IDaaSとは

IDaaSとは、複数のサービス（Webサービスやアプリケーションなど）に登録されているIDやパスワードを一元的に管理できるクラウドサービスを指します。インターネット上でサービスを提供する「SaaS」の一種であり、日本語では「クラウド型ID管理サービス」と翻訳可能です。「Identity as a Service」の頭文字をとっており、「アイダース」や「アイディーアース」と呼ばれています。

面倒な認証作業や運用業務がスムーズになるため、現在多くの企業がIDaaSを導入しています。リモートワークが広がった現代において、オフィスの内側と外側を安全かつスムーズにつなげるIDaaSは大きな役割を果たします。今後、IDaaSを利用する企業はさらに増加していくでしょう。

IDaaSの機能

IDaaSを導入すれば、シングルサインオンや効率的なID・アクセス管理などが実現します。ここでは、IDaaSによって可能になる代表的な機能を解説します。

認証（シングルサインオン）

シングルサインオン（SSO）とは、ユーザー認証を1回行えば、それ以降の認証作業が不要になる機能のことです。それだけではなく、すでに認証情報が紐づけられたサービスも、追加認証せずにログインできます。IDaaSのID情報があればよいため、利用しているサービスのIDやパスワードを毎回使用する必要がありません。SAML認証やフォームベース認証といった、複数の認証形式に対応しているIDaaSサービスも増えており、設定もわかりやすく簡単です。

IDの一元管理

IDaaSでは、IDaaS自体のID管理だけでなく、紐づけているサービスや社内システムのIDもまとめて一元管理可能です。重要な情報管理を従業員に任せてしまうと、パスワード漏洩などの問題発生にもつながります。また、ID情報を忘れてしまった従業員に対する対応も手間がかかるでしょう。全社的にID管理を行えば、その危険性を減らし手間をカットできます。

IDの連携

IDaaSと、各種クラウドサービスやオンプレミス型の社内システムをID連携できます。別名「IDフェデレーション」とも呼ばれており、それぞれのIDをリンクできる利便性の高い機能です。一度IDaaSで認証されたユーザーが連携されたサービスにアクセスした場合、認証画面を通さずにログインできます。ユーザー情報の追加・削除もスムーズに実施できるため、新入社員のデータ作成や、異動や組織図変更が行われた際のデータ変更も問題ありません。また、退職済みの社員データを停止できるので、現在使われていないユーザー情報を放置してしまう状態も防げます。

アクセス管理

IDaaSのシステムに、いつ誰がアクセスしたかどうかを可視化できます。アクセスログのレポートも作成できるので、使用状況をいつでも把握可能です。IDaaSは認証システムをインターネット上に設置するため、異常なアクティビティをすぐ検知できる状態が求められます。このような監視基盤を構築して不正アクセス対策を行える機能は、IDaaS運用や秘匿性の高い業務において大きく役立つでしょう。

認可

IDaaSを導入すると、該当する従業員の役職や業務内容にふさわしいアクセス権を付与できます。たとえば、以下のようなアクセスコントロールが可能になります。

・Aさん…クラウドサービス①は閲覧・編集ともにアクセス可能。クラウドサービス②はアクセス不可。
・Bさん…クラウドサービス①は閲覧のみアクセス可能。クラウドサービス②は閲覧・編集ともにアクセス可能。
・Cさん…クラウドサービス①、②ともにアクセス不可。
（3人とも、オンプレミス型の社内システムには全員アクセス可能）

IDaaS導入のメリット

ここでは、IDaaSを導入した場合のメリットを紹介します。従来のID・パスワード管理の問題点を提示しながら、具体的なメリットについて解説します。

運用管理の負担軽減

まず、システム運用にかかる負担を軽減できる点が挙げられます。利用サービスを連携していないこれまでの方法だと、社員の入退社や異動時のデータ変更をサービスごとに行わなければなりませんでした。しかし、IDaaSの一元管理によって、変更業務を大幅に簡略化できるようになりました。これで、フレックスや時短勤務などに該当する従業員の管理もスムーズになります。加えて、自社でサーバー運用やトラブル解析を行う必要がない点もポイントです。サービス提供会社がサーバー構築やソフトウェアのアップデートを実施してくれるため、社内のシステム担当者は今後のIT施策を充実させるために時間を使えます。

