アカウントプロビジョニングとは

アカウントプロビジョニングとは、従業員の入社・異動・退職というライフサイクルに合わせて、各種システムやSaaSのユーザーアカウントを作成・変更・削除する一連のプロセスです。「ユーザープロビジョニング」「IDプロビジョニング」とも呼ばれ、ID管理（IAM）の中核を担う業務です。

具体的にイメージすると、新入社員が入社初日から Slack・Salesforce・Google Workspace などのSaaSを使い始めるために、アカウントを事前に用意する作業がこれにあたります。SaaSが20種類あれば、手動では20回ログインして個別に設定しなければなりません。アカウントプロビジョニングを自動化することで、この作業を一括かつ即時に完了させることができます。

情報システム部門（情シス）が管理するSaaSの数は年々増え続けています。SmartHRが実施した調査によると、アカウント管理ツールを導入していない情シス部門の63.9%が「退職者や異動者のSaaSアカウントを適切に管理できていない」と回答しています。手動管理の限界は数字にも表れており、アカウントプロビジョニングの自動化はセキュリティと運用効率の両面から不可欠な取り組みになっています。

プロビジョニングとデプロビジョニングの違い

アカウントプロビジョニングを正しく理解するには、対になる概念「デプロビジョニング」との関係を押さえておく必要があります。

この二つはセットで設計しなければ意味がありません。入社時にアカウントを正しく作成しても、退職時の削除が漏れれば、元従業員が機密情報にアクセスできる状態が残ります。これは内部不正やデータ漏洩の直接的な原因になります。

ID管理の分野では、入社から退職までの流れを「ユーザーライフサイクル管理」と呼びます。プロビジョニングとデプロビジョニングはどちらも、このライフサイクル管理を支える基盤です。

アカウントプロビジョニングの4つの種類

プロビジョニングには実行方式によって複数の種類があります。自社の環境・利用SaaS・情シスのリソースに応じて、適切な方式を選ぶことが重要です。

手動プロビジョニング

情シス担当者が各SaaSの管理画面に個別ログインし、アカウントを手作業で作成・設定する方式です。追加コストなしで始められる反面、SaaSが増えるほど作業量が比例して増大します。権限の誤設定や退職者アカウントの削除漏れが発生しやすく、セキュリティリスクが高いという構造的な課題を抱えています。

JITプロビジョニング（Just-In-Time）

ユーザーがサービスに初めてログインした瞬間に、自動的にアカウントを作成する方式です。SAMLやOIDCと組み合わせて使われます。事前準備が不要な点は便利ですが、アカウント作成のタイミングを制御しにくく、権限設定の精度にばらつきが出やすい面があります。またデプロビジョニング（削除）は自動化されないため、退職者管理には別途対応が必要です。

SCIMプロビジョニング（自動プロビジョニング）

SCIM（System for Cross-domain Identity Management）という標準プロトコルを使って、IdP（IDプロバイダー）と各SaaSの間でアカウント情報を自動同期する方式です。Microsoft Entra ID（旧Azure AD）やOktaなどを起点に、対応SaaSのアカウントをリアルタイムで作成・更新・削除できます。現在、最も広く推奨される自動化方式です。

APIベースのプロビジョニング

SCIMに対応していないSaaSに対して、そのSaaSが提供する個別APIを通じてアカウント操作を行う方式です。SCIMより実装コストはかかりますが、SCIM非対応のSaaSにも自動化を適用できます。Josysのような統合管理ツールは、この方式でSCIM非対応のSaaSも含めた一元管理を実現しています。

手動プロビジョニングが抱える4つの課題

いまだ手動管理を続けている企業は少なくありません。しかし手動管理には、SaaSが増えるほど深刻になる構造的な問題があります。

課題1: 入社対応の遅延と生産性損失

新入社員のアカウントを手動で設定する場合、複数のSaaSへの個別ログイン・設定・配布を経るため、数時間から数日かかることがあります。入社初日に業務ツールが使えない状態は、新入社員だけでなく受け入れ部門の業務にも支障をきたします。オンボーディングの初速を下げる要因として見過ごせません。

