GUIDES
ガイド記事
導入から運用まで、1Password の使い方を手順つきで解説します。
Unified Accessの全体像Enterprise Password Managerの導入設計ユーザーのプロビジョニング認証とアカウント復旧ポリシーとセキュリティー統制クライアントのデプロイとロールアウトユーザーが使う機能日々の運用監査とレポート外部サービスと他製品との統合全 126 ページ
Unified Accessの全体像
プラットフォームとしての全体像
- Unified Accessとは何か1PasswordのUnified Accessがどのような考え方のプラットフォームかを説明します。人、AIエージェント、マシンという3つのアイデンティティーの考え方、発見・保護・監査の3つの段階、5つの製品による構成、既存のSSOやIDプロバイダーとの違い、プラットフォームと製品ごとの契約の単位、本ガイドでの製品ごとの扱いについて解説します。
- 5つの製品の役割分担1PasswordのUnified Accessを構成する5つの製品の役割を整理する方法を説明します。製品ごとの守る対象と働き、土台としてのEnterprise Password Manager、人とAIエージェントとマシンに対する受け持ち、Device TrustやSaaS ManagerやCredential Brokerの前提条件、管理画面の分かれ方、2026年9月時点の提供状況について解説します。
- どの課題にどの製品が対応するか1PasswordのUnified Accessで、組織の課題から必要な製品を選ぶ方法を説明します。課題ごとに最初に入れる製品と組み合わせる製品、Enterprise Password Managerだけで足りる課題、IDプロバイダーやMDMや特権アクセス管理など既存の仕組みとの重なり、日本の組織に多い組み合わせ、検討の段階で確かめる制約について解説します。
- 導入の順序と広げ方1PasswordのUnified Accessを段階的に導入し、製品を広げていく方法を説明します。Enterprise Password Managerから始める理由、2番目の製品の選び方、リージョンや管理者の人数やプロビジョニングの方式など最初に決めておく設計、広げるときの段取り、手戻りが起きやすく避けたい導入の順序と、その理由について解説します。
各製品の概要
- Enterprise Password Managerの概要1PasswordのEnterprise Password Managerで組織のクレデンシャルを管理する仕組みを説明します。保管庫で守れるものの種類、管理者の機能と本ガイドの各部の対応、管理コンソールと社員のアプリ、ゼロナレッジの仕組み、2026年に加わった開発者向けの3つの機能、契約の考え方とチームメンバーが使える1Password Familiesの特典について解説します。
- SaaS Managerの概要1PasswordのSaaS Managerで、組織が使うSaaSとAIのツールを台帳にまとめて管理する方法を説明します。製品の位置付け、IDプロバイダーや会計、人事のシステムから情報を集める6種類の統合、入退社の自動化とアクセスの見直し、ライセンスとAIの利用料の管理、2つのブラウザー拡張機能の違い、国内のSaaSを多く使う組織が契約前に確かめることについて解説します。
- Device Trustの概要1PasswordのDevice Trustで、社員の端末の状態を確かめて業務のアプリへの入口を絞る方法を説明します。MDMとの違いと対応するOS、チェックの選び方と是正の方式、例外の申請の扱い、端末の登録と2台目以降の承認、委託先やVDIでの注意、社員が見られるプライバシーの画面、Device Trustが止まったときの緊急用のルールと備えについて解説します。
- Privileged Accessの概要1PasswordのPrivileged Accessで、クラウドやデータベース、Kubernetesの特権を必要なときだけ作って自動で消す方法を説明します。常設の特権が残る問題、中継せずに対象のシステムへ直接権限を作る仕組み、自動で承認する申請と承認者に回す申請の線引き、AIエージェントの扱い、監査の記録、契約の前に確かめる対応範囲と緊急時のアクセスについて解説します。
- Credential Brokerの概要1PasswordのCredential Brokerで、CI/CDのパイプラインやAIエージェントに実行の間だけクレデンシャルを渡す方法を説明します。長期間有効なトークンの問題、OIDCで処理の身元を確かめる仕組みと2つの鍵による暗号化、管理者が作る統合と統合キーの保管、サービスアカウントとの使い分け、GitHubの形態などの前提条件について解説します。
導入前に決めること
- 検討から稼働までの流れと体制1PasswordのUnified Accessで、検討から稼働までを段階に分けて進める方法を説明します。検討、評価、契約、設計、パイロット、全社への拡大の各段階を終える条件、製品ごとの管理の体制、プロジェクトの責任者と社内の窓口の置き方、法務や人事、労務を巻き込む理由、正規販売代理店に任せること、稼働後に引き継ぐ定期作業について解説します。
- リージョンの選択とデータの保管場所1Passwordのアカウントを作るリージョンの選び方と、データの保管場所を説明します。米国、カナダ、EUの3つのリージョンで決まること、Extended Device ComplianceやSaaS Managerなどリージョンで変わる機能と構成、共有リンクや自動プロビジョニングなどリージョンの外で扱われるデータ、日本の組織の選び方、リージョンを変える手順、審査と法務に渡す材料について解説します。
- ネットワーク要件とプロキシー環境1Passwordの導入に向けて、ファイアウォールとプロキシーで外向きの通信を許可する方法を説明します。許可リストに入れる通信先、用途別の通信先、SaaS ManagerとDevice Trustの通信先、プロキシーの環境での設定、TLSの検査を行っている場合の扱い、プロキシーのログに残るもの、つながらないときの切り分けについて解説します。
- 日本語環境で注意すること1Passwordを日本語環境で導入するときに注意することを説明します。ヘルプの記事が英語だけであること、ウェブとアプリで別に決まる表示言語、プロビジョニングで優先言語を配る方法、日本語の画面の表記ゆれと社内マニュアルの作り方、日本語入力でのアカウントパスワードの入力、表示言語で変わる検索フィルター、Device Trustの遮断の開始時刻と日付の書式について解説します。
Enterprise Password Managerの導入設計
アカウントとテナントの設計
