概要
Okta は独立系のワークフォース ID プロバイダーで、シングルサインオン、MFA、一元化されたユーザーディレクトリ、SaaS アプリへのプロビジョニング、アクセスレビューを提供し、20,000 社を超える顧客に販売されています。オペレーションチームにとっては、誰が Salesforce、Ashby、Ironclad を開けるのか、そして誰かが退職した日にそのアクセスがどうなるのかを決める存在です。
2026 年に変わったのは、Okta が AI エージェントを従業員と同じディレクトリ内の ID として扱うようになったことです。これは 2 つのレイヤーで提供されており、購入担当者はこの 2 つを混同しがちです。
- Agent SSO：2026 年 8 月 24 日に一般提供が始まり、Okta SSO のコアプランに追加費用なしで含まれています。Cross App Access（XAA）に対応したエージェントは、人間のオーナーとともに Universal Directory に登録され、保存された API キーの代わりに、そのエージェントが代行する人と同じポリシーのもとで発行される短命のトークンを受け取ります。Cross App Access は Okta が設計を主導した OAuth の拡張で、現在は MCP の公式な Enterprise-Managed Authorization 拡張になっています。ローンチパートナーには Anthropic（Claude）、Slack、Notion、Linear、Glean、Granola、Asana、Atlassian、Figma、Canva、Datadog、Supabase が含まれます。
- Okta for AI Agents：別売りの有料サブスクリプションで、2026 年 4 月 30 日に一般提供が始まりました。ブラウザ、エンドポイント、ネットワークのシグナルによるシャドーエージェントの検出、XAA に対応していないエージェントのカバー、エージェントからリソースへのすべての呼び出しを記録する仮想 MCP サーバーを備えた Agent Gateway、エージェントの認証情報の保管とローテーション、アクセス認証、そして Universal Logout for AI Agents が加わります。Universal Logout for AI Agents は、エージェントのトークンをあらゆる場所で失効させるキルスイッチです。
Okta はまた、ID 脅威検知企業の Permiso Security の買収を 2026 年 8 月 26 日に完了しました（Okta 10-Q）。その検知機能は今後のリリースで Identity Threat Protection に組み込まれると見込まれますが、そのロードマップを前提に購入しないでください。
答える問い
「オペレーション用エージェントのアクセスを Okta で統制するのか、それとも別の MCP ゲートウェイやエージェントセキュリティのレイヤーが必要なのか？」。答えは、どのエージェントを運用しているかによって決まります。重要なエージェントが、XAA 対応アプリにアクセスする Claude、Glean、Slack ネイティブのエージェントであれば、Agent SSO がすでに支払っているライセンスの範囲で登録、短命のアクセス、オフボーディングをカバーします。これは手に入る中で最も安価なガバナンスです。リスクがロングテールにある場合、つまり Salesforce のトークンを保持する n8n フロー、誰かがノート PC にインストールした MCP サーバー、社内で構築したエージェントであれば、Okta for AI Agents か、Runlayer や Obot のような専用ゲートウェイが必要です。Agent SSO は、Okta にトークンを一度も要求しないエージェントを把握できません。
価格の実態
Okta は Workforce スイートについてユーザー単位の定価を公開しており、年間請求で、年間契約の最低額は 1,500 ドルです。
- Starter：ユーザーあたり月額 6 ドル。SSO、MFA、Universal Directory、5 個の Workflows。
- Core Essentials：ユーザーあたり月額 14 ドル。
- Essentials：ユーザーあたり月額 17 ドル。Adaptive MFA、Lifecycle Management、Access Governance、2 人の管理者向けの Privileged Access、50 個の Workflows が加わります。
- Professional と Enterprise：見積もりのみ。Identity Threat Protection、Identity Security Posture Management、Device Access、API Access Management などが加わります。
