Okta vs Entra ID vs Cloudflare Access：中小企業のIdP選定比較
3製品の選択肢は、自社環境によって変わります。まず現状に応じた結論から確認してください。
- M365 Business Premium または E3 を契約中 → Entra ID P1 がライセンスに含まれている可能性があります。先に自社のライセンス種別を確認することを勧めます。対象ライセンスであれば追加費用なしで使えます。
- Microsoft 以外の SaaS が多い、またはマルチクラウド構成 → Okta Starter（$6/user/月・年払い必須）を検討します。最低年間契約額 $1,500 が発生するため、少人数でもこの下限を下回れません。
- まず VPN 代替・内部ツール保護から試したい → Cloudflare Access Free（50 ユーザーまで無料）で試験導入できます。ただし Cloudflare Access はフル IdP ではなく、別途 IdP（Google Workspace・Entra ID 等）を認証バックエンドとして用意する必要があります。
各製品の詳細と選定フローは以下のセクションで確認できます。
SaaSが増えると何が崩壊するのか
社内で利用する SaaS が 10〜30 本を超えると、特定の管理課題が表面化してきます。
ログイン先が分散し、どのサービスにどのアカウントが存在するか把握しきれなくなります。退職した社員のアカウントが一部のサービスでそのまま残り、アクセス権が削除されていない状態になることも珍しくありません。パスワードの使い回しや、サービスごとに MFA（多要素認証）の有無がバラバラになることで、セキュリティ上の穴が積み重なっていきます。
IdP（Identity Provider）とは、ユーザーディレクトリを持ち、SSO（シングルサインオン）・MFA・プロビジョニング（アカウントの自動作成と削除）を一元管理する基盤です。1 か所でユーザーを管理することで、上記の課題をまとめて対処できる仕組みになります。
ただし、今回比較する 3 製品は同じカテゴリではありません。製品の比較を始める前に、まず各製品の役割の違いを整理することが必要です。
3製品の正確な役割
Okta
Okta はクラウドネイティブの独立した IdP です。OIN（Okta Integration Network）と呼ばれる事前統合済みアプリカタログに多数の SaaS が登録されており（件数は Okta 公式の統合カタログを参照）、非 Microsoft・非 Google のサービスとの SSO 連携を設定コストを抑えて行えます。自前のユーザーディレクトリを持ち、SSO・MFA・Lifecycle Management（アカウントのプロビジョニングと削除の自動化）を担います。特定クラウドベンダーに依存しないニュートラルな立場が特徴で、Google Workspace 中心の環境や AWS・Azure が混在するマルチクラウド構成でも機能します。
Entra ID（旧 Azure AD）
Entra ID は Microsoft エコシステムの IdP です。M365・Azure・Teams・SharePoint との認証統合が強みで、これらのサービスを主軸に使っている環境では自然な選択肢になります。オンプレミスの Active Directory をクラウドに延長する Entra Connect（旧 Azure AD Connect）との組み合わせにより、既存の AD 環境とクラウドを統合するハイブリッド構成も取れます。
Cloudflare Access
Cloudflare Access はフル IdP ではありません。これが 3 製品のうち最も重要な違いです。
Cloudflare Access は ZTNA（Zero Trust Network Access）と呼ばれるアクセス制御レイヤーです。独自のユーザーディレクトリを持たず、Okta・Entra ID・Google Workspace などの既存 IdP を認証バックエンドとして受け取り、社内 Web ツールやセルフホストアプリへのアクセスをポリシーで制御します。VPN の代替として機能することが主な用途で、「誰が・どのデバイスから・どのアプリにアクセスできるか」を管理します。
Cloudflare Access を運用するには別途 IdP が必要です。Cloudflare Access 単独では社員の認証基盤を構成できません。
価格と主要機能の確認ポイント
価格の詳細は製品ごとに条件が複雑なため、ここではコスト構造上の落とし穴に絞って説明します。各プランの完全な仕様は後述のリンク先でご確認ください。なお、以下の価格はすべて 2026 年 7 月時点のものです。
Okta
Okta 公式料金ページによると、Starter プランは $6/user/月（年払い必須）です。SSO・Adaptive MFA・Universal Directory・Workflows（5 フロー）が含まれます。
コスト構造として 2 点の制約があります。
1 つ目は、SCIM によるプロビジョニング（ユーザーの自動作成・削除）が Starter には含まれない点です。SCIM は Essentials プラン（$17/user/月）以上から利用できます。Starter のままでは退職者のアカウント削除を手動で行う必要があります。