- アカウントの作成とサインインアドレスの決定1Passwordでアカウントを作成し、サインインアドレスを決める方法を説明します。作成前に決めるリージョン、作成者、メールアドレス、全員を招待する前に済ませる8つの工程、遡って適用されないアカウントパスワードのポリシー、サインインアドレスの決め方、後から変えたときに全員、統合と自動化、Unlock with SSOに及ぶ影響、変更の手順と告知について解説します。
- ドメインの検証とアカウント作成の制御1Passwordで会社のドメインを検証し、社員が会社のメールアドレスで組織の外にアカウントを作るのを止める方法を説明します。ドメインを登録する場所が1つではないこと、検証するドメインの決め方、メールとDNSの検証の方法の選び方、アカウント作成のポリシーの設定とリージョンによる限界、招待と自動プロビジョニングに使う許可ドメインの設定について解説します。
- テナント構成の選択（単独、親子、グループ会社、MSP）1Passwordでグループ会社を含むテナント構成を選ぶ方法を説明します。単独、グループ会社を1つに収める形、親子、MSPの4つの構成、1つのアカウントに収める場合の制約、親の管理者が持つ力と子アカウントごとに設定するもの、ポリシーテンプレートと保管庫のコピー、構成を決める基準と親子にしても閉じられない情報、親から子への移行と切り離しの手順、切り離した後の試用期間について解説します。
- 所有者と管理者の設計1Passwordで所有者と管理者の体制を設計する方法を説明します。所有者を2人以上にする理由と人選の条件、規模別の管理者の人数の目安、メールシステムの管理者に復旧を持たせない理由と分けられない場合の補い方、特に厳しい組織での2人ルール、所有者がUnlock with SSOを使えないことへの備え、親アカウント管理者がいる場合の人選、四半期ごとの定期確認で見る3つの点について解説します。
ユーザー管理方式の選択
- 手動、自動プロビジョニング、SCIM Bridgeの比較1Passwordでユーザーの追加と削除の方式を選ぶ方法を説明します。手動、自動プロビジョニング、SCIM Bridgeの3つの方式の違い、IDプロバイダーごとの選び方、手動で管理する場合の3つの招待の方法、自動プロビジョニングを選ぶ前に確かめること、SCIM Bridgeを選ぶ場合の前提と記録、既存のSCIM Bridgeを移行する際の注意について解説します。
- IDプロバイダー別の対応状況1PasswordでIDプロバイダーごとの対応状況を確かめる方法を説明します。プロビジョニングとUnlock with SSOという2つの統合の違い、Microsoft Entra ID、Okta、Google Workspaceなど10種類の対応状況の一覧、設定の方式の3つの違い、一覧にないIDプロバイダーで確かめる3つの条件、両方の統合を使うときに合わせることについて解説します。
- Unlock with SSOを使うかどうかの判断1PasswordでUnlock with SSOを使うかどうかを判断する方法を説明します。サインインと新しい端末の承認で変わること、所有者やMSPの技術者など使えない人と機能、向いている条件と慎重に判断する条件と先に解消しておく条件、生体認証の有無によるリスクの比べ方、オフラインで開ける期間の決め方、決めるまでの6つの手順について解説します。
グループと権限の設計
- 組み込みグループの役割1Passwordで組み込みグループを使い分ける方法を説明します。所有者と管理者の違いと所有者から隠せない共有保管庫、インサイトとセキュリティーのレポートを見るための「セキュリティ」グループ、既定で保管庫を作れるチームメンバー、原則として空にしておくProvision Managers、自動プロビジョニングの対象から外れるグループの所属の管理について解説します。
- カスタムグループの設計1Passwordでカスタムグループを作り、保管庫と管理パーミッションを割り当てる方法を説明します。保管庫を渡すグループと管理パーミッションを渡すグループの切り分けと命名、グループの作成、メンバーの追加とグループの管理担当の役割、保管庫とパーミッションの割り当て、個人とグループで重なったときの効き方、グループの削除とメンバー一覧のCSVでの書き出しについて解説します。
- 管理権限の一覧と割り当て方1Passwordでカスタムグループに管理パーミッションを割り当てる方法を説明します。付けられる10件の中身と既定で持つ組み込みグループ、名前と中身がずれている3件、カスタムグループには渡せないもの、閲覧と変更を切り分けにくい点、アカウントの復旧をメールの管理者に持たせない理由、ヘルプデスク・監査の担当・部門の責任者ごとの割り当ての型について解説します。
- 保管庫の権限モデル1Passwordで保管庫へのアクセスを人とグループに与える方法を説明します。13のパーミッションの中身と3つのまとまり、閲覧を含まない保管庫の管理、個人とグループで重なったときに強い方が効く仕組み、既定のパーミッションと保管庫を作った人に付くパーミッション、管理者を外して作られた保管庫、アプリごとにアクセスを絞る設定とトラベルモードでの持ち出しの指定について解説します。
- 権限が強制される仕組み1Passwordで保管庫のパーミッションがどのように強制されるかを理解し、保管庫の設計に生かす方法を説明します。暗号、サーバー、クライアントの3つの強制の方法の違い、それぞれに当てはまるパーミッション、分類を読むときの注意点、読み取りのアクセス権を後から取り消せない理由、機密度による保管庫の分け方、アクセス権を外した後のクレデンシャルの変更、クライアントで強制されるパーミッションの使いどころについて解説します。
保管庫の設計
- 保管庫の分割パターン1Passwordで保管庫をどの単位で分けるかを決める方法を説明します。アクセスの境界としての保管庫の考え方、部門・拠点・システム・機密度・外部の相手・プロジェクトの6つの軸と重ねる順序、全員向け・統合と自動化・出張・引き継ぎのための保管庫、一覧で区分が読み取れる名前と説明の付け方、保管庫を作れる人と作成画面で管理するグループの決め方について解説します。
- 従業員保管庫の位置付け1Passwordで従業員保管庫を位置付け、社内に説明する方法を説明します。共有保管庫との違い、所有者や管理者を含めて誰が中身と件数に届くか、復旧による中身への到達、従業員保管庫に入れるものと共有保管庫へ出すもの、個人のものを置く無償の1Password Familiesの扱いと移し方、入社時の案内と同意書に書く説明の骨子について解説します。
- 規模別の構成例1Passwordで組織の規模に合わせて保管庫とグループを構成する方法を説明します。規模によらない共通の土台、50人未満・50〜300人・300人以上の3つの構成例と保管庫の一覧、保管庫を作る人とグループの出どころの選び方、次の規模に移るときにアクセスを途切れさせない手順、委託先や開発部門のように規模より先に構成を左右する条件について解説します。
