パスワード管理ツール5件を比較 データの置き場所と会社での管理で選ぶ

日本のデータセンターを選べるクラウドは、5件のうち2件だった。大全に掲載しているパスワード管理ツールを、公式サイトで確認できた記載だけで比べた結果である。

パスワード管理ツールを比べるとき、最初の分かれ目は機能の数ではない。パスワードを入れた保管庫のデータを、どこに置くかだ。海外のクラウドか、日本のデータセンターか、自社のサーバーか、手元のパソコンのファイルか。置き場所が決まると、候補はかなり絞られる。

そのうえで、社員のアカウントを会社でどこまで管理したいかを見ると、選ぶべきプランも見えてくる。

データの置き場所で、5件は4つに分かれる

データの置き場所	サービス	公式サイトの記載
海外のクラウド	1Password	米国・カナダ・EUの3つの地域から選ぶ
日本のデータセンターを選べるクラウド	Keeper・Zoho Vault	Keeperは2022年11月に日本のデータセンターの開設を発表。Zoho Vaultは2022年2月以降に登録した利用者に日本のデータセンターの機能を適用
クラウドか自社のサーバー	Bitwarden	クラウドは米国かEU。Dockerを使ってLinuxやWindowsのサーバーにも置ける
手元のファイル	KeePassXC	リモートのサーバーにデータを置かない

置き場所を先に決めたいのは、取引先や社内の規程から保管先を問われることがあるからだ。セキュリティの質問票で、データを保管する国を答える場面もある。国内に置くことが条件なら、KeeperとZoho Vaultが候補になる。

国内に保管できるサービスの一覧は、特集「データを日本国内に保管」にまとめている。

一方、自社のサーバーに置く方法は、データを社外に出さない代わりに運用を抱える。Bitwardenのヘルプには、サーバーの更新やバックアップ、ネットワークの要件の手順が並ぶ。組織で自社運用するときも、まずクラウドで契約を始め、ライセンスのファイルを自社のサーバーに読み込ませる流れだ。

Keeperにも、閉じたネットワークで動かすSelf-Managed Keeperがある。ただし公式サイトでは、工場の制御系や政府機関など、インターネットから切り離した環境向けの製品として案内されている。中小企業がふだんの業務で使う形とは、前提が違うと考えられる。

KeePassXCはサーバーを持たない。暗号化したデータベースのファイルを、利用者が決めた場所に置いて開く形である。

料金体系と、使える端末

サービス	無料で使える範囲	請求の単位	料金ページの通貨	使える端末
1Password	個人向けは14日間の無料トライアル。法人の上位の製品は見積もり	月払い・年払い	米ドル（カナダとEUの地域は自国の通貨）	Windows・Mac・Linux・iOS・Android・ブラウザ
Bitwarden	個人向けの無料プラン。法人向けは14日間の無料トライアル	法人向けは年払い	米ドル	Web・Windows・Mac・Linux・iOS・Android
Keeper	法人向けのプランに無料の試用	年払い	円	Web・Windows・Mac・Linux・iOS・Android
Zoho Vault	無料プラン（保管の数と端末の数に上限なし）。有料のプランは15日間の無料トライアル	月間契約・年間契約	円（税別）	Web・ブラウザの拡張・モバイルのアプリ
KeePassXC	すべて無料（オープンソース）	なし	なし	Windows・Mac・Linux

金額は改定やキャンペーンで変わるため、ここには書かない。最新の金額は、1Password・Bitwarden・Keeper・Zoho Vaultの料金ページで見てほしい。

経理の目で見ると、通貨の違いは小さくない。ドル建ての請求は、為替によって毎年の支払いの額が動く。

円で請求されるKeeperとZoho Vaultは、予算を立てやすいだろう。

無料で始められる範囲にも差がある。Bitwardenの無料プランは個人向けで、ほかの利用者1人との共有まで使える。Zoho Vaultの無料プランは、保管の数と端末の数に上限がない。チームでの共有はスタンダード以上の機能である。

会社で管理する機能を比べる

項目	1Password	Bitwarden	Keeper	Zoho Vault	KeePassXC
2段階認証	○	○	○	○	○（YubiKeyなどを加えたロックの解除）
シングルサインオン	OIDCで連携（Business）	SAML 2.0・OIDC（Enterprise）	SAML（Enterprise）	クラウドのアプリへのシングルサインオン、Okta・OneLoginとの連携（エンタープライズ）	公式サイトで確認できず
アカウントの自動作成・停止	SCIM（Business）	SCIM・Directory Connector（Teams・Enterprise）	SCIM・AD/LDAP（Enterprise）	Azure・Google Workspaceからの同期（プロフェッショナル）、Active Directoryとの連携（エンタープライズ）	公式サイトで確認できず
操作ログ	監査に使えるアクティビティログ（Enterprise Password Manager）	イベントのログ（Teams以上）	イベントの監査とレポート	監査証跡（無料プランから）	公式サイトで確認できず
第三者の認証	SOC 2のタイプ2	ISO/IEC 27001・SOC 2のタイプ2・SOC 3	ISO/IEC 27001・27017・27018	公式サイトで確認できず	版2.7.9がフランスのANSSIのCSPN

かっこの中は、公式サイトでその機能が載っているプランの名前。

シングルサインオンは、同じ言葉でも中身が違う。

BitwardenはSAML 2.0とOIDCの両方に対応し、1PasswordはOIDCだけで連携する。意外なのは、1Passwordでは所有者（Owners）のグループの人がシングルサインオンでロックを解除できないことだ。所有者が締め出されてデータを失うのを防ぐための決まりだと、ヘルプで説明している。