課題2: ヒューマンエラーによるセキュリティリスク

手作業では権限の誤設定が避けられません。「経理担当者に営業データへのアクセス権を誤って付与した」「管理者権限を一般ユーザーに割り当てた」といったミスは、人が作業する限り必ず発生します。最小権限の原則（Principle of Least Privilege）を徹底すべき現代のセキュリティ要件を、手動管理では構造的に満たしにくいのです。

課題3: 退職者アカウントの削除漏れ

最もリスクが高い課題です。退職処理が完了した後もアカウントが残存していると、元従業員が機密情報にアクセスできる状態が続きます。悪意のある操作だけでなく、第三者にアカウントを悪用されるリスクも生じます。内部不正インシデントの主要因の一つとして、情報セキュリティの領域では長年指摘されている問題です。

課題4: 管理工数の増大とスケールの限界

従業員50人・SaaS20種類の企業なら、入退社のたびに最大20回の手動操作が発生します。従業員数が増え、利用SaaSが増えるほど、作業量は掛け算で増大します。人手の限られる情シス部門では、このオーバーヘッドが戦略的なIT業務の時間を圧迫します。

アカウントプロビジョニング自動化の3つのメリット

自動化の効果は運用効率の改善にとどまりません。セキュリティの構造的な強化と、従業員体験の向上という、事業全体に影響するメリットがあります。

メリット1: 情シスの工数を大幅に削減できる

人事システムへの登録をトリガーに、複数のSaaSへのアカウント作成・権限付与が自動実行されます。情シス担当者の手作業はゼロになり、これまで入社対応に費やしていた数時間から数日分の工数を、他の業務に充てることができます。利用SaaSが増えても、自動化されている限り追加の工数は発生しません。

メリット2: セキュリティリスクを構造的に排除できる

権限設定のルールを事前に定義することで、人が介在しないため誤設定が発生しません。退職者のアカウントは退職日に自動削除されるため、削除漏れのリスクがゼロになります。「アカウントが存在するかどうか確認する」という作業自体が不要になり、情報セキュリティ監査や内部統制でも証拠として示せる確実な管理体制を構築できます。

メリット3: 従業員体験（EX）と生産性が向上する

入社初日からすべてのSaaSにアクセスできる状態は、スムーズなオンボーディングを実現します。業務ツールの準備待ちというストレスがなくなり、受け入れ部門の負担も軽減されます。異動時の権限切り替えも即時に完了するため、旧部署の情報への不要なアクセスが残るリスクも防げます。

Josysのアカウントプロビジョニング自動化について、詳しくは資料でご確認いただけます。

Josysサービス資料をダウンロード（無料）

SCIMによるアカウントプロビジョニング自動化の仕組み

アカウントプロビジョニング自動化の中核となる技術がSCIM（System for Cross-domain Identity Management）です。どのような仕組みで動くのかを解説します。

SCIMとは

SCIMは、異なるシステム間でユーザーID情報を自動的にやり取りするための標準プロトコルです。2011年にバージョン1.0、2015年にバージョン2.0が公開され、現在はRFC 7642〜7644として標準化されています。Microsoft Entra ID・Okta・Google Workspaceなどの主要なIdP（IDプロバイダー）と、Salesforce・Slackなど多くのSaaSがSCIM 2.0に対応しています。

SCIM連携の基本的な流れ

SCIMによるプロビジョニングは、以下のように動作します。

1. IdP（例: Microsoft Entra ID）に従業員のアカウントが登録・更新される
2. IdPがSCIMプロトコルを通じて、対象SaaSにアカウント情報を送信する
3. SaaSはリクエストを受け取り、アカウントの作成・更新・削除を実行する
4. 処理結果がIdPにフィードバックされ、同期状態が維持される

