ITトレンドがおすすめする製品・サービス
- ■人事データの取り込み方法別
- ■アカウントの連携先別
- SCIM対応のクラウドサービス：IIJ IDガバナンス管理サービス、Secioss Identity Manager Enterprise（SIME）
- Active Directoryなどの社内ディレクトリ：Okta Workforce Identity、SeciossLink（セシオスリンク）、Secioss Identity Manager Enterprise（SIME）、Gluegent Gate（グルージェント ゲート）、WebSAM SECUREMASTER、ID統合管理ソリューション
- 自社開発の業務システム：Secioss Identity Manager Enterprise（SIME）、WebSAM SECUREMASTER、ID統合管理ソリューション
- ■ライフサイクル・権限の運用機能別
- 入退社や異動にあわせた予約反映：Keyspider、ジョーシス
- 異動後の引継ぎ期間の設定：Keyspider、Soliton ID Manager
- アカウントや権限の棚卸し：IIJ IDガバナンス管理サービス、ジョーシス、SmartHR
ID管理ツールの乗り換えで引き継ぐ3つの情報
ID管理ツールには、アカウントそのものに加えて、運用ルールや権限の考え方が蓄積されています。乗り換えで引き継ぐ情報を3つに分けて把握しておくと、移行漏れを防げます。
アカウント情報を集めたID台帳
1つ目は、社員ごとのアカウント、所属、役職、雇用形態などを記録したID台帳です。正社員だけでなく、派遣社員や業務委託先、共用アカウント、システム用のアカウントも含めて書き出します。
旧ツールのデータは、項目名や値の形式が新しいID管理システムと異なることがあります。例えば部署コードの桁数や、日付の書き方の違いです。書き出したデータをそのまま取り込まず、項目の対応表を作ってから変換しましょう。
入社・異動・退職のライフサイクルのルール
2つ目は、IDのライフサイクルに関するルールです。入社時にどのシステムのアカウントを作るか、異動時に何を変更するか、退職時にいつ停止し、いつ削除するかといった処理の条件を指します。
これらのルールは、旧ツールの設定画面やスクリプトの中にしか残っていない場合があります。担当者の記憶に頼らず、設定内容を文書に書き起こしてから新しいツールで再現すると、引き継ぎの抜け漏れを減らせます。
権限とロールの定義
3つ目は、部署や役職ごとに与えるアクセス権限の定義です。権限をまとめた単位をロールと呼び、「経理部の担当者には会計システムの入力権限を付与する」といった形で設定します。
ロールの考え方は製品によって異なり、旧ツールの構造をそのまま移せないこともあります。新しいID管理システムで表現できる形を確かめ、必要に応じて定義を組み替えましょう。権限の移し方は後半で詳しく解説します。
人事データ連携を新しいID管理システムで組み直す
ID管理の起点となるのは人事データです。乗り換えでは、人事システムからどの項目をどのタイミングで受け取るかを新しいツールにあわせて設計し直します。
連携元の人事データと項目の対応づけ
まず、人事システムから受け取る項目と、新しいID管理システムの項目を1つずつ対応づけます。氏名、社員番号、所属、役職、入社日、退職日などが代表的です。兼務や休職のように、旧ツールで独自に扱っていた情報の持ち方も確認します。
人事システムとの接続方法は、APIで直接つなぐ方法と、CSVファイルを定期的に取り込む方法があります。どちらに対応しているかは製品ごとに異なるため、自社の人事システムで使える方法を確かめましょう。
社員番号など一意のキーの統一
新旧のデータを正しく結び付けるには、社員1人を確実に特定できるキーが必要です。キーには社員番号を使う方法がありますが、再雇用や雇用形態の変更で番号が変わる会社では注意が必要です。
メールアドレスをキーにすると、結婚などによる氏名変更でアドレスが変わった際に別人として扱われるおそれがあります。変更されにくい値をキーに選び、旧ツールで使っていたキーとの対応も残しておきましょう。
発令日と反映タイミングの設計