従業員 200 人の場合、Starter の定価は年間 14,400 ドル、Essentials は 40,800 ドルです。Okta for AI Agents は価格非公開の見積もりのみのアドオンで、Identity Governance は別売りです。オペレーション責任者を驚かせるのは SaaS アプリ側の請求です。SCIM プロビジョニングと SSO はベンダーのエンタープライズプランでしか使えないことが多いため、「Okta の配下に置く」ことの実際のコストには、相手側のアップグレード費用が含まれます。約束する前に、両方の価格を確認してください。
最適な対象
Google Workspace または Microsoft 365 に加えて Salesforce、Slack、ATS、CLM を使う混在型の SaaS 環境を持つ、従業員 200〜5,000 人規模の企業の IT またはセキュリティ責任者で、どの人間とどのエージェントが各アプリにアクセスできるかを 1 か所で決めたい人です。Okta が勝つ具体的なケースは、RevOps または Legal Ops のチームが Slack、Notion、Linear に対して Claude と Glean を展開する場合です。Agent SSO によって、別のツールを購入することなく、すべてのエージェントにオーナーと失効可能なトークンが与えられます。
向いていない対象
Entra ID がすでに Microsoft 365 E3 または E5 でライセンスされている Microsoft 一色の企業には向きません。ディレクトリと SSO に二重で支払うことは正当化しにくいからです。また、おおむね 25 人未満のチームにも向きません。1,500 ドルの最低額と SaaS 側のプランのアップグレードが、SSO 付きのパスワードマネージャーの費用を上回ります。
代替製品との比較
- Microsoft Entra ID：Microsoft 365 にバンドルされているため、ほとんどの企業がすでに保有しています。エージェント ID は Entra Agent ID と、ユーザーあたり月額 15 ドルの Microsoft Agent 365 を通じて管理されます。エージェントの大半が Copilot Studio、Foundry、または Microsoft テナント内にあるなら Entra を選び、重要なエージェントが Microsoft 以外の SaaS をまたいで動くなら Okta を選んでください。
- Ping Identity：もう 1 つの大手独立系ワークフォースベンダーで、Thoma Bravo のもとで ForgeRock と合併しており、ハイブリッド環境とオンプレミス環境に最も強みがあります。要件リストの大半をレガシーアプリとカスタムフェデレーションが占めるなら選んでください。
- Rippling AI Governance：最も動きの速い新規参入者です。MCP ゲートウェイ、エージェント ID、シャドー AI 検出を、HRIS の上に 2026 年 8 月にリリースしました。Rippling がすでに記録システムで、別の ID ベンダーなしにアクセスを雇用状態に連動させたい場合に選んでください。
- Runlayer、Obot、Composio、Arcade：Okta の代わりではなく、Okta の隣に置くゲートウェイやツール認証のレイヤーです。ID については Okta とフェデレーションします。課題がエージェントが誰かではなく、MCP トラフィックの検査や数百のアプリへのエージェントの書き込みアクセスであれば、いずれかを選んでください。
- Zenity または WitnessAI：懸念が、エージェントやコパイロットが実行時にデータで何をするかである場合に選んでください。ID プロバイダーはそこを検査しません。
注意点
- Agent SSO がカバーするのは、要求してくるエージェントだけです。 登録されるのは XAA 対応のエージェントで、静的な API キーを保持する自動化は見えません。対策：カバー済みと宣言する前に、上位 10 個の SaaS アプリにあるエージェントの認証情報を棚卸しし、XAA パートナーリストにないものについては Okta for AI Agents かゲートウェイの予算を確保してください。
- Okta はすべてのログインの経路上にあるため、攻撃の標的になります。 2023 年 10 月のサポートシステムへの侵害では、顧客のセッションデータが流出しました。対策：Okta 管理者にはフィッシング耐性のある MFA を必須にし、Okta System Log を SIEM に送り、SSO の外に文書化された緊急用の管理者アカウントを維持してください。
- 定価は見積もりの半分にすぎません。 SaaS 側の SCIM と SSO、Identity Governance、AI Agents アドオンはすべて別の項目です。対策：すべてのアドオンを同じ見積もりで価格提示してもらい、注文書で更新時の値上げに上限を設けてください。
- 買収に由来するロードマップ。 Permiso の検知機能は、まだ Okta の名前付き SKU になっていません。対策：現時点で一般提供されている機能だけを評価し、約束された機能は日付とともに契約書に明記してください。