この連鎖により、人事システムやIdPへの登録をトリガーとして、複数のSaaSへのアカウント操作が自動的に実行されます。

SCIM連携の設定手順（概要）

SCIM連携を設定する際の一般的な手順は以下のとおりです。具体的な設定方法はIdPとSaaSの組み合わせによって異なります。

1. 対象SaaSでSCIMを有効化し、テナントURL（SCIM URL）とAPIトークンを取得する
2. IdP側でSCIMコネクタの設定を行い、取得したURLとトークンを入力する
3. ユーザー属性のマッピングを設定する（氏名・メールアドレス・部署・役職など）
4. 同期範囲（対象グループ・ユーザー）を定義する
5. テスト同期を実行し、アカウントが正常に作成・更新されることを確認する
6. 本番運用を開始し、定期的に同期ログを監視する

アカウントプロビジョニング自動化の実践ステップ

SCIMの仕組みを理解したうえで、実際に自動化を導入する際の進め方を解説します。スモールスタートで確実に効果を出すためのステップです。

ステップ1: 現状のSaaSとアカウント管理を棚卸しする

自動化の前提として、現在利用しているSaaSの全量を把握することが必要です。SCIM対応のSaaSとそうでないSaaSを分類し、各SaaSの現在の管理方法（誰が・何を使って管理しているか）を整理します。この段階で、情シスが把握していないシャドーIT（シャドーSaaS）の洗い出しも同時に行うと効果的です。

ステップ2: IdPを中心とした管理基盤を整備する

SCIM連携の起点となるIdPを選定・整備します。Microsoft Entra ID・Okta・Google Workspaceなどが主要な選択肢です。すでに社内で運用しているIdPがある場合は、そこを起点として設計します。IdPに従業員情報（入退社・異動含む）が正確・即時に反映される仕組みを整えることが、自動化の精度を左右します。

ステップ3: 人事システムとIdPを連携させる

人事システム（HRIS）をプロビジョニングの起点にすることで、人事データの変更が自動的にIdPに反映され、各SaaSに伝播する流れが構築できます。SmartHR・SuccessFactors・Workdayなど主要な人事システムはIdPとの連携機能を提供しています。この連携により、入社・退職・異動の発令を人事部門が登録するだけで、アカウント操作まで自動的に完結します。

ステップ4: SCIM対応SaaSの自動化設定を進める

整備したIdPを起点に、SCIM対応のSaaSから順番にプロビジョニング設定を進めます。全社員が利用するコラボレーションツールやセキュリティツールなど、優先度の高いSaaSから着手することで、早期に効果を実感できます。

ステップ5: SCIM非対応SaaSへの対応を決める

すべてのSaaSがSCIMに対応しているわけではありません。SCIM非対応のSaaSには、以下のアプローチがあります。

• 各SaaS固有のAPIを使ったカスタム連携の開発
• JosysのようなSCIM非対応SaaSも含めて一元管理できる統合ツールの活用
• 完全な自動化が難しい場合は、ワークフロー承認ツールで半自動化する

ステップ6: 権限設計とロールを標準化する

自動プロビジョニングの精度を高めるには、「どの役割の従業員がどのSaaSにどの権限でアクセスするか」を定義した権限マトリクスの整備が不可欠です。部署・役職・雇用形態といった属性ごとに、付与するアクセス権のセットを標準化します。この設計が不十分だと、自動化しても誤った権限が付与され続けます。

アカウントプロビジョニングとSSO・SCIMの関係

アカウントプロビジョニングの理解を深めるために、SSO（シングルサインオン）との関係を整理しておきます。どちらも重要ですが、役割が異なります。

SSOとプロビジョニングの違い

SSOは「認証」の仕組みです。一度ログインすれば複数のサービスを利用できるようにするもので、アカウントの存在を前提とします。一方、プロビジョニングは「アカウントそのものの管理」です。SSOでアクセスするためのアカウントを作成・維持・削除するのがプロビジョニングの役割です。