人事異動は、発令日より前に人事システムへ登録されることがあります。新しいツールで発令日を指定した予約反映ができるか、日次のバッチ処理で取り込むのかによって、権限が切り替わる時刻が変わります。
退職者のアカウント停止は、反映が遅れるとアクセスが残る期間が生じます。最終出社日と退職日のどちらで停止するかを人事部門と決め、緊急時は手動で即時停止できる手順も用意しておきましょう。
プロビジョニング先の接続を移し替える手順
プロビジョニングとは、ID管理システムから各システムへアカウントを自動で作成・変更・削除する仕組みです。連携先の種類ごとに移し替えの作業が異なるため、順番に確認していきます。
SCIM対応のクラウドサービスとの接続
SCIMは、システム間でアカウント情報をやり取りするための標準規格です。対応するクラウドサービスでは、新しいID管理システムに接続先を登録し、サービス側で発行した認証用のトークンなどを設定して連携します。
サービスによっては、SCIMの接続先を1つしか登録できないことがあります。その場合は、旧ツールの接続を外して新しいツールを登録する時点が切り替えのタイミングになるため、作業日時を決めて進めましょう。既存アカウントを新しいツールのデータとどの項目で照合するかも、事前に確認しましょう。
Active Directoryなど社内ディレクトリとの接続
Active Directoryのような社内ディレクトリにアカウントを反映している場合は、新しいツールの接続用エージェントをサーバに導入するなどして連携します。接続に使う管理用アカウントには、必要な操作に限った権限を与えます。
社内ディレクトリは、パソコンへのログインやファイルサーバの権限と結び付いていることがあります。誤ってアカウントを無効にすると業務が止まるため、検証環境やテスト用の組織単位で動作を確認してから本番に反映しましょう。
CSVやAPIでつなぐ自社開発システムの接続
標準規格に対応していない自社開発システムには、CSVファイルの出力やAPIの呼び出しでアカウントを反映します。旧ツール向けに作った連携プログラムがある場合は、新しいツールの出力形式にあわせて改修が必要か確認します。
連携が失敗した場合に、エラーを通知できるか、失敗した処理を再実行できるかも重要です。どこまでをID管理システムが担い、どこからを業務システム側で対応するのか、責任の範囲を決めておきましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でID管理の一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
権限データは棚卸ししてから新ツールへ移行する
旧ツールの権限をそのまま移すと、不要な権限や持ち主のいないアカウントも引き継いでしまいます。乗り換えは、権限を見直す機会として活用しましょう。
不要なアカウントと過剰な権限の整理
移行前に、各システムのアカウント一覧と人事データを照合し、退職者や異動者のアカウントが残っていないかを確認します。人事データとひも付かない、持ち主のわからないアカウントも洗い出します。
あわせて、業務に必要な範囲を超えた権限がないかを、各部署の管理者に確認してもらいます。不要と判断したアカウントはすぐに削除せず、まず無効化して一定期間影響がないかを確かめると安全です。
ロールの粒度の見直し
個人ごとに例外的な権限を付けてきた結果、ロールが細かくなりすぎているケースがあります。乗り換えを機に、部署と役職を軸にした基本のロールと、例外として申請するロールに分けて整理すると、運用の手間を減らせます。
ただし、ロールを大きくまとめすぎると、必要以上の権限を持つ人が増えてしまいます。新しいロールで各社員の権限が移行前と比べてどう変わるかを一覧にし、部署の管理者に確認してもらいましょう。
申請・承認の履歴と監査ログの保管
旧ツールに残る権限の申請・承認の履歴や操作ログは、内部監査や情報セキュリティの監査で求められることがあります。新しいツールへ取り込めない場合も、社内の保存期間にあわせて書き出して保管しておきます。
新しいツールでも、誰がいつ権限を申請し、誰が承認したかを記録できるかを確認しましょう。申請・承認のワークフローを設定し直す際は、承認者が不在の場合に備えて代理承認のルールも決めておくと安心です。
旧ID管理ツールと並行稼働させて差分を確かめる