業務効率の向上

従業員の業務効率が向上する点も、IDaaSを導入する大きなメリットでしょう。なにより、シングルサインオンによって、サービスごとにID・パスワードを覚えておく必要がなくなるからです。従業員個人がID・パスワードのデータを管理するこれまでの方法だと、毎回データを入力する手間がかかっていました。IDaaSを導入すれば、ログインの手間が一度で済むため、時間を有効活用可能です。なお、IDやパスワードを印刷して保管することも不要なので、オフィスの書類管理もシンプルになります。

なお、IDaaSは一般的なオンプレミス型サービスなどと比べると、導入そのものが簡単です。ソフトウェアのインストール作業が不要なので、認証作業や各サービスの連携確認を行えば、好きなタイミングで運用を開始できます。本格的に運用をスタートさせるまで時間がかからないため、「サービスの導入」という業務も効率化可能です。

セキュリティの向上

IDaaSを導入すると、社内で扱うシステムやサービスのセキュリティを向上できます。なぜなら、IDaaSは多要素認証（知識情報、所持情報、生体情報などを交えて使うもの）やリスクベース認証（ユーザーが普段と異なる動きをしていないかチェックするもの）をはじめとした高精度な認証システムを、機能を有効化させるだけで気軽に利用できるからです。今までのセキュリティモデルでは、社内外のラインを明確に分けることで、社内ネットワークの安全性を保証していました。しかし、IDaaSが重視する「ゼロトラストセキュリティモデル」は、「社内・社外ともに、どのネットワークからのアクセスも信用しない」という考え方に基づいています。すべてのアクセスを確認するため、強固なセキュリティ管理が付与されるということです。

また、サービス提供者によって認証機能は定期的にアップデートされるため、セキュリティ性の高い状態でサービスを使用できます。「パスワード入力の間違いを許容するのは○回まで」といった細かな設定もカスタマイズできるので、自社に適したセキュリティポリシーを構築可能です。

IDaaS導入のデメリット

IDaaSを導入すると、さまざまなメリットを享受できます。しかし、その反面、いくつかのデメリットも存在します。これらのデメリットを知ったうえで、自社にIDaaSが適しているかどうかを判断しましょう。

トラブル発生時の対応に時間がかかる

もしIDaaSにシステムトラブルが発生したら、復旧が完了するまでにかなりの時間がかかります。自社で使用するほぼすべてのサービスやアプリケーションを一括してまとめているIDaaSが作動しなくなると、その対応が広範囲におよぶからです。1日〜数日のあいだ、ほとんど仕事ができなくなるかもしれません。現在、IDaaSを導入している企業は増加しています。よって、IDaaSのインフラ面も以前より強化されていますが、オンプレミス型の自社サーバーシステムを構築していれば、IDaaSより復旧スピードが速い可能性も十分あります。

問題なくIDaaSを運用するためには、アクシデントが発生した際の対応フローやマニュアルを細かく決めておくことが必要です。また、導入を検討しているIDaaSサービスについて、トラブル発生時のサポートが充実しているかどうかのチェックも求められます。

運用コストがかかる

IDaaSは、導入と運用にコストがかかります。高精度な認証システムや細やかなサーバー運用をIDaaSサービス運用企業に代行してもらえるぶん、それ相応の使用料金が必要です。とくにクラウドサービスは初期費用が安く済む反面、毎月請求されるランニングコストが高額になる場合もあります。使用料金は利用規模によって比例するため、従業員を多数抱える大企業はかなりの費用が必要になるでしょう。

しかし、上記はあくまでコストが発生するという観点のみであり、コストパフォーマンスが悪いということを意味しません。業務効率性を考慮すれば、コストを払ってでもIDaaSを導入する価値があるという状況は多々あります。コストがかかるぶん、自社にとって本当に必要かどうかは吟味する必要がありますが、必要なのであればコストに見合うリターンは得られるでしょう。たとえば、以下のような場合も追加料金なしで対応してくれるサービスも多くあるからです。

• データを定期的にバックアップしてくれる
• システムに問題が発生した時のフォロー作業を行ってくれる
• サービス提供に使われるハードウェアが故障した際に修理してくれる