SSOとSCIMを組み合わせることで管理が完結する

SSOとSCIM（プロビジョニング）を組み合わせることで、アカウント管理の全フェーズを自動化できます。入社時にSCIMでアカウントを作成し、日常的なログインはSSOで一元管理し、退職時にSCIMでアカウントを削除する。この三つの流れが自動化された状態が、セキュリティと利便性を両立するIAMの理想形です。

Josysによるアカウントプロビジョニング自動化

Josysは、ITデバイスとSaaSアカウントを一元管理するクラウドプラットフォームです。アカウントプロビジョニングの自動化において、以下の特徴を持ちます。

SCIM対応・非対応を問わず350種類以上のSaaSに対応

多くのIAMツールがSCIM対応SaaSのみを管理対象とするのに対し、JosysはSCIM非対応のSaaSにも独自のAPIコネクタで対応しています。350種類以上のSaaSに対して、アカウントの作成・変更・削除を一元的に操作できます。国内で広く使われているSaaSの大部分を網羅しており、SCIM対応・非対応で管理を分ける必要がありません。

人事システム連携で完全自動化を実現

SmartHRをはじめとする人事システムと連携することで、人事発令を起点としたアカウントプロビジョニングを完全に自動化できます。入社が確定した段階で、情シスが何も操作しなくても、入社日に新入社員がすべてのSaaSにアクセスできる状態が整います。

入社・異動・退職の全フェーズを一気通貫で自動化

入社時のプロビジョニングだけでなく、異動時の権限変更（旧部署の権限削除と新部署の権限付与）、退職時のデプロビジョニングまでをカバーします。ライフサイクルのどのフェーズでも、情シスの手作業はゼロです。

Josysサービス資料をダウンロード（無料）

Josysの実際の操作感を確認したい場合は、デモをご予約ください。

Josysのデモを予約する

アカウントプロビジョニングツールの選び方

自動化ツールを選定する際には、以下の観点で比較することを推奨します。

対応SaaSの種類と数を確認する

自社で利用しているSaaSのうち何割に自動プロビジョニングを適用できるかを確認します。対応SaaS数が多いほど管理の網羅性が高くなります。自社で利用頻度の高いSaaSが対応しているかを最初に確認しましょう。

人事システムとの連携可否を確認する

人事システムからの情報を自動的に受け取れるかどうかが、完全自動化の鍵です。対応している人事システムのリストと、連携に必要な設定工数を事前に確認します。

SCIM非対応SaaSへの対応方法を確認する

SCIM非対応のSaaSをどう扱うかは、各ツールによって大きく異なります。API連携・独自コネクタ・手動管理の補助など、自社のSaaS構成に合った対応方法を選択してください。

デプロビジョニングの即時性を確認する

退職者アカウントの削除がどのタイミングで実行されるかを確認します。即日・翌日・手動承認後など、ツールによって異なります。自社のセキュリティ要件に応じた即時性を持つものを選びましょう。

監査ログと可視性を確認する

誰がいつどのSaaSにアクセスできる状態になったかの履歴を、監査ログとして保存・参照できるかどうかを確認します。情報セキュリティ監査や内部統制の観点から、証跡管理は重要な要件です。

導入コストと運用負荷を評価する

初期設定の複雑さ・ランニングコスト・サポート体制を確認します。ツール導入後の運用が情シスの新たな負担にならないよう、設定のしやすさと自動化の範囲を評価してください。

アカウントプロビジョニング導入でよくある失敗と対策

自動化ツールを導入しても、設計や運用が不十分だと期待した効果が得られません。よくある失敗パターンと対策を整理します。

失敗1: 権限マトリクスが未整備のまま導入する

自動化ツールを先に導入し、権限設計を後回しにすると、誤った権限が自動で付与され続ける事態になります。ツール導入の前に「誰がどのSaaSにどの権限でアクセスするか」を部署・役職単位で整理した権限マトリクスを作成することが先決です。

失敗2: 人事システムのデータ連携精度が低い

人事システムの入力データに誤りや遅延がある場合、プロビジョニングも誤った状態で実行されます。人事部門と情シスが連携し、人事データの入力ルールと締め切りを標準化することが対策になります。