2 つ目は、最低年間契約額 $1,500 が発生する点です。利用ユーザーが少人数でもこの下限を下回れないため、20 名を下回る組織では実質的な単価が Starter の定価より割高になります。
Entra ID
Microsoft Entra 公式料金ページによると、Entra ID P1 は $7/user/月（年払い）です。
Entra ID を検討するうえで最初に確認すべきことは、自社の M365 ライセンス種別です。Microsoft 公式ライセンスドキュメントによると、Microsoft 365 Business Premium のほか、E3・F1・F3・Enterprise Mobility + Security（EM+S）E3 に Entra ID P1 が含まれています。いずれかを契約済みであれば、Entra ID P1 の機能を追加費用なしで使えます。
ただし、Free 層（M365・Azure 等のサブスクリプションに含まれる基本機能）では条件付きアクセス（Conditional Access）が使えません。条件付きアクセスとは、デバイスの場所・コンプライアンス状態・リスクスコアに基づいてアクセスを許可・拒否するポリシー機能です。Free 層の MFA も Microsoft Authenticator のみ対応となります。「M365 を使っているから無料でセキュリティ機能が揃う」という前提は成り立たないため、計画の前に自社のライセンス種別を確認することが必要です。
詳細はMicrosoft Entra 公式料金ページとライセンスドキュメントでご確認ください。
Cloudflare Access
Cloudflare Zero Trust 公式プランページによると、Cloudflare Access の Free プランは 50 ユーザーまで永続無料です。ただし SLA なし・ログ保持 24 時間のみ・コミュニティサポートのみという制約があります。Zero Trust Standard（Pay-as-you-go）は $7/user/月で、ログ保持が 30 日・メール＆チャットサポートが付きます。
SCIM による自動プロビジョニング（IdP 側でのユーザー削除・グループ変更を Zero Trust に自動反映する仕組み）は、Cloudflare 公式ドキュメント（SCIM プロビジョニング）によると、SCIM 2.0 に対応した SAML / OIDC の IdP であれば利用できます。プランによる利用制限は明記されておらず、Okta 連携ガイドの前提条件には「Free を含む全サブスクリプション階層」と記載されています。
ただし、Cloudflare は IdP に追加された新規ユーザーを事前には作成しません。ユーザーが最初に Access アプリケーションへ認証するか、デバイス登録した時点から同期が始まる仕様です。また、Cloudflare ダッシュボード（アカウント管理側）への SCIM は Zero Trust の SCIM とは別機能で、こちらは Enterprise 限定です。混同しやすいため設計段階で区別しておく必要があります。
自社に合う製品を選ぶ3つの判断軸
以下の 3 ステップで自社環境に合う製品を絞り込めます。
Step 1: 現在の M365 ライセンス種別を確認する
Microsoft 365 Business Premium または E3 を契約している場合、Entra ID P1 がライセンスに含まれている可能性があります。ライセンス管理画面で種別を確認することが最初のステップです。対象ライセンスであれば、条件付きアクセス・ハイブリッド ID 管理・Application Proxy・詳細な MFA 制御を追加費用なしで使えます。
弱点として、Microsoft 以外の SaaS との統合設定は Okta より手間がかかる場合があります。非 Microsoft SaaS が多い構成では Step 2 も参照してください。
Step 2: 非 Microsoft SaaS が多い、またはマルチクラウド構成の場合
Okta Starter を検討します。OIN（Okta Integration Network）により、Google Workspace・AWS・Salesforce・Slack 等の非 Microsoft SaaS との SSO 設定コストを抑えられます。
判断の前提として 2 点を確認してください。SCIM によるプロビジョニングが必要な場合は Essentials（$17/user/月）が必要になります。また、最低年間契約額 $1,500 があるため、少人数の組織では費用対効果の試算が必要です。後述するセキュリティインシデントの経緯も踏まえた上で判断することを勧めます。
Step 3: まず VPN 代替・内部ツールのアクセス制御から試したい場合
50 ユーザー以下であれば、Cloudflare Access Free での試験導入から始められます。ただし、別途 IdP（Google Workspace・Entra ID 等）を認証バックエンドとして用意することが前提です。
SCIM 連携自体は Free プランでも構成できますが、Cloudflare Access はあくまでアクセス制御の入口として位置づけ、認証基盤（IdP）は別途整備する設計が必要です。
導入前に確認すべきリスクと制限
Oktaのセキュリティインシデント
