シングルサインオン（SSO）の費用と選び方 — 中小企業がIDを一本化する手順【2026年版】

シングルサインオン（SSO）とは、1組のIDとパスワードで、会社が使う複数のクラウドサービスにログインできるようにする仕組みである。 あわせて、入社・退職時にアカウントを止める場所が1か所になる。社員10〜50人でクラウドサービスを10個前後使う会社に向く。費用の目安は、すでに契約している Microsoft 365 や Google Workspace の機能を使うなら追加0円から、専用のIDaaS（クラウド型のID管理サービス）を使うなら1人あたり月額数百円から千円台である（2026年11月時点の各社公式価格。個別の金額は後段の表に示す）。ただし、IDaaSには最小契約人数が決まっているものがあり、10人規模では選べない製品もある。本記事では、SSOでできること・できないこと、選択肢の比較、規模別の費用試算、導入の5ステップ、失敗パターンを、IT担当者がいない会社向けに整理する。

SSOは、「会社のIDを発行する場所」を1つに決め、各クラウドサービスはその場所の確認結果を信用してログインを許可する仕組みである。この「IDを発行する場所」をIdP（Identity Provider）と呼ぶ。社員は朝にIdPへログインすれば、会計ソフト、勤怠管理、チャット、業務システムなどに、あらためてパスワードを入力せずに入れる。

必要性が高いのは、次のような会社である。

- クラウドサービスが10個前後あり、それぞれ別のIDで管理している
- 退職者のアカウントの消し忘れが、過去に1度でもあった
- 同じパスワードを複数のサービスで使い回している社員がいる
- 取引先から、アクセス管理やMFA（多要素認証）の状況を問われることが増えた
- IT専任者がおらず、アカウントの管理が総務や経営者の兼務になっている

逆に、使っているサービスが3〜4個で、社員が5人以下なら、SSOの前にパスワード管理ツールとMFAの徹底で足りることが多い。SSOは万能ではなく、規模や課題に合わせて順番を決めるものである。

1つ目は、退職者アカウントの削除漏れである。 サービスごとに管理者が違い、退職時に10個のサービスを1つずつ止める運用だと、1つ忘れるだけで退職後も社内の情報に入れる状態が残る。退職時の全体の手順は退職者のIT手続きチェックリストにまとめている。SSOを入れると、このうちSSO連携済みのサービスについては、IdPのアカウントを止める1回の操作で済む。ただし、連携していないサービスは従来どおり個別に止める必要がある。

2つ目は、パスワードの使い回しである。 覚えるパスワードが多いほど、社員は同じものを使い回す。1つのサービスから漏れたパスワードが、他のサービスへの不正ログインに使われる被害は典型的である。SSOで会社として使うパスワードを実質1つに減らせば、使い回しの動機そのものが小さくなる。

3つ目は、MFAがサービスごとにバラバラな点である。 サービスによってMFAの設定画面も方式も違い、全員に設定させるだけで大きな負担になる。IdP側でMFAを必須にすれば、設定する場所は1か所になる。MFAの考え方は会社のアカウント・パスワード管理と多要素認証で扱っている。

中小企業の現実的な選択肢は、次の4系統である。価格は各社の公式ページで確認した内容で、特に記載がなければ1人あたりの月額である。為替換算は行わず、ドル建ての製品はドルのまま記載する。

①Microsoft Entra ID（Microsoft 365 を使っている会社）。 Microsoft 365 を契約すると、IdPとしての Entra ID が付いてくる。Business Basic と Standard に付くのは無償版（Free）で、Microsoft の公式ページ（米国）では、MFA、無制限のSSO、パスワードの自己リセットが無償版の内容として示されている。条件付きアクセス（「社外の見知らぬ端末からはログインさせない」といった制御）が必要なら有償のP1が候補で、Business Premium にはP1が含まれる。単体では、日本向けの公式ページで月額1,049円相当（年払い、税抜）、米国の公式ページでは7ドル（年払い）である（Microsoft 365 のプランの違いはこちら）。

②Google Workspace のログイン連携（Google Workspace を使っている会社）。 Google Workspace の管理コンソールから、SAMLに対応したアプリを連携する機能がある。Google の公式ヘルプ（Cloud Identity）では、Googleを自社のIdPとしてSAMLアプリに連携する機能は無料版・有料版の両方にあると説明されており、自動的なユーザー作成・削除（プロビジョニング）は有料版（Premium）のみとされている。Workspace の月額は、2026年11月時点の公式ページで、Business Starter が800円、Standard が1,600円、Plus が2,500円（いずれも1ユーザー、税別）である。なお、Workspace 側で追加料金なしに使える連携の範囲は契約エディションで異なる可能性があるため、導入前に公式ヘルプで確認したい。Cloud Identity 単体の価格は今回確認できなかったため、要問い合わせとする。2つの選び方はGoogle Workspace と Microsoft 365 の比較も参考になる。

③国産IDaaS（HENNGE One、GMOトラスト・ログインなど）。 メールの基盤がM365やGoogleに限られず、国産の画面とサポートで使いたい会社の選択肢である。HENNGE Oneは、公式の2026年10月の新プランで、Identity Edition が IdP 400円、IdP Pro 600円、IdP Ultra 1,000円（いずれも1ID、月額、税抜）である。ただし、新規契約の最小契約数は200IDからと記載されており、社員50人以下の会社は条件を満たさない可能性が高い。GMOトラスト・ログインは、公式の料金ページで SSOプロが300円、SSOプロ＋SaaS管理が500円（円表記、税抜、12か月契約）で、最小は30ユーザーとされている。料金の単位（1ユーザーか1IDか）は、ページの表記だけでは明確でなかったため、見積もりで確認が必要である。