失敗3: SCIM非対応SaaSを管理対象外にしてしまう

SCIM対応のSaaSだけ自動化し、非対応のSaaSは手動管理のままにすると、管理の抜け穴が生まれます。SCIM非対応SaaSも含めて一元管理できるツールを選択するか、非対応SaaSの管理フローを明確に定義することが必要です。

失敗4: 導入後の監査と棚卸しを怠る

自動化後も定期的にアカウントの実態を確認しないと、権限の肥大化（権限クリープ）が発生します。四半期に一度はアカウントの棚卸しと権限の見直しを実施し、アクセスしていないSaaSのアカウントは無効化または削除するルールを設けましょう。

アカウントプロビジョニングに関するよくある質問

Q. SCIMに対応していないSaaSはどう自動化できますか？

そのSaaSが提供する個別APIを利用してアカウント操作を自動化する方法があります。ただし、API連携の開発・維持にはコストがかかります。Josysのような統合管理ツールを活用すると、SCIM非対応を含む多数のSaaSを追加開発なしに自動管理できます。

Q. プロビジョニングとIAM（ID管理）はどう違いますか？

IAM（Identity and Access Management）はより広い概念で、認証・認可・アクセス制御全体を包含します。プロビジョニングはIAMの一部であり、アカウントのライフサイクル（作成・変更・削除）に特化した機能を指します。プロビジョニングはIAMを機能させるための前提となる仕組みです。

Q. 従業員数が少ない中小企業でも自動化は必要ですか？

従業員数にかかわらず、複数のSaaSを利用している企業であれば自動化のメリットがあります。情シス担当者が少ない中小企業ほど、手動管理による工数負担とミスのリスクが相対的に高く、自動化による恩恵が大きくなります。

Q. JITプロビジョニングとSCIMプロビジョニングはどちらが適していますか？

JITプロビジョニングは初回ログイン時にアカウントを作成するため、事前準備が不要ですが、デプロビジョニング（削除）は自動化されません。SCIMプロビジョニングは入社・異動・退職の全フェーズを自動化できるため、ライフサイクル管理全体を自動化したい場合はSCIMが適しています。

Q. プロビジョニングの設定にはどのくらいの期間がかかりますか？

IdPが整備されている状態であれば、SCIM対応の主要SaaSは数時間〜1日程度で設定可能です。ただし権限マトリクスの整備や人事システムとの連携設定には、数週間〜1〜2ヶ月かかることもあります。Josysのような専門ツールを利用すると、設定工数を大幅に削減できます。

まとめ

アカウントプロビジョニングとは、従業員の入社・異動・退職に合わせてSaaSアカウントを管理するプロセスです。手動管理が抱える工数の増大・ヒューマンエラー・セキュリティリスクを解消し、情シスが本来注力すべき戦略的な業務に集中できる環境を整えます。

自動化の中核となる技術はSCIM（System for Cross-domain Identity Management）です。IdPと各SaaSをSCIMで連携し、人事システムと接続することで、人事発令を起点とした完全自動化が実現します。SCIM非対応のSaaSが多い環境には、Josysのような統合管理ツールが有効です。

自動化の導入を検討している場合は、まず現状のSaaSと管理状況の棚卸しから始め、権限マトリクスの整備を並行して進めることをおすすめします。

Josysでは、350種類以上のSaaSに対応したアカウントプロビジョニング自動化を提供しています。5分でわかる資料をご用意していますので、まずはご確認ください。

Josysサービス資料をダウンロード（無料）

実際の操作感を確認したい方は、デモをご予約ください。

Josysのデモを予約する

関連記事

• 入退社のSaaSアカウント自動化完全ガイド｜仕組み・ツール比較13選
• SCIMとは？仕組みとSAMLとの違いをわかりやすく解説
• SaaS管理ツールの選び方と比較ポイント
• 退職者アカウントの削除漏れを防ぐ方法