Okta を採用する際は、過去のセキュリティインシデントを確認しておく必要があります。
2022 年 1 月のインシデント（Sitel/LAPSUS$）
委託先である Sitel のサポートエンジニアの PC が RDP（リモートデスクトップ）で外部から侵害され、Okta バックエンド管理画面のスクリーンショットが取得されました。Okta サービス本体への侵害はありませんでしたが、LAPSUS$ グループがスクリーンショットを公開した 2022 年 3 月まで顧客への通知が遅れたとして批判を受けました。（出典: Okta 公式ブログ — 2022 年 1 月の調査結果）
2023 年 10 月のインシデント（サポートシステム侵害）
2023 年 9 月 28 日から 10 月 17 日にかけて、Okta の顧客サポートシステムに不正アクセスが発生し、顧客 134 社（全体の 1% 未満）に関連するファイルが閲覧されました。5 社のセッションがハイジャックされています。
根本原因は、社員が業務用の Okta 管理 PC の Chrome 個人プロフィールに、サービスアカウントのユーザー名とパスワードを保存していたことでした。（出典: Okta Security — 根本原因分析）
独立した法科学調査機関である Stroz Friedberg が追加の悪意ある活動がなかったことを確認しています。事後対応として、Zero Standing Privileges（常時付与型の特権を廃止する設計）・IP 紐付けセッション管理・管理者 MFA の強化が実装されています。（出典: Okta Security — Stroz Friedberg 独立調査結果）
これらのインシデントの経緯と現在の事後対応を把握した上で、採用判断を行うことを勧めます。
Entra ID FreeとP1の機能差
Entra ID は「M365 を使っているから無料でセキュリティ機能が揃う」という誤解が起きやすい製品です。
Microsoft 公式ライセンスドキュメントによると、Free 層では条件付きアクセス（Conditional Access）が一切使えません。Microsoftライセンス専門アドバイザリーの SAMexpert による解説でも同様に、デバイスの場所・コンプライアンス状態・リスクスコアに基づくアクセス制御には P1 相当のライセンスが必要と確認されています。
自社のライセンス種別を確認せずに計画を進めると、P1 の機能が使えないまま構成を組んでしまうリスクがあります。「M365 がある = セキュアなアクセス制御ができる」は Free 層では成立しません。
Cloudflare Accessの3つの制約
Cloudflare Access は「Free で全部解決する」製品ではありません。以下の 3 点は導入前に把握が必要です。
1. ユーザーディレクトリを持たない
Cloudflare Access はフル IdP ではないため、独自のユーザーディレクトリを持ちません。別途 IdP を用意しなければ社員の認証基盤を構成できず、Cloudflare Access 単独での運用は設計上できません。
2. SCIM は「削除の反映」が主で、ユーザーの事前作成はされない
SCIM 連携は SCIM 2.0 対応の SAML / OIDC IdP で利用でき、Free プランを含む全プランで構成できます。ただし IdP に追加した新規ユーザーが Cloudflare 側に自動作成されるわけではなく、ユーザーの初回認証（またはデバイス登録）を起点に同期が始まります。退職者の自動デプロビジョニングが主な用途と理解しておく必要があります。技術仕様の詳細は Cloudflare One 公式ドキュメント — SCIM プロビジョニングでご確認ください。
3. ログ保持期間が短い
Free プランではログ保持が 24 時間、Standard プラン（$7/user/月）では 30 日です。コンプライアンス要件や監査対応が必要な環境では、ログ保持の制限が問題になる場合があります。
選定まとめと次のアクション
3 製品の選定基準をまとめます。まず自社の M365 ライセンス種別を確認し、Business Premium または E3 以上であれば Entra ID P1 が含まれているため最初に評価します。Microsoft 以外の SaaS が多い、またはベンダー非依存で構成したい場合は Okta Starter を検討しますが、最低 $1,500/年の契約下限と SCIM の上位プラン制限を費用試算に含める必要があります。VPN 代替・内部ツール保護から試したい場合は Cloudflare Access Free から始められますが、別途 IdP の用意が前提であることと、ログ保持が 24 時間しかない制約を設計段階で把握しておくことが必要です。
自社の M365 ライセンス種別・SaaS 構成・社内体制を棚卸しせずに製品を選ぶと、後から構成を変え直すコストが発生します。特に情シス 1〜2 名の体制では、導入時の設計ミスが運用負荷として何年も残ります。最初の選定判断に時間をかけることが、結果的に最もコストが低くなります。
どれが自社に合うかは、現在の SaaS 構成・M365 ライセンス・社内体制によって変わります。製品選定の壁打ちから IdP 導入設計・情シス体制構築の支援まで対応しています。まず現状の確認からでも、お気軽にご相談ください。