1Passwordのアプリでシングルサインオンを使うには、インターネットへの接続も要る。オフラインで開きたい場面には、生体認証での解除を許可する設定がある。

Zoho Vaultのエンタープライズは、Vaultからクラウドのアプリへシングルサインオンする機能を料金ページに挙げている。社員がVaultにログインする入口をIdPにまとめたいのか、Vaultを各アプリの入口にしたいのか。

目的によって、見るべき項目は変わる。

なお、Zoho Vaultの日本語の料金ページにある機能の表は、米国のデータセンターの機能を訳したものだと注記がある。日本のデータセンターでは表記と違う場合があり、公式は評価版での確認を勧めている。シングルサインオンに対応したサービスの一覧は特集「シングルサインオン」で見られる。

1人、少人数、全社。使う人数で候補は変わる

1人で使うなら、無料で始められる3件から選べる。KeePassXCは手元のファイルで完結し、Bitwardenの無料プランとZoho Vaultの無料プランはクラウドで端末の間を同期する。1PasswordとKeeperは、有料のプランを試用してから決める形だ。

5〜10人ほどのチームでは、共有と管理の機能が要になる。Keeperのビジネススターターは「5～10ユーザー規模に対応」と書かれている。BitwardenはTeams、Zoho Vaultはスタンダードから、チームでの共有とメンバーの管理が加わる。Zoho Vaultのプロフェッショナルとエンタープライズは、最小5ユーザーからの契約である。

全社で使うなら、IdPとつなげるかどうかで決まる。Microsoft Entra IDやOktaで社員のアカウントを管理している会社では、入社と退職のたびに手で登録し直すのは負担が大きい。1PasswordのBusiness、BitwardenのEnterprise、KeeperのEnterprise、Zoho Vaultのエンタープライズが、この段階の候補になる。

データを社外に出せない会社は、Bitwardenの自社運用か、KeePassXCを検討することになる。ただしKeePassXCには、社員のアカウントを中央で管理する機能が公式サイトで見当たらない。

人数が増えるほど、運用の決まりを自社で作る手間は大きくなるだろう。

社員が辞める日に慌てないために

パスワード管理ツールを入れる大きな理由に、人の出入りへの備えがある。

共有の表計算のファイルにパスワードを並べていると、退職のたびに、どれを変えればよいのか分からなくなる。

各社の記載を見ると、備え方に違いがある。

Zoho Vaultは、ユーザーのアクセスの取り消し、パスワードの所有権の移転、企業のパスワードの再取得を機能に挙げている。プロフェッショナル以上には、緊急時に一時的にアクセスできる非常用アカウントもある。Keeperは、法人向けのプランの機能の一覧に「ボルト移転」を載せている。

1PasswordはSCIMでIdPとつなぐと、IdPで外した社員のアカウントを1Password側で停止できる。BitwardenもSCIMで、メンバーとグループを自動で設定できる。

KeePassXCは、KeeShareでグループを共有できる。しかし辞めた人が持ち出したファイルを、後から取り消す機能は公式サイトで確認できなかった。共有していたデータベースは、マスターパスワードと中のパスワードを変える前提で運用したい。

導入の前にしておきたいことは2つ。

社員が共有しているアカウント（SNSの管理画面、取引先のポータル、店舗のWi-Fiなど）を書き出し、だれが知っているかを一覧にする。そして退職の手順書に、パスワード管理ツールのアカウントの停止と、共有の付け替えを1行足しておく。

よくある質問

無料で使えるパスワード管理ツールはどれか？

5件のうち、KeePassXCはすべて無料のオープンソースである。Bitwardenは個人向けの無料プランがあり、ほかの利用者1人との共有まで使える。Zoho Vaultは無料プランで、保管の数と端末の数に上限がない。1PasswordとKeeperは無料の試用期間がある。無料プランのあるサービスの一覧は特集「無料プラン」にある。

KeePassXCのデータベースのファイルを、クラウドストレージに置いてもよいか？

KeePassXCの公式のユーザーガイドは、OneDriveやDropbox、Google Driveなどに置いてもよいとしている。ファイルは常に暗号化されていて、暗号化していないデータがディスクに書き込まれることはないと説明している。その分、マスターパスワードの強さが対策の中心になる。YubiKeyなどを加えてロックを解除する設定も検討したい。最新版の変更はKeePassXC 2.8.0の記事で紹介している。

シングルサインオンを入れていれば、パスワード管理ツールは要らないか？

シングルサインオンでまとめられるのは、IdPとつながるアプリだけである。SNSの管理画面や取引先のポータル、機器の管理画面など、IdPとつながらないアカウントは残る。こうしたアカウントの保管と共有のために、パスワード管理ツールを併せて使う会社が多い。1Passwordは、IdPのアカウントで1Password自体のロックを解除する形でシングルサインオンに対応している。

パスキーも保管できるか？

5件とも、公式サイトにパスキーの記載がある。1Passwordはパスキーの生成と保管、Bitwardenはパスキーの管理と利用、KeePassXCはブラウザでのパスキーに対応する。Keeperは法人向けの機能の一覧に「パスワードとパスキーの共有」を載せている。Zoho Vaultは、パスキーを保管し、パスキーでVaultのロックを解除できると案内している。