- 避けるべき設計1Passwordの保管庫の設計で失敗を避ける方法を説明します。全員向けの保管庫への集約、読み取りを与えた後のパーミッションによる制限、個人への直接の付与、誰でも保管庫を作れる状態、従業員保管庫への業務クレデンシャルの保管、コピーによる配布、後からの切り直しの7つの型と、それぞれの代わりにとる形、移動元に残る削除済みのアイテムの扱いについて解説します。
MSPとしての構成
- MSPアカウントと管理対象企業の構成1PasswordでMSPアカウントと管理対象企業を構成する方法を説明します。MSPアカウントの構成と請求のまとまり方、MSP向けの版と顧客の契約に担当者が加わる形の比較、MSPアカウントと顧客のリージョンをそろえる条件、社内の利用と顧客の管理の分け方と顧客のクレデンシャルの置き場所、MSPの規模に応じた3つの技術者の範囲の分け方について解説します。
- 管理対象企業の追加と技術者のアクセス権1PasswordのMSPアカウントで管理対象企業を追加し、技術者のアクセス権を設定する方法を説明します。技術者のグループと5つのパーミッション、新しい企業の作成と既存のアカウントの紐づけ、企業の中で最初に済ませること、技術者によるSSOの設定、共有保管庫へのアクセスの既定値と切り替え、招待と復旧の通知の宛先と、保管庫を管理対象企業へコピーする際の制約について解説します。
- MSP運用の設計と顧客への引き渡し1PasswordのMSPアカウントで管理対象企業を運用し、顧客へ引き渡す方法を説明します。ライセンス数に数える人の状態と利用人数の確かめ方、請求書の読み方、顧客ごとに決めておく8つのこと、ポリシーテンプレートでの強制と上書きの使い分け、技術者の操作の記録と退職時の対応、切り離しと14日間の試用期間を踏まえた顧客への引き渡しの順序について解説します。
ユーザーのプロビジョニング
自動プロビジョニング（1Passwordホスト型）
- 自動プロビジョニングの仕組みと前提1PasswordでIDプロバイダーから人とグループを自動で同期する自動プロビジョニングの仕組みと前提を押さえる方法を説明します。自動プロビジョニングでできること、1Passwordがホストしても鍵を渡さずに済むコンフィデンシャルコンピューティングとAccount Trust Logの仕組み、設定すると変わること、IDプロバイダーごとの接続の形、始める前にそろえる前提について解説します。
- Microsoft Entra IDとの統合1PasswordでMicrosoft Entra IDと自動プロビジョニングを接続する方法を説明します。許可ドメインとPremiumのサブスクリプションなど始める前の確認、1Password側でのSCIMのURLとベアラートークンの発行、エンタープライズアプリケーションの追加、userNameのマッピングの変更とオンデマンドでのテスト、稼働後に変わるアカウントの動きとProvision Managersグループの扱い、既存のグループの同期、うまくいかないときの確認について解説します。
- Oktaとの統合1PasswordでOktaと自動プロビジョニングを接続する方法を説明します。Lifecycle Managementと既存のSSOのアプリケーションの確認、1Password側でのSCIMのURLとベアラートークンの発行、アプリカタログからのアプリケーションの追加、APIの接続とTo Appの設定、displayNameの属性の対応付け、テストとアプリの割り当てとは別に行うグループの同期、稼働後の管理について解説します。
- JumpCloudとOneLoginとの統合1PasswordでJumpCloudとOneLoginを自動プロビジョニングで接続する方法を説明します。2つに共通する1Password側の準備、JumpCloudでのアプリケーションの追加とユーザーグループの同期、OneLoginでのSCIMの接続とプロビジョニングの有効化、削除時の動作と承認のチェックと表示名のマクロの注意点、稼働後に確かめることと2つのIDプロバイダーの違いについて解説します。
- Google Workspaceとの統合1PasswordでGoogle Workspaceと自動プロビジョニングを接続する方法を説明します。特権管理者や課金を有効にしたGoogle Cloudのプロジェクトなど始める前にそろえるもの、Googleのサービスアカウントと鍵の作成、ドメイン全体の委任での読み取りの認可、1Password側での鍵の登録と同期のスクリプトの実行とグループの選択、スクリプトが作るジョブとトークンの扱い、稼働後の運用について解説します。
- 許可ドメインとグループの運用1Passwordで自動プロビジョニングの許可ドメインとグループを運用する方法を説明します。許可ドメインが人の作成で果たす役割と空欄にしない理由、ドメインを加えるときの順序、IDプロバイダーから作るグループと既存のグループと管理対象にできないグループの区別、同期の前の保管庫と除外の準備、グループの付け替えと削除で起きること、定期的に見直す点について解説します。
- プロビジョニング運用の設計1Passwordで自動プロビジョニングの運用を設計する方法を説明します。テスト用のユーザーから部署ごとに対象を広げる順序、全員グループと保管庫の単位で組むグループの設計の型、入社と異動と退職のうちIDプロバイダーに任せる範囲と手動で残る範囲、一時停止から削除までの期間、メールアドレスの変更の扱い、障害への備えと見直しの体制について解説します。
SCIM Bridge（自己ホスト型）
- SCIM Bridgeを選ぶ場合の判断基準1PasswordでSCIM Bridgeを使うかどうかを判断する方法を説明します。Ripplingを使う場合と既存のSCIM Bridgeを運用している場合の考え方、鍵を自社の環境に置くことと自動プロビジョニングとの信頼の前提の違い、SCIM Bridgeが扱う情報とヘルスモニタリング、監視に使えるエンドポイント、単一のインスタンスで動かす制約とTLS証明書の条件、状況別の判断の目安について解説します。
- デプロイ先の選択と構成1PasswordのSCIM Bridgeを自社の基盤にデプロイし、アカウントとつなぐ方法を説明します。マーケットプレースのアプリ、コンテナのマネージドサービス、DockerやKubernetesの3つのデプロイの形の選び方、scimsessionファイルとベアラートークンの保管、Google CloudのマーケットプレースとAzure Container Appsでの手順、静的IPアドレスへの切り替え、ステータスページでの接続の確認について解説します。
- Ripplingとの統合1PasswordとRipplingをSCIM Bridgeで接続し、人とグループを自動で管理する方法を説明します。Ripplingで反映できる操作、自社の基盤とRipplingの自動ホスティングの違いとscimsessionファイルを預けることの意味、1Password側の準備、Rippling側の接続の手順、属性の同期とAccess Rules、TeamsやDepartmentsとグループの対応付け、期限切れにならない招待など開始後の動きについて解説します。