有事の際にサポートしてくれる存在がいると、担当者の心理的負担軽減にも結びつきます。

IDaaSの選び方

現在、多くの企業からIDaaSのサービスがリリースされているため、多くの選択肢から自社に適したものを選択しなければなりません。ここでは、サービスを選定する際に気をつけるべきポイントについて、代表的なものを4つ取り上げます。

セキュリティ

まず確認すべきポイントは、セキュリティの高さです。IDaaSそのもののセキュリティが脆弱だと、不正アクセスがあった場合、使用しているサービスのIDやパスワードがまとめて漏洩してしまうからです。ここで判断基準となるのが、「SOC（Service Organization Control）の認定を受けているかどうか」でしょう。SOCとは、クラウドサービスの信頼性を客観的にあらわす国際基準です。外部監査を通してセキュリティの高さを証明しているので、SOC報告書を取得している企業のサービスを選びましょう。

このほかには、「長期間サービスを提供していること」「ネームバリューがあること」などが例に挙げられます。セキュリティの高いサービスを提供する企業は、信頼度も上昇するからです。自社データへのアクセス権を付与しても心配ないと思えるような、信頼性のある企業を選んでください。

あるいは、自社に合ったセキュリティポリシーを自由に設定できるかどうかも重要です。認証形式が細かくカスタマイズできると、実際に利用する従業員たちの満足度も高まります。

使用しているSaaSと連携可能か

現在すでに導入しているSaaSと連携できるかどうかもチェックしましょう。なぜなら、IDaaSはすべてのSaaSと連携できるわけではないからです。海外企業がリリースしているIDaaSの場合、国内のSaaSに対応していないケースもあります。もし1つでも連携できないSaaSがあると、「使用しているサービスを一元管理できる」というIDaaS最大のメリットを発揮できないため、導入の価値が薄まるでしょう。複数のIDaaSサービスを比較検討して、使用しているすべてのSaaSと連携できるサービスを探してください。なお、連携できるサービス数に制限があることもあります。これから使用するSaaSが増えることも見越して、制限数には余裕を持ちましょう。

もしも不明点がある場合は、対応SaaSについて名指しで問い合わせをするのもいいでしょう。その際、現在非対応のSaaSに対して「将来的には対応できるように検討中です」といった返答が来た場合でもその言葉を鵜呑みにするのではなく、あくまで現時点で対応済みのIDaaSサービスを探したほうが建設的です。なぜなら、IDaaSの運用は日常的に業務で使用しているSaaSすべてに適用できて初めて真価を発揮できるからです。

サポートが充実しているか

トラブルが発生した時に、すぐにサポートが受けられるかどうかも念入りに確認しましょう。どれだけほかの要素が魅力的でも、サポート体制が充実していない企業を選ぶと、業務に支障が出てしまいます。細かくチェックすべきポイントは、以下のとおりです。

• サポート手段の多様さ（電話、メール、チャット、直接の来社など）
• サポート対応可能時間（自社の営業時間中に日本時間で連絡ができるか）
• サポート言語（日本語に対応しているか）
• サポート対応担当者（日本人担当者が存在するか）
• サポート対応の迅速さ（電話やメールの返答は、一般的にどのくらい待つのか）

インターネット上の口コミも事前に調べておき、サポート体制に高評価が集まっている企業を選びましょう。どれだけ安く導入できても、導入後のユーザーを手厚くサポートしてくれない企業のサービスはおすすめできません。

コスト

IDaaS導入に必要なコストも、事前に算出しなければなりません。クラウドサービスの初期費用はそこまでかかりませんが、年間で費用を出すと高額になる場合もあります。初期費用、月額費用、年間費用をそれぞれ調べておきましょう。なお、使用する機能を厳選して導入する場合、大量の機能を選びすぎるとコストがかさみます。本当に必要な機能だけを前もってリストにまとめておき、その内容とマッチするIDaaSサービスを選定する方法がおすすめです。

なお、Webサイトで調査したなかではコストパフォーマンスがよさそうに思えたサービスも、実際に使ってみるとUI（ユーザーインターフェイス）が良好でない場合もあります。操作性が悪いシステムは、最終的に従業員の使用頻度が減り、導入費用の無駄になるでしょう。いくつかのサービスに絞ったら、無料トライアルを実施し、実際の使い心地を試すことが重要です。