Keycloak、authentik、ZITADELは、いずれもアプリやWebサービスの利用者認証に使えるID基盤です。ログイン画面や本人確認の仕組みを自分で一から作らずに済ませるためのソフトウェア、と考えるとイメージしやすいでしょう。
3つを比べるとき、違いは認証方式の多さだけではありません。むしろ大きいのは、サーバーを自社で運用する（self-host）のか、クラウドで任せられるのか、そして法人顧客（B2B）をどう表現するのかという点です。ここが決まると、候補は自然に絞られます。
運用をすべて自社で担う前提ならKeycloakかauthentik、クラウドとself-hostの両方を候補に残しておきたいならZITADELが選びやすい構成です。B2Bで使うなら、顧客企業を「組織」と「メンバー」として直接扱いたいのか、グループとポリシーの組み合わせで分けたいのかも合わせて確認しましょう。
Keycloak
こんな人に
幅広い認証方式と組織管理を備えたself-host基盤を運用したい
authentik
こんな人に
認証フローを組み立てながらself-hostしたい
ZITADEL
こんな人に
クラウドを利用しつつ、必要に応じてself-hostも検討したい
最初に見るべきなのは、サーバーを誰が運用するかです。Keycloakとauthentikは、利用者側でのself-hostが前提になります。ZITADELにはZITADEL Cloudというクラウド提供があり、個別条件のEnterpriseではself-hostも選択肢になります。
| 比較点 | Keycloak | authentik | ZITADEL |
|---|---|---|---|
| 提供形態 | self-host | self-host | クラウド、個別条件のself-host |
| 主なログイン構成 | Keycloakのログイン画面へ移動して認証 | フローでログイン、登録、回復を構成 | ホスト型ログイン画面を利用 |
| MFA | パスキー、TOTP/HOTP、リカバリーコードなど | MFAとパスキー | TOTP、OTP、U2F・パスキーなど |
| B2Bの顧客組織 | 組織とメンバーを管理 | グループとアプリのポリシーを組み合わせて分離 | 組織とメンバーシップを管理 |
| 管理方法 | 管理画面、利用者向け画面、Admin REST API | 管理画面、利用者向け画面、API | Console、Management API |
| データ配置 | 自社の配備先とデータベース配置で決まる | 自社の配備先とPostgreSQL配置で決まる | クラウドは複数のデータ所在地を提示。self-hostは個別条件 |
表の上では似た機能が並びますが、導入後に自社が負う責任の範囲は同じではありません。ログイン画面を用意できることと、その基盤を止めずに動かし続けることは別の仕事です。自社運用を選ぶなら、バージョン更新、監視、障害対応、データベースの保守まで含めて判断してください。
なお表の「MFA」は多要素認証のことで、パスワードに加えてもう1つの確認手段を求める仕組みです。TOTPやパスキーは、その確認手段の種類を指します。
Keycloakは、OpenID Connect、OAuth 2.0、SAMLという主要な認証の標準規格に対応した、self-host型のID基盤です。アプリの利用者をKeycloakのログイン画面へ移動させ、パスワードやパスキー、ワンタイムパスワードなどを使った認証を構成できます。
B2B向けには、同じrealm（Keycloak内で設定や利用者をまとめる単位）の中に組織とメンバーを作り、1人の利用者を複数の組織へ所属させられます。外部のOpenID ConnectまたはSAMLのIDプロバイダーを仲介し、それを組織に関連付ける構成も可能です。顧客企業ごとに別のログイン経路を用意したい場合に、仕組みを確認しやすい設計だと言えます。
その一方で、Keycloakはサーバーを自社で配備して運用します。どれだけの利用者を支えられるか、どれだけ安定して動くかは、Keycloakの設定だけでなく、サーバー構成や外部データベースの容量にも左右されます。管理画面やREST APIで利用者、ロール、クライアントなどを細かく管理できますが、その自由度を活かすには運用を担当する人が必要です。
authentikも、B2CとB2Bの両方のアプリ認証を扱えるself-host型のID基盤です。現時点ではホスト型サービスを提供していないため、自社で配備する前提で比較することになります。
特徴は、ログイン、新規登録、アカウント回復といった一連の体験を「フロー」として自分で組み立てられる点です。パスワード認証、MFA、パスキーを組み合わせられます。接続面ではOpenID Connect、OAuth 2.0、SAMLを扱い、利用者のセッションやトークン、ログアウトも管理します。
