4）｜米国国立標準技術研究所（NIST）（https://pages.nist.gov/800-63-4/sp800-63c.html）

IdPとIDaaS・SSOはどう違う？用語の関係を整理

IdPを調べると、IDaaSやSSOという言葉が一緒に出てきて混乱しがちです。これらは対立する別物ではなく、層の違う言葉です。ここで関係を整理しておきます。

IdPとIDaaSの違い（IDaaS＝IdPをクラウドで提供する形態）

IdPは「本人確認を行い認証結果を伝える役割」を指す概念で、オンプレミスのサーバーでもクラウドでも実装できます。一方のIDaaS（Identity as a Service）は、そのIdPをベンダーがクラウド（SaaS）として提供する形態を指して、業界で一般的に使われている呼び名です。

IdPという役割のうちクラウドで提供されるものがIDaaS、という関係になります。本記事で「クラウド型IdP」と呼んでいるものは、ほぼIDaaSと同じ対象を指しています。IDaaSは標準化団体が定義した用語ではなく市場で定着した呼称のため、厳密な定義よりも「クラウドで提供されるIdP」という位置づけで捉えると分かりやすくなります。

IdPとSSOの関係

SSO（シングルサインオン）は、1つのアカウントとその認証手段で複数のアプリケーションに続けてログインできる認証の仕組みで、多くはフェデレーションのプロトコルを使って実現されます。IdPが「認証する主体」であるのに対し、SSOはそのIdPを使って実現する「機能・体験」にあたります。

IdPが各サービスへ認証結果を伝えることで、利用者は一度の認証で複数のサービスを使えるようになります。この結果として得られる状態がSSOです。IdPとSSOは同じものではなく、「IdPという仕組みがSSOという体験を支えている」と整理すると混同を避けられます。

出典・参考資料（1件）

• 出典：Digital Identity Guidelines: Federation and Assertions（NIST SP 800-63C-4）｜米国国立標準技術研究所（NIST）（https://pages.nist.gov/800-63-4/sp800-63c.html）

種類ごとの代表的なIdP製品（型ラベル×製品の対応一覧）

ここでは、提供形態ごとに代表的なIdP製品を整理します。クラウド型には国産・海外の多くの製品があり、オンプレミス型にはWindows ServerのAD FSやOSSのKeycloakが代表例です。どの型にどんな製品があるかを把握すると、自社が検討する候補を型から絞り込みやすくなります。

※製品の分類・対応プロトコルは各社公式情報にもとづく整理です。詳細な対応状況は各サービスの公式情報をご確認ください。

クラウド型の各製品の具体的な違いは、後半の「クラウド型IdP（IDaaS）の比較と導入」で個別に紹介します。オンプレミス型のKeycloakはOSSとして無償で利用でき、AD FSはWindows Serverの機能として提供されるため、自社で構築・運用できる体制があるかどうかが選択の分かれ目になります。

自社に合うIdPの種類の選び方

ここまでの分類を踏まえ、自社に合うIdPのタイプを見極めるための判断材料を整理します。製品を1つずつ比較する前に、まず「どの型が自社に合うか」の当たりをつけるための観点です。

連携したいサービスの範囲から考えると、利用中のSaaSが多くクラウド中心であればクラウド型（IDaaS）が有力です。クラウド型は多数のSaaSと事前に連携できる製品が多く、導入後すぐに広い範囲でSSOを実現しやすいためです。逆に、社内の独自システムやオンプレミスのアプリケーションが連携対象の中心なら、オンプレミス型やハイブリッド型が候補になります。

既存のActive Directoryの運用状況も判断軸になります。すでにオンプレミスのActive Directoryでアカウントを管理している場合、それを残しながらクラウド連携を広げられるハイブリッド型や、Active Directoryと親和性の高い製品が選びやすくなります。

そのほか、自社で求める認証の強度（多要素認証やパスワードレス認証の方式）、国内でのサポート体制、運用に割けるリソースの3点も、型と製品を絞り込む材料になります。認証基盤の構築・運用を自社で担える体制があればオンプレミス型も選択肢に入りますが、専任の担当者を置きにくい場合は、基盤の運用をベンダーに任せられるクラウド型が現実的です。

多くの企業では、導入のしやすさと運用負荷の軽さからクラウド型（IDaaS）が第一候補になります。型の見当がついたら、次は各製品の料金・連携できるサービス数・多要素認証の方式・国内サポートを具体的に比較する段階です。

クラウド型IdP（IDaaS）の比較と導入

ここからは、クラウド型IdP（IDaaS）として実際に利用できる代表的なサービスを紹介します。まずは主要なサービスを並べた比較表で全体像を確認し、続いて各サービスの特徴を個別に見ていきます。

※上記の料金・対応状況は2026年11月時点の各社公式情報にもとづくおおよその傾向です。実額や最新の対応状況は各サービスの公式情報をご確認ください。

1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）

CloudGate UNOは、株式会社インターナショナルシステムリサーチが100%自社開発するクラウド型のID基盤（IDaaS）です。シングルサインオン・多要素認証・アクセス制限・ID管理を備え、公式には「ゼロトラスト時代のSSO・アクセス制限・認証強化・ID管理プラットフォーム」と位置づけられています。