新しいツールへ一度に切り替えると、反映ミスに気付くのが遅れます。一定期間は新旧を並べて動かし、結果を比べてから本番の切り替えに進みましょう。
二重のプロビジョニングを防ぐ設定
並行稼働中に新旧の両方から同じシステムへアカウントを反映すると、二重登録や設定の上書きが起こる場合があります。新しいツールでは、連携先へ反映せずに処理結果だけを確認できる機能があれば活用し、ない場合は対象を絞った設定で動かします。
どのシステムをどちらのツールで管理しているかを一覧にし、関係者で共有しておきましょう。切り替えたシステムから順に旧ツールの接続を止めていくと、管理の重なりを防げます。
新旧の処理結果の照合
同じ人事データを新旧のツールに取り込み、作成・変更・停止の対象となるアカウントが一致するかを比べます。差分が出た場合は、ルールの移し替えの誤りか、旧ツール側の設定がもともと誤っていたのかを切り分けます。
4月のように自社で入社や異動が集中する時期を含めて確認できると安心です。確認結果は記録に残し、本番切り替えの判断材料にしましょう。
切り替え後のエラー監視と再実行
本番切り替え後は、プロビジョニングのエラーや未処理のデータがないかを日々確認します。連携先のシステムの仕様変更や、APIの呼び出し回数の上限などが原因で、一部の処理が失敗することもあります。
エラーが起きたときに管理者へ通知されるか、失敗した処理を手動で再実行できるかを確認しておきましょう。対応手順を文書にまとめ、複数の担当者で共有しておくと、特定の担当者が不在の日も対応を続けられます。
人事連携と権限管理で比べるID管理ツール一覧
この記事で取り上げるID管理ツールを、人事データの取り込み方やアカウントの連携先、権限管理の機能に注目して一覧にしました。旧ツールで動かしているルールを移せるかを確かめる際の手がかりにしてください。
| 製品名 | 特徴 |
|---|---|
| IIJ IDガバナンス管理サービス | 兼務や出向などの人事イベントに標準対応。SCIM v2での汎用連携やID棚卸し機能を備える |
| Keyspider | 発令日の権限変更を予約設定でき、異動後の引継ぎ期間にも対応。適用後の状態を事前に確認できる |
| SmartHR | 従業員データベースの在籍状況や部署と連動し、作成・削除が必要なアカウントを自動で洗い出す |
| Okta Workforce Identity | 人事システムと連携して入退社や異動に伴うアカウントの作成・更新・停止を自動化できる |
| ジョーシス | SaaSとデバイスを一元管理。予約機能で入退社時のアカウント発行・削除を自動化できる |
| SeciossLink（セシオスリンク） | 人事システムのCSVをAPIで取り込める。ADやLDAP、クラウドサービスへのID同期に対応 |
| Secioss Identity Manager Enterprise（SIME） | AD・LDAP・SCIM APIなどと連携するオンプレミスの統合ID管理。スクリプト実行にも対応 |
| Gluegent Gate（グルージェント ゲート） | Google WorkspaceやMicrosoft 365へのプロビジョニングとSSOに対応。AD連携も可能 |
| WebSAM SECUREMASTER | 人事データベースやADと連携し、業務システムへID情報を配付。申請・承認ワークフローも備える |
| ID統合管理ソリューション | 人事管理システムやLDAPサーバなどのデータ形式の違いを吸収して、システム間でIDを同期 |
| Soliton ID Manager | 人事情報にもとづく権限の自動更新や引継ぎ期間の設定に対応。CSVの一括インポートも可能 |
| OSSTech Unicorn ID Manager | Linux用のオープンソース統合ID管理製品。CSVやコマンドでの連携に対応 |
| LOCKED DAS | 人事系SaaSのアカウント情報の変化を監視し、所属や役職に応じてSaaSアカウントを自動設定 |
IDライフサイクルと権限管理で選ぶID管理ツール
人事データとの連携方法や、SCIM・Active DirectoryなどへのID情報の反映、発令日の予約設定や権限の棚卸しといった機能に注目して、おすすめのID管理ツールを紹介します。旧ツールで運用していたルールを再現できるか比較してみてください。
