世界の大企業が採用してきたID基盤「Ping」──Entra ID/Oktaとの違いを読み解く

顧客数は2,400社超、それでも世界の大企業が選ぶID基盤

　あらゆる組織で動くITサービスは、すべてアイデンティティを管理するID基盤の上に載っているが、昨今ではそこに人より高速かつ大量にアクセスするAIエージェントが加わってきた。齊藤氏は「IDはもはや管理部門の台帳ではなく、セキュリティの新しい境界の一つになっている」と位置づける。

　クラウドネイティブ社は情報システム部門に特化したコンサルティング会社で、Microsoft Entra ID（以下、Entra ID）／Okta／Ping Identity（以下、Ping）などの販売代理店でもある。文部科学省の最高情報セキュリティアドバイザーも務める同氏が、国内ではまだ広く知られていないPingを中心に、ID基盤の選定方法を解説した。

　3製品の導入社数を比較すると、Entra IDが72万社超、Oktaが2万社超、Pingが2,400社超となっている。ただし、Entra IDはMicrosoft 365などの契約に付いてくるため、他の2製品とは数字の性質が異なると齊藤氏は補足する。

　顧客数だけを見ればPingは最大手ではないものの、同社はFortune 100企業の半数超に採用されていると公表している。OktaもFortune 100企業の多くに採用されており、両社とも世界最大級の企業に深く浸透している。いずれも各社の公表値で、一部門／一用途での採用も含まれうるため、メインのID基盤として選ばれた数を示すものではないと齊藤氏は補足した。

　さらに同氏は、Pingが公表している数字として、米国の大手銀行15行中13行、欧州の大手自動車メーカー5社すべて、北米の大手小売7社中5社がPingを採用している実績を示した。

　Oktaも巨大エンタープライズに非常に強く、大企業での採用実績が豊富だ。一方Pingは、特に複雑な認証基盤を持つ大企業で導入されるケースが多いという。両社の違いは「エンタープライズ向けかどうか」ではなく、顧客層の構成にあると齊藤氏は整理する。

世界で実績を持つPingは、なぜ日本で知られていないのか？

　Pingは2002年創業で、アクセス管理事業を行う企業としては歴史が長い。同社の公式発表によればGartnerのMagic Quadrant（アクセス管理）で9年連続リーダーに位置づけられている。なお、同レポートではOktaも9年連続でリーダーに位置づけられている。

　日本で知られていない理由として齊藤氏は、従業員向けIDaaSのPingOne for WorkforceとしてはOktaやEntra IDより後発であること、PCとMacのデバイストラスト対応を開始したのが2025年と最近であること、国内の販売体制が限られていたことを挙げた。国内ではクラウドネイティブ社がPingの取扱パートナーとして提供体制を整えているという。

　なお、クラウド型のID基盤PingOneの提供リージョンに日本はなく、データの所在地に要件がある案件ではここが最初の関門になる。日本リージョンに関する公式発表もないため、現時点で提供されている地域を前提に判断する必要があるとした。

　Pingが選ばれる理由を、齊藤氏は「作り込める」という設計思想で説明する。北米最大級の家電量販店Best Buyは、社員やパートナー、業者を含む18万のIDをPingで一元管理している。以前は1人で42個ものIDを持つ人がいるほどIDが散らばっており、どう統合するかを設計してID基盤を作り込んでいったという。「特殊であればあるほどPingが合うということもわかってきました」と同氏は語る。

トヨタの欧州法人は車両を認証要素に？ グローバル大手に選ばれる理由

　Toyota Motor EuropeもPingを利用して顧客ポータル「My Toyota」と車載システムの認証を統合した。ユニークなポイントとして齊藤氏は、多要素認証（MFA）の要素に車両そのものを使っている点を挙げる。作り込みを基本方針とするPingの特徴がよく表れた事例といえる。

　Pingは、要件に合わせて認証の流れを細かく作り込めることを重視した製品だ。「これらを使いこなすにはそれなりの設計力が必要になってきます。これは優劣ではなく、設計思想の違いです」と齊藤氏は説明する。

　置き場所の自由度も特徴だ。マルチテナントと専有テナント型のSaaSに加え、オンプレミス環境にも展開できるPingFederate、また米国政府向けのソリューションも持つ。齊藤氏はSaaSとオンプレミスの両方を提供している点を、医療や航空などの重要インフラ業界や銀行で好まれる理由の一つに挙げた。

　同社ソリューションの作り込みを担っているのが、認証／認可のフローをブロックで視覚的に組み立てるPingOne DaVinciだ。クラウドネイティブ社は自社でPingOneを利用し、通信を検査するセキュリティソリューションであるNetskopeが起動していない端末からはシステムにログインさせないフローを、分岐ブロックの追加で実装できることを確認している。EDRやVPNクライアントの稼働状況も同じように条件に加えられるほか、Jamf ProやIntuneといったMDM（モバイルデバイス管理）に問い合わせて会社の管理下にある端末かチェックを行い、社外の端末からの認証を弾くこともできる。

　既存のActive Directoryとの連携では、Pingはグループのネスト構造を保ったまま取り込むことが可能だ。

　「エンタープライズ企業は特にActive Directoryへの依存が非常に大きいので、Active Directory時代のグループ設計を活かして移行できるのは大きなポイントです」（齊藤氏）