④Okta（海外製の代表的なIDaaS）。 公式ページでは、Workforce Identity の Starter が1ユーザー月額6ドル（SSO含む、年契約）、Essentials が17ドルで、Professional 以上は見積もりである。年間の最低契約額は1,500ドルとされている。海外製のため管理画面やサポートは英語中心になる点は、費用と並べて検討したい。

次の表は、公式の単価をそのまま掛けた試算である。Microsoft 365 や Google Workspace 本体の利用料は含めず、SSOのために追加で必要になる金額だけを示す。税抜で、為替換算はしていない。Okta はドル建てのままである。

この表から読み取れるのは、次の3点である。第一に、すでにM365かGoogleを使っているなら、追加費用ゼロでSSOを始められる可能性が高い。第二に、専用のIDaaSは月額で1人数百円と安く見えるが、最小契約数や年間の最低額で、10人規模では実質的に選べない、または割高になる製品がある。第三に、条件付きアクセスなどの追加機能を全員に付けると、10人でも月1万円を超える。必要な人だけに付ける設計が費用を抑える。

最も失敗が少ないのは、今使っているメール・グループウェアの基盤を起点に決めることである。M365を使っているならEntra ID、Google Workspaceを使っているならGoogleのログイン連携を、まず試す。新しい契約を足す前に、すでに払っている費用の中でどこまでできるかを確かめるのが先である。

- M365中心で、端末の紛失や社外アクセスが気になる: Entra ID Free でSSOとMFAを整え、必要な人だけ P1（または Business Premium）にする
- Google中心: Workspace の管理コンソールからSAMLアプリを連携し、足りない部分だけを他の仕組みで補う
- 両方を併用している、または基盤を特定したくない: IDaaSを検討する。ただし最小契約数を最初に確認する
- 使うSaaSの多くがSAMLに対応していない: 先に、対象サービスのSSO対応状況と必要なプランを調べる。ここで費用が大きく変わる（失敗パターンを参照）

会社が契約しているクラウドサービスを書き出す。サービス名、管理者、利用者数、現在のログイン方法、SSO（SAML）に対応しているか、SSOに必要なプランを1枚の表にまとめる。対応状況は各サービスのヘルプや料金ページで確認できる。この表が、以降のすべての判断の土台になる。

前節の考え方で、IdPを1つ決める。複数のIdPを併用すると、退職時に止める場所がまた増えてしまう。決めたら、管理者を2人以上にし、緊急時にIdPに入れる管理者アカウント（ブレークグラス）を、通常の運用とは別に用意して保管する。

SSOは入口を1つにする分、その入口が破られたときの影響も大きい。連携を増やす前に、IdPのMFAを全員に必須にする。方式は、認証アプリか、可能なら端末に紐づくパスキーなどを選ぶ。SMSの確認コードだけに頼る運用は避けたい。

全部を一度に連携しない。まず、管理者だけで1〜2サービスを試し、次に会計・勤怠・チャットなど利用者の多いサービスへ広げる。連携後は、従来のID・パスワードでの直接ログインを止められるサービスでは止める。止めないと、SSOを経由しない入口が残り、MFAも効かない。

入社時は、IdPにアカウントを作り、所属に応じてサービスへの利用権限を付ける。退職時は、IdPのアカウントを無効化し、連携していないサービスのアカウントと、共有アカウントのパスワード変更までを手順に入れる。具体的な項目は退職者のIT手続きチェックリストを参照してほしい。

- SSOに対応する上位プランが必要だった（いわゆるSSO税）: SaaSによっては、SAMLのSSOが上位プランや追加オプションでしか使えない。SSO導入のために、複数のサービスの契約プランを引き上げると、IdPの費用より大きな金額になることがある。契約前に、ステップ1の表で対象サービスの必要プランと差額を確認する
- 管理者アカウントへの一点集中: IdPの管理者が1人だと、その人の退職や不在、アカウントの乗っ取りで全体が止まる、または全体が危うくなる。管理者は2人以上にし、管理者アカウントには特に強いMFAを設定する
- 連携した後も直接ログインが残っている: SSOを入れたのに従来のパスワードで入れるままだと、使い回しも退職者の侵入経路も残る
- 最小契約数を見ずに製品を選ぶ: 比較表を作ってから、実は自社の人数では契約できなかったと分かる

- 使っているクラウドサービスの一覧と、各サービスの管理者を書き出したか
- 各サービスがSSO（SAML）に対応しているか、必要なプランと差額を調べたか
- 今のグループウェア（M365・Google Workspace）の機能で足りるかを先に確認したか
- IDaaSを検討する場合、最小契約数・年間の最低額・契約期間・料金の単位を確認したか
- 価格を公式ページまたは見積もりで確認し、税抜・税込を揃えて比較したか
- IdPの管理者を2人以上決め、緊急用の管理者アカウントを別に保管したか
- IdPのMFAを全員必須にする方針と方式（認証アプリ・パスキー）を決めたか
- SSO連携後に、従来のID・パスワードでの直接ログインを止める方針を決めたか
- SSO対象外のサービスと共有アカウントの退職時手順を、手順書に書いたか
- 入社・退職の手順に、IdPのアカウント作成と無効化を組み込んだか