この記事ではDevOps・自動化に特化して解説します。AI自動化・DevOps全般は AI自動化ツール完全ガイド2026｜ノーコードからコードまで徹底比較 をご覧ください。
この記事のポイント（30秒でわかるLogto）
・Logtoとは？ OIDC/OAuth 2.1準拠のOSS認証基盤。ユーザー登録・ログイン・SSO・RBAC・MFAを1つのサーバーで賄う「Auth0のセルフホスト版」的な立ち位置
・ライセンスはMPL-2.0 — MITでもApacheでもない。改変したファイル単位でソース公開義務が発生する弱いコピーレフト。そのまま使う分には制約はほぼ無い
・セルフホストは無料、Cloudは有料 — 「OSSだから完全無料」ではなく、Logto Cloudを使うならMAU課金。この線引きが最も誤解されやすい
・実測（2026-08-14） ★14,342 / fork 1,162 / TypeScript / 最新 v1.42.0（2026-07-30）/ 直近push 2026-08-14 と開発は活発
・Auth0との最大の差 機能数ではなくデータの置き場所。テナントDBを自分のPostgreSQLに置けるかどうかが判断軸
Logtoとは——認証基盤を自前で持つという選択
Logtoは、オープンソースの認証基盤プラットフォーム。OIDC・OAuth 2.1をサポートし、マイクロサービスやSaaS、AIアプリケーション向けの認証インフラとして機能する。セキュアな本番運用に対応し、マルチテナント、エンタープライズSSO、RBACといった企業向け機能を備えている。
自前で認証を実装する場合、パスワードハッシュ・セッション管理・トークン失効・ソーシャルログインのコールバック処理・MFAのリカバリコードといった「作ると必ず穴が空く」領域を全部自分で持つことになる。Logtoはそこを OIDC の標準実装として肩代わりし、アプリ側は「Logtoにリダイレクトして、返ってきたトークンを検証する」だけになる。
Google / Microsoft / SAML U->>A: 保護ページへアクセス A->>L: 未認証なのでリダイレクト L->>U: ログイン画面を表示 alt ソーシャル / エンタープライズSSO L->>P: 認可リクエスト P-->>L: IDトークン else パスワード + MFA U->>L: 認証情報を入力 end L-->>A: 認可コードを返す A->>L: コードをトークンに交換 L-->>A: アクセストークン + IDトークン A->>A: JWTを検証しRBACのロールを判定 A-->>U: 保護ページを表示
実測データとライセンスの正確な条件
記事公開時から情報が動いているため、2026-08-14 時点の GitHub API 実測値で更新した。
| 項目 | 実測値（2026-08-14） |
|---|---|
| スター / fork | 14,342 / 1,162 |
| 主要言語 | TypeScript |
| ライセンス | MPL-2.0（Mozilla Public License 2.0） |
| 最新リリース | v1.42.0（2026-07-30） |
| 直近push | 2026-08-14（開発は活発） |
| リポジトリ | logto-io/logto |
ライセンスの読み方が最も重要。MPL-2.0 は GPL のような「派生物すべてに伝播する強いコピーレフト」ではなく、改変したファイル単位でソース公開義務が生じる弱いコピーレフトである。整理すると：
・そのまま起動して使う → 公開義務なし。自社アプリのコードは当然クローズドのままでよい
・SDKを呼ぶだけのアプリを書く → 公開義務なし。MPL-2.0 はリンクした側には伝播しない
・Logto本体の .ts ファイルを書き換えて配布する → その改変ファイルのみ公開義務が発生する
・社内でのみ動かす（配布しない） → 配布が発生しないため公開義務は生じない
「OSS認証基盤 = MITで何でも自由」と思い込んだまま本体を fork して改造すると条件を外すため、着手前にここだけは確認しておきたい。
セルフホストとLogto Cloudの境界線
もう一つの誤解が「OSSだから無料」という理解である。実際には2つの提供形態があり、無料なのは前者だけである。
| セルフホスト | Logto Cloud | |
|---|---|---|
| 利用料 | 無料（インフラ費のみ自己負担） | MAU（月間アクティブユーザー）課金 |
| データの置き場所 | 自社のPostgreSQL | Logto社の管理環境 |
| 運用責任 | 自分（アップデート・バックアップ・可用性） | Logto社 |
| 向くケース | データ主権が要件・すでにDB運用基盤がある | 認証の運用を持ちたくない・立ち上げが最優先 |