AIエージェントの管理設計にみる3社の違い

　続いて同氏は、AIエージェント向けのID基盤の動きに話題を移した。現状、多くのAIエージェントは人間のOAuthトークンを使い回したり、APIキーを渡されたりすることで動いている。そのためID基盤側でAIを「IDを持つ主体」として管理する必要性が高まってきた。

　こうした状況を踏まえ、Okta、Entra ID、PingそれぞれがAI向けのアイデンティティ管理ソリューションを提供している。PingのIdentity for AIは2026年3月31日、Microsoft Entra Agent IDが同年4月、Okta for AI Agentsが同年4月30日に一般提供が開始された。

　3社のソリューションは組み立て方やAIによる代理許可を事前に置く場所などに違いはあるものの、「AIエージェントの管理という側面においては、基本的にどの製品を選んでもできることは間違いないです」と齊藤氏は述べる。

　大きな違いは機能の有無ではなく、「代理情報を誰が作り、どこで必須化するかにある」と言う。

　「AIエージェントの領域は第三者機関によって定められた標準などがまだないため、自社への導入を検討する際には、製品を見て決めるのではなく、自社の要件を先に決める必要があります」（齊藤氏）

　具体的な差について同氏は、ID／クライアント登録から運用まで一連の流れを示して説明した。たとえば、ID／クライアントを登録する段階においてPingはOAuthクライアント、Entra IDはblueprintの子ID、Oktaはディレクトリ上のIDとして登録する。その後のAIに任せる仕事を人間が認証するフローはいずれも同じだが、その後のトークン発行方法、AIエージェントの認証／認可経路も三者三様である。

　また、AIエージェントが暴走した場合の制御方法も3つのソリューションで異なる。齊藤氏は「深夜2時、基幹データベースにAIエージェントがDELETEコマンドを投げつづける」という状況を例に挙げ、3つのソリューションで何が止まりどこに影響があるかという観点で違いを説明した。

　PingはアプリやAPIの手前に置くPingGatewayのルートを変更し、そこを通るリクエストを止める。Entra IDは個体そのものか、配下全体に効くblueprintを無効化する。OktaはAIエージェントを停止し、新たなトークンの発行を止める。ただし、経路上の遮断やエージェントの停止と、発行済みトークンやアプリ側セッションの失効は別の話で、どこまで連動して止まるかはいずれの製品でも構成次第だ。「どのソリューションを選ぶにしても、止め方は事前に人間が設計しておく必要がある」と齊藤氏は指摘する。

　そもそも、野良AIをどう止めるかという議論もある。「結論から言うと、基本的にID基盤だけでは野良AIを捕まえることはできません」と同氏は言い切る。発見の経路はID基盤、ブラウザ、管理下のSaaS、端末に分かれるため、ブラウザ管理やEDR、SASEを重ねる必要があるのだ。

要件の複雑さ／既存環境／運用体制から導く判断基準

　クラウドネイティブ社はPingの新規導入や他のIDaaSからの乗り換え／運用支援に加え、PingからEntra IDへの移行も支援している。「Entra IDで十分な会社に、我々がPingを勧めることはありません」と齊藤氏は明言する。

　同氏は、判断軸は会社の規模ではなく、要件の複雑さと運用体制だと前置きしたうえで3製品を整理した。Oktaは標準機能を中心に導入／運用を組み立てやすく、標準化を優先して少人数の運用体制で回したい組織に向く。Entra IDはMicrosoft 365との統合で既存ライセンスを活かしやすい。Pingは複雑な要件に合わせて作り込めるが、設計／運用の難易度もその分上がる。

　一方で、Pingには弱みもあるとして「特にDaVinciの柔軟性は、設計と保守の複雑さと表裏一体です。自社内で運用できる体制があるかが非常に重要なポイントになります」と同氏は述べる。

　そのうえでPingが向く条件として、IDストアが複数あり、認証／認可の要件が複雑な状態であること、設計／検証／運用を担う体制が社内で整っていること、もしくは支援できるパートナーと組めること、また製品に業務を合わせるのではなくID基盤を要件に合わせたいニーズがあることの3つを挙げた。

　最後に齊藤氏は、「ID基盤は製品名で選ぶものではない」と強調し、要件の複雑さ、既存環境、社内の運用体制をあわせて検討すべきだと述べ、セッションをこう締めくくった。

　「Ping社は、世界では実績十分な会社です。日本でもこれからPing Identityが普及していくことを願っていますが、今日はこのPingという選択肢を一つの検討材料に挙げていただければ幸いです」（齊藤氏）

クラウドネイティブのPing Identity導入支援

株式会社クラウドネイティブは、日本国内唯一のPing Identityパートナーとして、導入から運用までをトータルで支援し、エンタープライズ規模のID管理を実現します。OktaやMicrosoft Entra IDとの比較検討を含め、コンサルティングを通じてお客様の要件に最適な製品をご提案します。導入後も、Q&AサポートやProfessional Support Serviceにより、継続的にサポートいたします。公式サイトからお問い合わせください。