- 運用、更新、トラブル対応1PasswordのSCIM Bridgeを更新し、トラブルに対処する方法を説明します。バージョンの確かめ方と廃止予定の通知から90日の猶予、通知の宛先の追加、Azure Container AppsとGoogle Cloudでの更新とデプロイし直し、確認の間隔の調整、確認待ちやクレデンシャルの紛失、2要素認証やファイアウォールのルールによる接続の失敗、ログの取り出しと問い合わせについて解説します。
- SCIM Bridgeから自動プロビジョニングへの移行1PasswordでSCIM Bridgeから自動プロビジョニングへ移行する方法を説明します。移行で変わる参加の確認や管理者のグループの扱い、戻せないことやSecurity Automationへの影響、許可ドメインなど移行の前にそろえる条件、1Password側の切り替え、Entra ID、Okta、JumpCloud、OneLogin、Google Workspaceの接続情報の差し替え、SCIM Bridgeと周辺の設定の撤去について解説します。
手動でのユーザー管理
- 招待と確認の流れ1Passwordで手動でチームメンバーを招待し、参加を確認する方法を説明します。参加までのステータスの移り変わり、メールアドレスでの招待と期限、サインアップリンクの配り方と取り消し、送った招待の管理、確認の前に名簿と突き合わせる点、請求の始まる時点、一時停止の解除、検証済みのドメインを使った招待メールの書き換えと送信元の注意について解説します。
- ゲストアカウントの扱い1Passwordでゲストアカウントを招待し、社外の取引先や業務委託先に保管庫を1つだけ渡す方法を説明します。チームメンバーとの違い、チームメンバーグループに入らない点、ゲストの招待と確認、専用の保管庫の渡し方と付け替え、共有リンクとの使い分け、チームメンバーへの切り替え、契約終了時の削除とパスワードの変更、契約に含まれる20人分の人数の管理について解説します。
- メールアドレスの変更1Passwordでチームメンバーのメールアドレスを変更する方法を説明します。手動、自動プロビジョニング、Unlock with SSOごとの違い、本人が変える手順、IDプロバイダーで変える手順、ドメインを変えるときの許可ドメインの順序、メール変更レポートでの保留の確認、一時停止中の人やOktaとRipplingで避ける操作について解説します。
認証とアカウント復旧
認証方式の基本
- アカウントパスワードとSecret Key1PasswordでアカウントパスワードとSecret Keyを組織として正しく扱う方法を説明します。2つの秘密がそれぞれ守る範囲、Secret Keyが保存される場所、アカウントパスワードの決め方、漏れたときや端末をなくしたときの対処、ヘルプデスクで扱える範囲と聞いてはいけない情報、Unlock with SSOを使う場合の違いについて解説します。
- 2要素認証の管理1Passwordで組織の2要素認証を管理する方法を説明します。認証ポリシーで決められる使える方式と全員への強制と無効化、強制するためにアカウントパスワードのポリシーを厳しい条件にする前提とその限界、混乱を避けて使い始める順序、チームレポートでの利用状況の確認、第2要素を失った人への対応の分け方、社員に必ず伝える3つの注意について解説します。
- Emergency Kitの運用1PasswordのEmergency Kitを組織で運用する方法を説明します。Emergency Kitに記載される情報とセットアップ用のQRコード、保存と取り出しの操作、社員に配るかどうかの判断材料、会社の共有フォルダーに置かせないなど社内での保管のルール、パスワード欄の扱い、保存し直す場面、Businessでは復元コードを使えないことについて解説します。
Unlock with SSO
- Unlock with SSOの仕組みと制約1PasswordでIDプロバイダーを使ってロックを解除するUnlock with SSOの仕組みと制約を押さえる方法を説明します。サインインの流れ、デバイスキーと端末ごとの守られ方、紐づけたアプリとブラウザー、セッションの委任と再認証トークン、IDプロバイダーやサーバーにつながらないときの挙動と生体認証の有無による違い、設定上の制約について解説します。
- 導入前の確認とロールアウト設計1PasswordでUnlock with SSOの導入前の確認とロールアウトの設計を進める方法を説明します。始める前に解消する条件、対象範囲の5つの選び方、自動プロビジョニングとの組み合わせ、猶予期間の数え方、限定ロールアウトから全社までの段階の刻み方、生体認証とオフラインの期間、対象から外すと復旧の手続きに入る扱いについて解説します。
- Microsoft Entra IDでの設定1PasswordでUnlock with SSOをMicrosoft Entra IDと接続する方法を説明します。必要なロールと既存アプリケーションの扱い、エンタープライズアプリケーションとクライアントシークレットの用意、Private Clientでの接続の詳細の入力、リダイレクトURIとAPIのアクセス許可とupnクレームの設定、接続のテストと保存、シークレットの更新と期限前の通知、Public Clientからの移行について解説します。
- Oktaでの設定1PasswordでUnlock with SSOをOktaと接続する方法を説明します。アプリカタログからの1Passwordのアプリケーションの追加とDomain Nameの入れ方、自動プロビジョニングで使っているアプリケーションの流用、Client IDとOkta well-known URLの入力、管理者自身の割り当て、接続のテストと保存、リダイレクトのエラーやメールアドレスの変更などの設定後のつまずきについて解説します。
- その他のIDプロバイダーでの設定1PasswordでUnlock with SSOをEntra IDとOkta以外のIDプロバイダーと接続する方法を説明します。IDプロバイダーごとの入力欄の違い、Google Workspace、JumpCloud、Auth0でのアプリケーションの作り方とリダイレクトURIの登録、Duo、OneLogin、Ping Identityと一覧にないIDプロバイダーでの汎用のOIDCの手順と必要なクレーム、テストと保存の共通の仕上げについて解説します。
- 既存ユーザーの切り替え1Passwordで、既に使っている社員をUnlock with SSOに切り替える方法を説明します。本人が事前に用意するもの、管理者が対象範囲と猶予期間を決めて切り替えを始める操作、1Password.comとアプリでの本人の手順、アカウントパスワードやSecret Keyが分からない人の復旧、猶予期間を過ぎた人の扱い、所有者と管理者自身の切り替え、社内からの案内に入れる内容について解説します。