IIJ IDガバナンス管理サービス
- 散在するIDやアカウント情報を一元管理
- 簡単設定のプロビジョニングで業務負荷を解消
- 不正なID・権限設定が一目で分かる
株式会社インターネットイニシアティブが提供する「IIJ IDガバナンス管理サービス」は、散在するIDを一元管理し、ガバナンス強化にもつなげるクラウド型のID管理サービスです。入退社・異動に加え、本務・兼務や出向・転籍などの人事イベントに標準対応しています。カレンダーで日付を指定して過去・現在・未来のIDやマスタ情報を確認できる時系列管理や、過剰な権限を検知するID棚卸し機能も搭載。連携先にはSCIM v2による汎用連携のほか、Microsoft Entra IDやGoogle Workspaceなどが用意されています。
Keyspider
- クラウドID管理と効率化を実施し、変化に対応できるシステム運用
- “引継ぎ期間”を想定した対応が可能
- 組織情報に紐づけ、各システムの権限付与が自動的に行える。
株式会社アクシオが提供する「Keyspider」は、ユーザーアカウントや権限の設定、各システムへの同期を自動化するクラウド型のID管理サービスです。源泉となるシステムと連携し、ユーザー・組織・権限を各種サービスに反映します。発令日の権限変更をあらかじめ予約でき、異動後に旧部署の権限を一定期間残す引継ぎ期間の設定や、兼務者への権限付与にも対応しています。シミュレーション機能で適用後の状態を事前に確認できるため、ルールの移し替えで生じる設定ミスを防ぎやすいでしょう。
SmartHR
- ID管理とSSOで、アカウントの作成・削除とアクセスを一元管理
- プロダクトとBPOで、情シス業務全体の負荷を軽減
- 最新の人事データと連動、アカウントとアクセスの対応漏れを防止
株式会社SmartHRが提供する「SmartHR」は、人事労務の従業員データベースを起点に、外部サービスのアカウント管理とシングルサインオンを行えるクラウドサービスです。在籍状況・部署・役職などの情報が更新されると、作成・削除が必要なアカウントを自動でリストアップし、連携可能なサービスではSmartHRからアカウントの作成・削除も行えます。台帳更新や棚卸しの手作業もまとめて効率化できます。人事データとID管理を同じ基盤で扱いたい企業に向く製品です。
Okta Workforce Identity
- フィッシングに強い認証フローでログインをより簡単・安全にする
- ADやLDAP等と統合。全てのIDを単一コントロールプレーンから管理
- ユーザーのアクセスを1か所で管理しアクティビティを適切に把握
Okta Japan株式会社が提供する「Okta Workforce Identity」は、IDaaS/IAMによるアイデンティティ管理を提供するクラウドソリューションです。Lifecycle Managementのプロビジョニング機能により、人事システムと連携して入退社や異動に伴うアカウントの作成・更新・停止を自動化できます。Universal DirectoryはADやLDAPなどのIDソースと同期でき、ユーザー・グループ・デバイスを一元管理可能です。人事データ連携と社内ディレクトリの両方をまとめて移し替えたい場合の候補です。
ジョーシス
- バラバラだったSaaS・デバイスを一元化管理し、管理工数を削減
- 入退社時のアカウント発行・削除を自動化し、業務の効率化を実現
- シャドーITや削除漏れアカウントを検知し、ITセキュリティを向上
ジョーシス株式会社が提供する「ジョーシス」は、企業で使うSaaSやデバイスを統合管理するSaaS管理クラウドです。従業員にひも付くSaaSやデバイスを台帳で管理し、SaaSの権限や利用状況を社員別・アプリ別に可視化できます。入退社時のアカウント発行・削除は予約機能を組み合わせて自動化でき、削除漏れが起きやすい退職者アカウントの検知にも対応しています。乗り換え前の権限の棚卸しや、持ち主のいないアカウントの洗い出しに活用しやすいでしょう。
SeciossLink（セシオスリンク）
- シングルサインオンであらゆるサービスに連携
- IDの一元管理で業務効率化
- FIDO認証や証明書認証などの多要素認証で認証を強化