Auth0 / Firebase Authentication と比べる際は、機能数ではなくこの「データの置き場所」で比較するのが実務的である。機能面は3者とも SSO・MFA・RBAC を備えており決定打になりにくい一方、テナントDBを自社に置けるかどうかは後から変更しづらいためである。
使い方：Docker Composeで起動して疎通を確認する
セルフホストの最短経路は公式の Docker Compose である。PostgreSQL ごと立ち上がる。
# 公式のcompose定義を取得してそのまま起動（PostgreSQL同梱）
curl -fsSL https://raw.githubusercontent.com/logto-io/logto/master/docker-compose.yml -o docker-compose.yml
docker compose up -d
# 起動確認：3001が管理コンソール、3002がユーザー向けエンドポイント
docker compose ps
起動後、http://localhost:3002 が管理コンソール、http://localhost:3001 がアプリからの認証先になる。初回アクセスで管理者アカウントを作成する。
疎通確認は OIDC の discovery エンドポイントを叩くのが確実である。ここが返らなければアプリ側の設定を疑う前にサーバー側を疑う。
# OIDC discovery が返れば認証サーバーとして生きている
curl -s http://localhost:3001/oidc/.well-known/openid-configuration | head -20
# 発行されるJWTの検証に使う公開鍵（JWKS）
curl -s http://localhost:3001/oidc/jwks
本番では独自ドメインとHTTPSが前提になるため、エンドポイントを環境変数で明示しておく。ここを既定値のままにすると、発行されるトークンの issuer が localhost のままになり検証に失敗する。
# 本番向け：発行者URLを実ドメインに合わせる（issuer不一致の事故を防ぐ）
docker compose run -d \
-e ENDPOINT=https://auth.example.com \
-e ADMIN_ENDPOINT=https://admin.example.com \
-e DB_URL=postgres://logto:PASSWORD@db-host:5432/logto \
logto
セットアップと管理画面の特徴
Docker Composeで簡単にセットアップできるため、オンプレミス環境での構築が可能。管理画面はUIが洗練されており、ユーザー管理、ロール管理、多要素認証の設定、ソーシャルログインの連携といった基本機能をダッシュボード上から操作できる。複雑な設定作業を最小限に抑えた設計となっている。
セットアップと管理画面の特徴
Docker Composeで簡単にセットアップできるため、オンプレミス環境での構築が可能。管理画面はUIが洗練されており、ユーザー管理、ロール管理、多要素認証の設定、ソーシャルログインの連携といった基本機能をダッシュボード上から操作できる。複雑な設定作業を最小限に抑えた設計となっている。
フロントエンドSDKの充実度
30以上のフレームワークに対応したSDKが提供されている。複数のフロントエンドフレームワークを使用するプロジェクトでも、統一された認証基盤として機能する。SDKの導入により、認証フローの実装作業を大幅に削減できる。
運用視点のメリット
ユーザーの追加・削除・権限管理がダッシュボード上で完結し、APIも用意されているため自動化が容易。Auth0などの商用サービスと比べて、必要な機能をほぼ網羅しながら、コスト面での自由度が高い点が特徴。プロジェクト数の増加に伴うライセンス費用の増加を抑え、データを自社管理できる構成となっている。
関連記事: AI自動化ツール完全ガイド2026｜ノーコードからコードまで徹底比較
注意点とコミュニティサポート
ドキュメントは英語が中心で、日本語情報は限定的。大規模運用時のスケーリング戦略については、公式ドキュメント以外の詳細情報が不足しているケースもある。一方、GitHub Discussionsは活発に運営されており、コミュニティからのサポートは充実している。
直近push が 2026-08-14、最新リリースが v1.42.0（2026-07-30）と、開発が止まっているタイプのOSSではない。認証基盤は「更新が止まった瞬間にセキュリティ負債になる」カテゴリなので、この点は採用判断上の安心材料になる。
参照ソース
- logto-io/logto — GitHubリポジトリ（スター・ライセンス・リリースは2026-08-14にGitHub APIで取得）
- Logto 公式ドキュメント
- Mozilla Public License 2.0 全文