- 端末の紐づけと新しい端末での利用1PasswordのUnlock with SSOで、アプリやブラウザーを紐づけて新しい端末で使い始める方法を説明します。紐づけの意味、アプリ、ブラウザー拡張機能、1Password.comでの使い始め方、確認コードの在りか、紐づけの一覧と解除、仮想デスクトップなど紐づけを失いやすい環境、紐づけた端末を全て失ったときの戻り方について解説します。
- SSO環境でのトラブル対応1PasswordでUnlock with SSOの環境で起きる問題に対応する方法を説明します。問い合わせを受けたときの切り分けの順序、接続のテストの失敗や400のエラーやシークレットの期限切れといった設定時の問題、社員がサインインできないときの対処、1Password 7やIntuneなど環境に起因する問題、端末をなくしたとき、IDプロバイダーやメールアドレスの変更、MSPの技術者による設定について解説します。
アカウント復旧
- 復旧の設計（誰が復旧できるか）1Passwordでアカウントの復旧を誰に任せるかを設計する方法を説明します。所有者、管理者、復旧のカスタムグループの3つの形、規模ごとの担当の割り当て、メールの管理者やパスワードのリセットを担う担当など受信箱に手が届く立場との分け方、メール以外の経路での本人確認の手順、通知の宛先の絞り方、自動プロビジョニング環境での復旧のグループの管理について解説します。
- 復旧の実行手順1Passwordでチームメンバーのアカウントを復旧する方法を説明します。復旧で変わるSecret Keyと2要素認証、復旧の始め方、本人への案内、完了までの間は本人が使えない点、単独とまとめての完了のさせ方、Emergency Kitを配らない組織での注意、復旧の後の端末でのサインイン、侵害が疑われるときにパスワードの変更ではなく復旧を使う理由について解説します。
- 管理者を失わないための備え1Passwordで所有者や管理者を失い、組織に入れなくなる事態に備える方法を説明します。復旧できる人が全員締め出されたときに起きること、Unlock with SSOを導入しても所有者に残るEmergency Kit、それを保管する3つの方法、保管したものが古くなる場面、所有者を入れ替える順序、管理する人のいない共有保管庫、年に一度の復旧の訓練について解説します。
ポリシーとセキュリティー統制
ポリシー
- ポリシー画面の全体像1Passwordのポリシー画面で、組織全体のサインインと利用のルールを見渡し、決める順序を整理する方法を説明します。認証、共有と許可、シングルサインオン、ファイアウォールの4つのカテゴリーと変更できる人、認証ポリシーに並ぶ8つの設定、共有と保存に関わる設定、アプリと管理に関わる設定、遡らない設定やMDMを上書きする設定、人を削除する設定などの効き方の違い、導入時に見直す順序について解説します。
- アカウントパスワードポリシー1Passwordでアカウントパスワードの条件をポリシーで決める方法を説明します。選べる4つの条件と最低の長さ、管理コンソールでの設定の手順、決めた後に作られるパスワードにしか効かず既存の社員には及ばない点、2要素認証の強制との関係、組織の規模に応じた条件の選び方、会社と個人のアカウントを並べた端末でのロック解除と打ち間違いの扱いについて解説します。
- ロックと自動ロックの強制1Passwordでロックと自動ロックの設定を組織として固定する方法を説明します。高い利便性、バランス、厳格の3つのプリセットを社員に選ばせる仕組みと特定の設定の固定の2段構え、デスクトップ、モバイル、1Password.com、ブラウザー拡張機能ごとに固定できる設定、設定の手順、必要なアプリのバージョンやMDMとの優先順位など効かないときに確かめること、どこまで固定するかの目安について解説します。
- サインイン試行とフィッシング保護1Passwordでサインインの失敗の制限とフィッシングの警告をポリシーで設定する方法を説明します。失敗が続いたときに一時停止する設定と選べる回数と時間、失敗に数えられる操作と複数のアカウントを使う社員の注意点、しきい値の決め方、見覚えのないサイトへの貼り付けに対する警告の強制、1Password.comへの自動サインインの判断、サインイン試行のレポートとの組み合わせ方について解説します。
- アイテムの共有ポリシー1Passwordでアイテムの共有リンクを組織として統制するポリシーを設定する方法を説明します。設定の場所と変えられる人、誰でも、メールアドレスを確認できる人、決めたドメインの相手という共有できる相手の3つの範囲、リンクの最大寿命と既定の有効期限、閲覧の回数、ファイルの共有と社内への招待、保管庫のパーミッションとの関係、受け取る側に見える画面について解説します。
- 参加から削除までのアカウントポリシー1Passwordで、社員の参加から削除までに効くアカウントポリシーを設定する方法を説明します。4つの設定の画面上の位置、Emergency Kitの配布の止め方と復旧の手続きへの影響、参加時のブラウザー拡張機能の必須化と参加した後にDevice Trustで確かめる方法、インポートの案内、一時停止したユーザーの自動削除、それぞれの設定を決める時期について解説します。
アクセス元と端末の制御
- ファイアウォールルールによる制限1Passwordでファイアウォールのルールを使い、サインインを受け付ける国やIPアドレスを制限する方法を説明します。ルールが効く範囲と効かない範囲、国と大陸、IPアドレス、匿名IPの各ルールと評価の順序、作成の手順、記録から始める構成や国内に絞る構成などの日本の組織での構成パターン、出張やクラウドの出口など拒否に切り替える前の確認、ルールの運用と見直しについて解説します。
- アプリのバージョンの強制1Passwordで古いアプリを締め出し、アプリのバージョンをそろえる方法を説明します。1Passwordアップデートとリリースチャンネルの2つの設定の役割の違い、最低バージョンで締め出されるもの、有効にする順序、リリースチャンネルによる自動更新の強制、Macの.pkgやWindowsの入れ方で更新が止まる端末の扱い、ほかのポリシーとの関係について解説します。
- Device Trustと組み合わせると何ができるか1PasswordのEnterprise Password ManagerとDevice Trustを組み合わせて、端末の状態で入口を絞る方法を説明します。ポリシーとの役割の違い、Device Trust CoreとConnectで守れる範囲、拡張機能が入口になる仕組みと通知の3段階、1Password自体を守る使い方、導入前に確かめる制約、社員に説明することについて解説します。
セキュリティーモデルと社内説明
- 暗号化とゼロナレッジの仕組み1Passwordでデータが社員の端末の中で暗号化され、1Password社も中身を読めない仕組みを押さえる方法を説明します。認証ではなく暗号で守る設計、アイテムと保管庫の鍵、キーセット、グループへの共有という鍵の階層、1Password社に見えるものと見えないもの、サーバー側で鍵を扱う処理、暗号では守れないもの、社内説明での言い方について解説します。