株式会社セシオスが提供する「SeciossLink（セシオスリンク）」は、ID管理やシングルサインオン、多要素認証などのIDaaS機能を備えたセキュリティサービスです。人事システムから出力したCSVファイルを、CSVファイルアップロードAPIで取り込む連携に対応しています。AD（Active Directory）やLDAPへの情報同期、Microsoft 365やGoogle Workspaceなどのクラウドサービスへのプロビジョニングも可能です。ADを中心とした運用を続けながら、クラウドサービスへの反映も整えたい企業に向いています。
Secioss Identity Manager Enterprise（SIME）
- 複数のシステムに散在するIDを一元管理
- パスワードポリシーの管理も可能
- あらゆるサービス・システムと連携できる
株式会社セシオスが提供する「Secioss Identity Manager Enterprise（SIME）」は、オンプレミスで利用する統合ID管理ソフトウェアです。Active DirectoryやOpenLDAP、Google Workspace、Microsoft 365、SCIM APIなどを連携先として、ユーザーやグループの情報を同期できます。CSVファイルでの一括登録や、取り込み側にあわせてフォーマットを定義できるCSV連携にも対応。ID同期時に任意のスクリプトを実行できるため、自社開発システムへの反映方法を柔軟に組みたい場合にも検討できます。
Gluegent Gate（グルージェント ゲート）
- 連携サービスとのシングルサインオン設定で利便性を向上
- 連携サービスのIDを一元管理することで管理者の負荷を軽減
- 多要素認証、アクセス制限をサービスごとに自由に組み合わせ可能
サイオステクノロジー株式会社が提供する「Gluegent Gate（グルージェント ゲート）」は、シングルサインオンと多要素認証、アクセス制限を備えたクラウド型のサービスです。Google WorkspaceやMicrosoft 365などのクラウドサービスに対し、SSO連携に加えてアカウントやグループのプロビジョニングを行えます。Active Directory連携や統合Windows認証連携にも対応しています。クラウドサービスへのアカウント反映と認証の入り口を、あわせて見直したい場合に比較しやすい製品です。
WebSAM SECUREMASTER （日本電気株式会社）
- 国産なので、日本企業特有の業務スタイルに対応します
- 内部統制強化の支援に繋がる機能で管理者負担が軽減します
- 主要システムとの連携のためのテンプレートを標準で用意
ID統合管理ソリューション （TISI株式会社 (※株式会社インテックはTIS株式会社と合併し、2026年7月より社名を「TISI株式会社」に変更いたしました。)）
- SaaSを利用する際の認証を強化する統合認証サービス
- ID統合システムとID同期システムを組み合わせて対応
- 証明書認証など様々な認証方式にも対応
Soliton ID Manager （株式会社ソリトンシステムズ）
- よりスムーズなログイン・管理が可能！
- 自社ルールに適合した柔軟な設定を実現！
- 申請ワークフローを活用し効率的なデジタル証明書の配布が可能！
OSSTech Unicorn ID Manager （OSSTech株式会社）
- 複数システムのID情報を統合・一元管理。
- WebブラウザでID管理やパスワード操作が可能
- CSVやコマンド連携により柔軟なID連携を実現
LOCKED DAS （株式会社onetap）
- 入社・退職・異動に伴う、SaaSアカウントを自動設定
- 棚卸台帳で設定状況を記録
- 利用実態ログで解析
まとめ
ID管理ツールの乗り換えでは、ID台帳に加えて、ライフサイクルのルールと権限の定義を新しいID管理システムへ引き継ぐことが大切です。人事データ連携のキーと反映タイミングを決め、SCIMや社内ディレクトリ、自社開発システムへの接続を順に移し替えましょう。権限は棚卸ししてから移し、並行稼働で差分を確かめると安心です。自社の人事システムや連携先にあう製品を見つけるために、資料請求で複数のID管理ツールを比較してみてください。
