SaaSプロダクトを作る場合: マルチテナント・課金・認証・API設計

はじめに

SaaS（Software as a Service）は、クラウド経由でソフトウェアを提供するビジネスモデルです。Slack、Notion、Figmaなどが代表例です。SaaSの技術的な特徴は、複数の企業（テナント）が同じシステムを共有して利用する「マルチテナント」アーキテクチャにあります。

身近な例えで理解するSaaS

SaaSは「賃貸マンション」のようなものです。

• マルチテナント = マンション。複数の世帯（企業）が同じ建物（システム）に住んでいるが、各部屋（データ）は完全に隔離されている
• 課金 = 家賃。月額いくら、何人で住むか（シート数）で料金が変わる
• 認証 = エントランスのセキュリティ。鍵（パスワード）やカードキー（SSO）で入館管理
• API = 郵便受け。外部のサービス（郵便）とデータをやり取りするインターフェース

全体アーキテクチャ

推奨構成: Next.js + NestJS + PostgreSQL + Stripe

                    +-------------------+
                    |   CloudFront      |
                    |   (CDN + WAF)     |
                    +--------+----------+
                             |
                    +--------v----------+
                    |   Next.js         |
                    |   (Frontend)      |
                    |   on Vercel       |
                    +--------+----------+
                             |
                    +--------v----------+
                    |   API Gateway     |
                    |   (認証/レート    |
                    |    リミット)      |
                    +--------+----------+
                             |
              +--------------+--------------+
              |              |              |
      +-------v------+ +----v-------+ +----v--------+
      |Core API      | |Auth        | |Billing      |
      |NestJS        | |Service     | |Service      |
      |(ビジネス     | |(認証/認可) | |(課金/請求)  |
      | ロジック)    | |            | |             |
      +-------+------+ +----+-------+ +----+--------+
              |              |              |
       +------v------+  +---v--------+ +---v--------+
       |PostgreSQL   |  |Auth0 /     | |Stripe      |
       |(Aurora)     |  |Cognito     | |Billing     |
       |テナント     |  +------------+ +------------+
       |分離対応     |
       +------+------+
              |
       +------v------+
       |Redis         |
       |(ElastiCache) |
       |セッション/   |
       |キャッシュ    |
       +-------------+

       +-------------------------------------------+
       |  バックグラウンド処理                      |
       |  - SQS: 非同期ジョブ                      |
       |  - Lambda: Webhook処理、通知               |
       |  - EventBridge: スケジュールタスク          |
       |  - S3: ファイルアップロード                 |
       +-------------------------------------------+

マルチテナントアーキテクチャ

3つのマルチテナント方式

方式の詳細比較

【DB分離】
Tenant A → Database A (PostgreSQL)
Tenant B → Database B (PostgreSQL)
Tenant C → Database C (PostgreSQL)

メリット: 完全なデータ分離、テナント別のバックアップ/復旧
デメリット: テナント数に比例してDBコストが増加、マイグレーション管理が大変

【スキーマ分離】
Database (PostgreSQL)
├── Schema: tenant_a
│   ├── users
│   ├── projects
│   └── ...
├── Schema: tenant_b
│   ├── users
│   ├── projects
│   └── ...
└── Schema: shared (共通データ)
    ├── plans
    └── features

メリット: 良好なデータ分離、1つのDBで管理可能
デメリット: スキーマ数が増えるとパフォーマンス低下

【行レベル分離（RLS）】
Database (PostgreSQL)
└── Table: users
    ├── id=1, tenant_id='A', name='田中'
    ├── id=2, tenant_id='A', name='鈴木'
    ├── id=3, tenant_id='B', name='佐藤'
    └── id=4, tenant_id='B', name='山田'

メリット: シンプル、コスト最小、スケーラブル
デメリット: SQLミスでデータ漏洩のリスク（RLSで軽減）

推奨: 行レベル分離（RLS）

PostgreSQLのRLS（Row Level Security）を使うことで、行レベルの分離をDBレベルで強制できる。

-- RLSの設定例
ALTER TABLE projects ENABLE ROW LEVEL SECURITY;

CREATE POLICY tenant_isolation ON projects
    USING (tenant_id = current_setting('app.current_tenant')::uuid);

認証・認可

認証方式の比較

認証サービスの比較

推奨: Clerk or Auth0

• スタートアップ: Clerk（DXが最高、React/Next.jsとの統合が簡単）
• エンタープライズ: Auth0（SSO、MFA、コンプライアンス対応が充実）

RBAC（Role-Based Access Control）

課金・請求

課金モデルの比較

Stripe Billingの活用

[課金フローの全体像]

1. プラン選択
   フロント → Stripe Checkout → 決済完了

2. Webhook受信
   Stripe → Webhook → NestJS → DB更新

3. 月次請求
   Stripe（自動課金） → Webhook → DB更新 → メール通知

4. プラン変更
   フロント → Stripe API → 比例配分（proration）計算 → 請求調整

5. 解約
   フロント → Stripe API → 期間終了時にアクセス停止

Stripe Billingの主要概念

API設計

REST vs GraphQL

推奨: REST API（NestJS + Swagger）

SaaSのAPIは外部公開する可能性が高いため、最も広く理解されているRESTが無難。GraphQLはフロントエンド内部での利用に限定するか、BFF（Backend For Frontend）パターンで活用。

APIバージョニング

推奨: URLパス方式（/api/v1/...）

レートリミット

実装方法: Redis + Sliding Window方式

チーム規模と開発スケジュール

MVP（3ヶ月）

MVPの機能:

• テナント作成/管理
• ユーザー認証（メール + Google）
• RBAC（Owner、Admin、Member）
• コア機能（プロダクト固有）
• Stripe課金（Free、Proプラン）
• ダッシュボード

本格展開（追加6ヶ月）

コスト見積り

MVPフェーズ（〜100テナント、〜1,000ユーザー）

成長フェーズ（〜1,000テナント、〜10,000ユーザー）

エンタープライズ対応

エンタープライズ顧客を獲得するために必要な機能:

セキュリティのベストプラクティス

まとめ

推奨技術スタック

SaaSプロダクトは技術的な完成度だけでなく、「顧客が安心して使えるか」が重要。セキュリティ、可用性、サポート体制の3つを軸に技術選定を行うことが成功のカギである。

参考リンク

• Stripe Billing公式ドキュメント
• Auth0公式ドキュメント
• Clerk公式ドキュメント
• NestJS公式ドキュメント
• PostgreSQL RLS公式ドキュメント