- 認証と鍵の設計1PasswordでアカウントパスワードとSecret Keyから鍵を作り、パスワードをネットワークに流さずに認証する仕組みを押さえる方法を説明します。2SKDで作る2つの鍵、PBKDF2の反復回数と古いアカウントの注意点、SRPによる認証と通信の二重の暗号化、端末の追加と通常のロック解除、2要素認証とUnlock with SSOの位置付けについて解説します。
- Account Trust Logの役割1PasswordでAccount Trust Logがサーバーによる公開鍵のすり替えを防ぐ仕組みを押さえる方法を説明します。解決する問題、自動プロビジョニングの初回の設定で有効になる時点と記録される内容、記録の連なりとWorld Stateによる検証、サーバーが書き込める記録、監査ログとの違い、有効にする前に確かめるメンバーと管理者と端末について解説します。
- 第三者による監査と報告書の入手1PasswordのISO認証やSOC 2 Type 2の報告書をTrust Centerから入手してセキュリティー審査に使う方法を説明します。取得している認証と報告書、公開と非公開の資料の見分け方、自己評価の質問票、ペネトレーションテストとバグバウンティー、SOC 2の報告書で確かめること、日本の審査との対応、資料の更新と保管について解説します。
- セキュリティー審査への回答の作り方1Passwordを社内や取引先のセキュリティー審査にかけるときの回答の作り方を説明します。質問を暗号化や認証などの領域に分けて答える方法、1Password社が持つ情報、利用データの送信の扱い、通信先とWatchtowerやアイコンの取得などの外部サービス、先に書いておく設計上の限界、社員から聞かれること、解約とデータの削除について解説します。
クライアントのデプロイとロールアウト
クライアントのデプロイ
- 対応環境とシステム要件1Passwordを社員の端末に配る前に、対応環境とシステム要件を確かめる方法を説明します。要件を確かめる順序、macOS、Windows、iOS、Android、LinuxのOSごとの要件、パスキーやUnlock with SSOなど機能によって上がる要件、ブラウザー拡張機能と1Password.comの要件、旧世代のアプリが残る端末の扱い、デバイスレポートを使った棚卸しの進め方について解説します。
- Mac版アプリのデプロイ1PasswordのMac版アプリをMDMで社員のMacにデプロイする方法を説明します。1Password.appと1Password.pkgの2つのインストーラーの違い、自動更新に任せるか組織で版を管理するかによる選び方、バンドルIDと入れ先を指定するMDMへの登録の手順、リリースのページを使った更新の追い方、配布の後に確かめること、Safariの拡張機能と設定の配布との関係について解説します。
- Windows版アプリのデプロイ1PasswordのWindows版アプリをIntuneなどで社員のPCにデプロイする方法を説明します。配る前に古いインストールを消す理由、Microsoft Store、MSIX、App Installer、MSIの入れ方の選び方、Store、Win32アプリ、基幹業務アプリとしてIntuneで配る手順、MSIの追加の指定、管理対象のインストールとしての登録、更新の追い方について解説します。
- MDMによる設定の配布1PasswordのデスクトップアプリをMDMで設定する方法を説明します。MDMで固定できる範囲とポリシーとの優先順位、Macの構成プロファイルの作り方、Windowsの管理用テンプレートの読み込みと配り方、iOSで配れる設定、主なキーと値、保存先の保管庫とサインインアドレスの指定、信頼するブラウザーをまとめて加える方法について解説します。
- ブラウザー拡張機能のデプロイ1Passwordのブラウザー拡張機能を社員のブラウザーに配る方法を説明します。配る前に確かめるブラウザーの版とポリシー、ChromeとEdgeへの配り方とインストールの方式の選び方、Firefoxへの配り方、Safariへの配り方、配った後のボタンの固定と確認、デスクトップアプリとの接続と、接続を止めてしまうネイティブメッセージングのポリシーについて解説します。
- ブラウザー内蔵のパスワード保存を止める1Passwordを導入した端末で、ブラウザーに内蔵のパスワードマネージャーの保存を止める方法を説明します。止めても保存済みのパスワードが残る点、Windowsのグループポリシーでの止め方、Macの構成プロファイルでの止め方、Linuxでの止め方、Safariと管理外の端末の扱いとmacOSの自動入力との関係、ポリシーが効いたことの確かめ方について解説します。
- VDI環境でのデプロイ1PasswordをVDI（仮想デスクトップ環境）にデプロイする方法を説明します。非永続型の構成で起きること、ブラウザー拡張機能のデータを残す方法、デスクトップアプリを入れる場合にセッションをまたいで残す場所、アカウントパスワードで解除する組織の設定、Unlock with SSOを使う組織の注意点、サーバーOSを含む導入前の確認について解説します。
社内ロールアウト
- ロールアウト計画とパイロット1Passwordを社内に段階的にロールアウトし、パイロットで手順を固める方法を説明します。段階に分ける理由、招待の前に終えておくこと（所有者、復旧、アカウントパスワードのポリシー、保管庫の作成）、4つの段階の刻み方、パイロットの人選と期間の目安、拡張機能の導入率などを使った次の段階へ進む基準、ほかの切り替えや連休と日程を重ねない理由について解説します。
- 既存のパスワードを移行する1Passwordへブラウザー、表計算の台帳、ほかのパスワードマネージャーから既存のパスワードを移行する方法を説明します。一括で移すか本人に任せるかの判断、移行元ごとの経路、書き出したCSVの扱いとOneDriveの同期、ブラウザーから移して消す手順とパスキーの注意、LastPassの共有フォルダーを保管庫へ移す方法、表計算の台帳のCSVの整え方、移らないものについて解説します。
- ユーザー教育の進め方1Passwordを社員に定着させるためのユーザー教育の進め方を説明します。最初に伝える3つのこと、社内の利用ルールの作り方と管理者に見えるものの説明、案内ページと説明会と部門の推進役の組み合わせ、SSOの有無で分けた初日の案内の定型文、招待の差出人の予告を含む伝える時期、アダプションレポートでの定着の確かめ方、英語のヘルプとの付き合い方について解説します。
- 社内問い合わせへの備え1Passwordの導入に合わせて社内の問い合わせ窓口を準備する方法を説明します。問い合わせの型の分け方、窓口が答えられないこと、本人確認と復旧の受け付けの手順、端末をなくしたときの受け方、窓口で集める情報と集めない情報、1Password側の障害かどうかの切り分け、正規販売代理店を通じた1Password社への引き継ぎについて解説します。