B2Bでの扱い方は他の2つと少し異なります。顧客企業を専用の組織オブジェクトで表すのではなく、グループと、アプリや接続先に設定するポリシーを組み合わせてアクセスを分離します。自社の顧客構造をこの方法で無理なく表現できるかどうかは、試験導入で実際に確かめておくとよいでしょう。管理者は利用者、グループ、認証情報、連携アプリ、イベントを管理画面から扱えます。
ZITADELは、顧客ポータルや複数テナント型の業務アプリ向けのID基盤です。ZITADEL Cloudを利用でき、個別料金のEnterpriseではself-host構成も選択肢に入ります。まずクラウドで運用の負担を抑えたい場合と、配備の形態を自社の要件に合わせたい場合の、両方を検討できるということです。
ログインでは、パスワード、パスワードレス、パスキー、外部IDプロバイダーを扱えます。アプリからホスト型のログイン画面へ移動し、どの組織としてログインするかという文脈を含めて認証する構成です。ConsoleとManagement APIからは、利用者、組織、プロジェクト、アプリ、メンバーシップを管理できます。
B2Bの組織はFreeプランから上限なしと案内されています。クラウドのデータ所在地はEU、米国、スイス、オーストラリアが示されているため、自社に必要な地域が含まれるかを選定時に確認できます。プランによって利用者数の数え方、外部IDプロバイダー、稼働率保証、self-hostのサポート条件が変わる点は押さえておきましょう。
3製品にはいずれもself-hostの入口がありますが、ソフトウェアの料金と、運用にかかる総額は分けて考える必要があります。Keycloak本体はオープンソースとして公開されていますが、サーバーやデータベースの運用費は利用者側の負担です。authentikのオープンソース版もソフトウェア自体は無料で、インフラの費用は含まれません。
有償プランの数え方も揃っていません。authentikのEnterpriseは、社内の利用者と外部の利用者を別の単価で数える年払いです。ZITADEL Cloudは日次アクティブユーザー（DAU）を基準にしており、Freeは100 DAU、Proは月100米ドルで25,000 DAUを含むと案内されています。課金の対象も請求の周期も違うため、公開されている額を横並びにして安いほうを決める、という比べ方はできません。
注意
料金はGLOBAL向け公式情報を2026年8月7日に確認した内容です。市場、通貨、契約周期、追加費用を導入前に確認してください。
比較で迷ったときは、次の順番で絞り込むと決めやすくなります。
まず、クラウド運用を許容できるか、自社管理を必須にするかを決めます。クラウドを使いたいならZITADELが候補です。self-hostを必須にするなら3製品とも候補になりますが、Keycloakとauthentikは自社運用が前提であるのに対し、ZITADELのself-hostは個別条件になります。
次に、B2Bの顧客企業をどう管理したいかを確認します。組織とメンバーを直接扱う構造が合うならKeycloakとZITADELを比較しやすく、グループとポリシーで分離する設計が合うならauthentikも有力です。B2Cで使うなら、登録、ログイン、MFA、アカウント回復という一連の流れを、自社が求める体験にできるかを実際に試してみてください。
最後に、運用の責任と費用を一緒に見積もります。self-hostはライセンスの入口が無料でも、監視、更新、障害対応、データベース運用という仕事が残ります。クラウドを選べばその負担は減りますが、代わりに利用者数の数え方やプランの上限を継続して確認していく必要があります。
Q.self-hostを避けたい場合はどれを選ぶ？
A.この3製品ではZITADEL Cloudが候補になります。Keycloakとauthentikはself-hostが前提です。
Q.3製品ともB2Bの顧客認証に使える？
A.いずれもB2B用途を扱えます。ただし表現の仕方が違い、KeycloakとZITADELは組織を管理する構造を持つのに対し、authentikはグループとアプリのポリシーを組み合わせて顧客企業のアクセスを分離します。
Q.オープンソースなら運用費も無料？
A.いいえ。Keycloakとauthentikのself-hostでは、ソフトウェアの入口が無料でも、サーバー、データベース、監視、更新などの運用は自社の負担として残ります。
Q.公開されている料金を並べれば、安い製品を選べる？
A.選べません。authentikのEnterpriseは社内利用者と外部利用者を別単価で数える年払い、ZITADEL Cloudは日次アクティブユーザー基準というように、課金の対象も請求周期も異なるためです。自社の使い方に当てはめて試算してください。
確認日: 2026-08-07（記載の各公式ページで確認。価格などは変わることがあります）
Keycloak
authentik
ZITADEL