特徴は、パスキー（FIDO2）によるパスワードレス認証への早くからの対応です。同社はFIDOアライアンスに2014年から参画し、2019年にFIDO2対応のパスワードレス認証の提供を開始しました。フィッシング耐性の高い認証方式を重視する企業にとって、選択肢になりやすいサービスです。

出典・参考資料（1件）

• 出典：CloudGate UNO 公式サイト｜株式会社インターナショナルシステムリサーチ（https://www.cloudgate.jp/）

クラウド型IdPを導入した後に現場の運用がどう変わるかについて、提供元の株式会社インターナショナルシステムリサーチは、独自インタビューで具体的な事例を挙げています。

2. Okta（Workforce Identity Cloud）（Okta Japan株式会社）

Oktaは、米国Okta, Inc.が開発するクラウド型IDaaSで、日本ではOkta Japan株式会社が提供しています。従業員や委託先など「働く人」のアイデンティティを管理するWorkforce Identity Cloudとして、シングルサインオン、多要素認証（アダプティブMFA）、ユーザーディレクトリ、IDライフサイクル管理を統合的に提供します。

事前に連携できるアプリケーションのカタログ（Okta Integration Network）が公式で8,000以上と公表されるなど幅広く、多数のSaaSを利用する企業でもSSOを広く展開しやすい点が強みです。ハードウェアセキュリティキーやパスキーに使われるFIDO2／WebAuthnにも対応しています。

出典・参考資料（1件）

• 出典：Okta Integration Network（Integrations）｜Okta（https://www.okta.com/integrations/）

3. Microsoft Entra ID（旧 Azure AD）（日本マイクロソフト株式会社）

Microsoft Entra ID（旧Azure AD）は、Microsoft 365やAzureの認証基盤を担う、Microsoft製のクラウドベースのID・アクセス管理プラットフォームです。シングルサインオン・多要素認証・条件付きアクセス・パスワードレス認証に加え、入社や退職などの人事イベントを起点としたアカウントの自動作成・無効化（IDライフサイクル管理）を備えます。

Microsoft 365やAzureをすでに利用している組織では、追加の導入なしに多要素認証や条件付きアクセスを使い始められる構成になっています。マイクロソフト製品を中心に業務を組み立てている企業と相性が良いサービスです。

4. トラスト・ログイン byGMO（GMOグローバルサイン株式会社）

トラスト・ログイン byGMOは、電子認証局を運営するGMOグローバルサイン株式会社が提供する企業向けのクラウド型ID管理サービス（IDaaS）です。シングルサインオン、ID管理・プロビジョニング、多要素認証、アクセス制限、ログ・レポート機能を備えています。

基本機能を無料プランで使い始められる点が訴求の柱で、まずコストを抑えてIDaaSを試したい企業にとって入口になりやすいサービスです。パスキー（FIDO2）によるパスワードレス認証にも対応し、SAML／OIDC連携アプリへのSSOとパスキー認証を組み合わせられます。

5. HENNGE One（Identity Edition）（HENNGE株式会社）

HENNGE株式会社のHENNGE Oneは、IDaaSにメール・エンドポイントのセキュリティを統合したクラウド型のサービスです。Identity Editionでは、シングルサインオン・多要素認証・アクセス制御を軸に、社内のID統制を担います。

認証基盤だけでなく、メールのセキュリティや私的なクラウド利用の制御まで含めて1つの基盤でまとめたい企業に向いています。IPアドレス制限やデバイス証明書によるアクセス制御にも対応します。

6. OneLogin（One Identity LLC）

OneLoginは、米国One Identity LLC（旧OneLogin, Inc.）が提供するクラウド型のID管理サービス（IDaaS）です。社員・顧客・パートナーのアイデンティティ管理を一元化し、シングルサインオン、多要素認証、ディレクトリ連携、ユーザープロビジョニングを統合します。日本国内ではサイバネットシステム株式会社などの代理店を通じて提供されています。

SAMLなどによるSSOの事前連携アプリが豊富で、Microsoft 365やSalesforceなどのクラウドアプリへのアクセスとアカウントの発行・変更・削除を集中管理できます。国内では複数の代理店が販売・サポートを担うため、導入時は取扱窓口ごとの提供条件を確認するとよいでしょう。

ここで紹介したのはクラウド型IdP（IDaaS）の代表的な6サービスです。これ以外も含めて多くのサービスを横断的に比較し、自社の条件から候補を絞り込める診断ツールも使いたい場合は、IDaaSの比較記事が参考になります。

比較表で示した料金は、各サービスのおおよその傾向です。初期費用やオプションも含めた実額を公式の料金ページに沿って突き合わせたい場合は、以下の記事で主要サービスの料金を項目別に比較しています。