ユーザーが使う機能
使い始める
- 初回セットアップとサインイン1Passwordを社員が使い始めるまでの初回セットアップとサインインの方法を説明します。始める前にそろえる招待のメールとサインインアドレス、アカウントパスワードで参加する流れ、Unlock with SSOで参加する流れ、Emergency Kitの保存と保管、デスクトップアプリとブラウザー拡張機能へのサインイン、スマートフォンを2台目の端末として加える方法、進まないときの確認について解説します。
- アプリとブラウザー拡張機能の接続1Passwordのデスクトップアプリとブラウザー拡張機能をつなぐ方法を説明します。接続で共有されるロックの状態とロック解除の方法とアカウント、つながっているかの確かめ方、アプリと拡張機能の設定の確認、信頼するブラウザーを追加する手順と注意点、MacとWindowsとLinuxで確かめること、接続を止めてしまうネイティブメッセージングのポリシーについて解説します。
- ロックの解除方法と生体認証1Passwordのロックを解除する方法と生体認証の使い方を説明します。ロック解除の方法の全体像とプリセット、Touch IDとApple WatchとWindows Helloの有効にし方、アカウントパスワードを求められる場面、WindowsでTPMを使う設定の利点と注意点、端末のロック解除に合わせて開く設定、自動ロックの決め方、会社が固定した設定の扱いについて解説します。
- 個人アカウントとの使い分け1Passwordで業務のアカウントと個人のアカウントを使い分ける方法を説明します。業務と個人を分ける理由と会社から見えるもの、無償の1Password Familiesの引き換え、アプリへの個人のアカウントの追加、パスワードをそろえるかどうかの判断、表示の絞り込みと保存先の選び方、退職の前に私物のアイテムを個人のアカウントへ移す作業について解説します。
保存と自動入力
- ログインの保存1Passwordのブラウザー拡張機能でウェブサイトのログインを保存する方法を説明します。サインインの後に出る保存の提案、従業員保管庫と共有保管庫と個人のアカウントの使い分け、提案が出ないサイトでの手での保存、ユーザー名とパスワードが別のページに分かれたサイトでの保存、既存のログインの更新と追加の欄の保存、同じサイトに複数のログインがある場合の整え方について解説します。
- 自動入力の挙動と調整1Passwordで自動入力の挙動を確かめて調整する方法を説明します。サインインの案内からの入力、ウェブサイトの欄ごとに選ぶ候補の範囲（サイト全体、ホストの完全一致、入力しない）、クレジットカードと住所の入力と確認の画面、入力の前に確認を求める設定、自動送信と特定のページで隠す設定、会社がポリシーで固定した自動入力の設定について解説します。
- Quick Accessとキーボードショートカット1PasswordのQuick Accessとキーボードショートカットを使う方法を説明します。Quick Accessでできること、MacとWindowsでの開き方、検索とアイテムの操作、業務アプリへの入力、端末全体とアプリとブラウザー拡張機能で使うショートカット、日本語配列のキーボードでの注意、コピーした内容が90秒で消える設定について解説します。
- MacのUniversal AutofillとWindowsのAuto-Type1Passwordでブラウザーの外のアプリにユーザー名とパスワードを入力する方法を説明します。Universal AutofillとAuto-TypeとmacOSの自動入力の違い、Macのアクセシビリティーの許可とターミナルへの入力、WindowsでのAuto-Typeの設定と使い方、前面のウインドーに打ち込む危険とMDMでの制限、Safariで使うmacOSの自動入力とMDMの制限について解説します。
- パスワードの生成と変更1Passwordでパスワードを生成し、既存のパスワードを変更する方法を説明します。提案されたパスワードの使い方、ランダムと覚えやすいパスワードとサイトに合わせたパスワードの違い、ブラウザーで既存のパスワードを変更するときの順序、アプリでの変更、保存し忘れたパスワードを生成の履歴から取り戻す方法、セキュリティーの質問のランダムな答えの作り方について解説します。
- パスキーと2要素認証コード1Passwordにパスキーと2要素認証のワンタイムパスワードを保存して使う方法を説明します。パスキーの保存とサインイン、Windowsのアプリでのパスキーの要件、削除とエクスポートの注意、QRコードからのワンタイムパスワードの保存と入力、どのコードを1Passwordに入れるかの判断、GoogleやMicrosoftのアカウントでサインインするサイトの保存について解説します。
アイテムの整理
- アイテムの作成と編集1Passwordでアイテムを作成し、編集する方法を説明します。業務でよく使うカテゴリーの選び方、APIのトークンと無線LANの設定の保存、カスタムフィールドの型とセクションの追加、欄の並べ替え、メモでのMarkdownの書式、同じ保管庫の中での関連アイテムの結び付け、パスワードの拡大表示、別の保管庫への移動と複製の確認画面について解説します。
- タグ、お気に入り、コレクション1Passwordでタグ、お気に入り、コレクションを使ってアイテムを整理する方法を説明します。お気に入りの追加、タグの付け方と入れ子、共有保管庫でのタグの注意、保管庫とタグの使い分け、コレクションの作成と新しい保管庫の自動追加、検索の対象と完全一致の検索、日本語の検索フィルター、アイテムが見当たらないときに表示を戻す手順について解説します。
- ファイルの保存とアーカイブ1Passwordでファイルを保存し、使わなくなったアイテムをアーカイブする方法を説明します。ドキュメントのアイテムと添付ファイルの使い分け、ファイルの大きさの上限とファイルストレージのポリシー、ファイルの取り出しと注意、アーカイブと削除の違い、元に戻す方法と完全な削除、アーカイブの中の検索、保管庫のパーミッションで操作できないときの確かめ方について解説します。
自己点検とトラブル時
- Watchtowerで自分のパスワードを点検する1PasswordのWatchtowerで自分のパスワードを点検する方法を説明します。ダッシュボードの開き方と点検の範囲、ビジネスWatchtowerレポートとの関係、分類ごとの優先度、侵害されたサイトや使い回しのパスワードの直し方、安全でないサイトと2要素認証、重複したアイテム、別のアカウントのアイテムの移し方、警告を無視していい場面、アカウントパスワードの変更について解説します。