まとめ

IdPの種類は、まず提供形態でクラウド型（IDaaS）・オンプレミス型・ハイブリッド型に分けられ、さらに対応プロトコル（SAML・OIDC）やブローカー型といった分け方があります。クラウド型は運用をベンダーに任せて早く使い始めやすく、オンプレミス型は自社管理下で構築・運用でき、ハイブリッド型は既存のオンプレミスIDを活かしながらクラウド連携を広げられます。

自社に合うタイプは、連携したいサービスの範囲・既存のActive Directoryの運用状況・求める認証の強度・国内サポート・運用リソースから見極められます。多くの企業ではクラウド型（IDaaS）が第一候補になりますが、型の当たりがついたら、各製品の料金・連携数・多要素認証の方式・サポートを具体的に比較して絞り込んでください。

よくある質問（FAQ）

Q. IdP（アイデンティティプロバイダー）とは何ですか？

A. IdP（アイデンティティプロバイダー）とは、利用者の本人確認を行い、その認証結果を各サービスへ伝える役割を担うシステムです。認証を一元的に引き受けることで、利用者は一度のログインで複数のサービスを使えるようになります。IdPはオンプレミスのサーバーでもクラウドでも実装でき、どこで動かし誰が運用するかによって種類が分かれます。

Q. IdPにはどのような種類がありますか？

A. IdPは、まず提供形態によってクラウド型（IDaaS）・オンプレミス型・ハイブリッド型の3つに分けられ、さらに対応プロトコル（SAML／OIDC）やブローカー型といった分け方もあります。最も基本となるのは「どこで動かし、誰が運用するか」という提供形態の違いで、これが運用負荷やコスト、向いている企業を大きく左右します。製品を選ぶ前に、まず自社がどの型に当たるかの見当をつけるのが効率的です。

Q. IdPのクラウド型とオンプレミス型はどちらを選ぶべきですか？

A. IdPのクラウド型とオンプレミス型のどちらを選ぶべきかは自社の運用方針によって異なり、認証基盤の運用をベンダーに任せて早く使い始めたいならクラウド型（IDaaS）、認証基盤やデータを自社の管理下に置きたいならオンプレミス型が適しています。

複数のSaaSを利用し専任のID担当を置きにくい企業はクラウド型が現実的で、既存のActive Directoryを活かしたい場合はハイブリッド型も選択肢になります。

Q. IdPとIDaaSは何が違いますか？

A. IDaaSとは、IdPという役割をベンダーがクラウド（SaaS）として提供する形態を指す呼び名です。IdPは「本人確認を行い認証結果を伝える役割」を指す概念で、オンプレミスでもクラウドでも実装できます。そのうちクラウドで提供されるものがIDaaSにあたるため、本記事で「クラウド型IdP」と呼ぶものは、ほぼIDaaSと同じ対象を指します。

Q. IdPとSP（サービスプロバイダー）の違いは何ですか？

A. IdPは利用者を認証して認証結果を発行する側、SP（サービスプロバイダー）はその認証結果を受け取ってサービスへのアクセスを許可する側です。両者はSAML認証で定義された役割で、IdPが「本人であること」を保証し、SPはその保証を信頼してログインを認めます。利用者から見ると、IdPにログインするだけで、連携する複数のSP（各サービス）を使えるようになります。

Q. SAMLとOpenID Connect（OIDC）の違いは何ですか？

A. SAMLとOIDCはどちらもIdPが認証情報をやり取りするためのプロトコルですが、SAMLはXMLベースで主に社内システム間のエンタープライズSSOに使われます。OIDCは認可の仕組みであるOAuth 2.0の上に認証の層を足したもので、モバイルアプリやAPI連携に適しています。

IdPによって対応するプロトコルが異なるため、自社で連携したいサービスがどちらに対応しているかを確認しておくと、製品選びの絞り込みに役立ちます。

Q. 1つの組織で複数のIdPを併用できますか？

A. 1つの組織で複数のIdPを併用することは可能です。既存のオンプレミスIDとクラウド型IdPを使い分けるハイブリッド型のほか、複数のIdPを束ねて仲介するブローカー型（フェデレーションプロキシ）を使えば、接続先ごとに個別対応せずに複数の認証基盤をまとめて管理できます。社内に複数の認証基盤がある場合や、取引先など外部のIdPと連携する場合に有効な構成です。

Q. IdPの導入にはどのくらいの期間がかかりますか？

A. IdPの導入期間は種類によって異なり、運用をベンダーに任せるクラウド型（IDaaS）は比較的短期間で使い始めやすく、サーバーの構築が必要なオンプレミス型は準備に時間がかかる傾向があります。実際の期間は、連携するサービスの数やアカウント数、既存システムとの連携の複雑さ、多要素認証の設定範囲によっても変わるため、候補を絞ったら各製品の公式情報や提供元への相談で確認することをおすすめします。

IDaaS・ID管理システムの料金・資料を一括チェック

MCB FinTechカタログでは、クラウド型IdP（IDaaS）をはじめとするID管理システムの最新資料を無料で一括請求できます。料金や対応プロトコル、多要素認証の方式を見比べて、自社に合うサービスを検討できます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。