- サインインできないときと端末を失ったとき1Passwordにサインインできないときと、端末を失ったときの対処方法を説明します。パスワードが通らないときの確かめ方、パスワードを忘れたときの生体認証と管理者の復旧、新しい端末でのサインインに必要な4つの情報、サインインアドレスとリージョン、Secret Keyの再生成と端末の認証解除、アイテムが見当たらないとき、Unlock with SSOの場合について解説します。
日々の運用
アイテムと保管庫の運用
- アイテムの設計と命名規則1Passwordでアイテムの設計と命名規則を決める方法を説明します。先に決めておく4つのこと、カテゴリーの選び方と期限の通知が働く条件、一覧での見分けやすさを基準にした名前の付け方、カスタムフィールドの型の選び方、タグの入れ子と配り方、Watchtowerの重複の検出が及ぶ範囲、決めた内容を社内に配って定着させる進め方について解説します。
- アイテムの履歴と復元1Passwordでアイテムの履歴を確認して前のバージョンに戻す方法を説明します。パスワードの履歴とバージョンの履歴の違い、過去のパスワードの見方、前のバージョンへの復元の手順、履歴を扱える人を決める保管庫のパーミッション、閲覧と復元を分けられない制約、削除や移動や共有で追えなくなる範囲、上書きや改変が起きたときの進め方について解説します。
- アイテムの共有と共有リンクの統制1Passwordでアイテムを共有し、発行済みの共有リンクを統制する方法を説明します。保管庫の共有と共有リンクとプライベートリンクの違い、リンクの発行手順と必要なパーミッション、共有履歴からの失効、監査ログを使った追跡、コピーとして渡るものと暗号化されたコピーの保管場所、誰に出せるかと有効期限と招待の同梱という3つの設定について解説します。
- 保管庫とアクセス権の棚卸し1Passwordで保管庫とアクセス権を棚卸しする方法を説明します。管理操作とデータと外への出口という3つの層、チームレポートや使用状況レポートを使った材料のそろえ方、強いパーミッションが優先される仕組みと従業員保管庫の扱い、棚卸しの頻度と担当の決め方、アクセスを外すときの順序と事後のパスワードの変更、実施した内容を記録に残す方法について解説します。
人の異動への対応
- 入社時の手順1Passwordで新しく入る人を迎える手順を説明します。入社日までに決めておく所属グループと確認の担当、自動プロビジョニング環境と手動で招待する環境で変わる段取り、招待メールの期限とサインアップリンクの前提、ゲストとチームメンバーの使い分け、初日に渡す案内、1週間後に見る定着の確認、招待が届かないときやセットアップが止まるときの対処について解説します。
- 異動時の手順1Passwordで異動があったときに見直すアクセス権を説明します。グループの所属、保管庫の個別のアクセス権、環境と管理のパーミッションという3つの層、新しい所属を先に足す付け替えの順序、自動プロビジョニング環境でアカウントが一時停止される条件、発行済みの共有リンクと従業員保管庫に残るもの、規模ごとの進め方、クレデンシャルを変えるかどうかの判断について解説します。
- 退職時の手順1Passwordで退職者のアカウントを止める手順を説明します。削除の前に従業員保管庫のアイテムを移す作業とビジネスWatchtowerレポートでの確認、一時停止と削除の違い、オフラインの端末での挙動、共有していたクレデンシャルの変更と共有リンクの失効、自動プロビジョニング環境での削除の順序、突然の退職に備えるアカウントの復旧について解説します。
クレデンシャルのガバナンス
- クレデンシャルの所有権を会社に移す1Passwordで従業員が保存した業務用のログインの所有権を会社に移す方法を説明します。引き取った後に利用者の画面がどう変わるか、アイテムの検出を有効にする手順、許可ドメインの決め方、従業員への周知、ドメインの所有をDNSで示す登録作業、転送の開始と完了と取りやめ、会社管理に移した後のアクセス管理とパスワードのリセットについて解説します。
- 開発者のシークレットを見つけて是正する1Passwordで従業員の端末に平文で置かれた開発者のシークレットを見つけて是正する方法を説明します。検出できるシークレットの種類、ローカルディスクのスキャンを有効にする手順、有効にする前の周知と担当者の設計、開発者シークレットの検出レポートの読み方とCSVへの書き出し、該当者への連絡用の文面の作成、是正の進み方の追跡、検出の範囲と限界について解説します。
- トラベルモードの運用1Passwordのトラベルモードを海外出張の運用に組み込む方法を説明します。オンにしたときに端末と1Password.comから取り除かれる範囲、持ち出す保管庫の決め方と出張用の保管庫の作り方、管理者と本人それぞれの切り替え手順、反映に端末側の操作が要ること、切り替えるタイミングと戻し忘れの防ぎ方、統制の手段として使えるかどうかについて解説します。
監査とレポート
レポート
- レポートの全体像1Passwordの管理コンソールに並ぶレポートの読み方を説明します。セキュリティー、アカウントのアクティビティー、チームインサイトという3つのまとまりと10本のレポートの内訳、所有者とセキュリティーの担当グループに限られる閲覧の範囲、更新のタイミングと対象期間の違い、監査ログおよびインサイトとの使い分け、運用に組み込むときの決めごとについて解説します。
- ビジネスWatchtowerレポート1PasswordのビジネスWatchtowerレポートで、組織の保管庫に残るパスワードの問題を点検する方法を説明します。集計される8つの分類、所有者による最初のレポートの作成、母集団の確かめ方、保管庫ごとの絞り込みとCSVの書き出し、Watchtowerへ移動しての是正、24時間の更新サイクルとデータが欠ける仕組み、外部に出る情報の範囲について解説します。
- ドメイン侵害レポート1Passwordのドメイン侵害レポートで、自社ドメインのメールアドレスが外部の情報漏洩に含まれていないかを確認する方法を説明します。ビジネスWatchtowerレポートとの違い、メールアドレスとDNSのTXTレコードによるドメインの検証、複数のドメインと別名の扱い、漏洩した情報の種類とスパムリストの除外、影響を受けた人への通知、通知の前に決めておくことについて解説します。
- 利用状況と定着のレポート1Passwordを導入した後の利用状況と定着を確認する方法を説明します。使用状況レポート、アダプションレポート、チームレポート、概要レポートの役割分担、使用状況レポートの作り方と対象の選び方、記録される11種類の操作、保管庫の管理のパーミッションによる制約、インサイトのチーム利用状況からのリマインダー、定着を測る指標の決め方について解説します。
- サインイン試行と端末のレポート1Passwordでサインインの失敗と古いバージョンのアプリを把握する方法を説明します。サインイン試行のレポートに記録される3つの条件と過去60日という範囲、地図とタイムラインの読み方、疑わしい試行をその場でブロックする手順、記録されない操作と誤って記録される操作、デバイスレポートの端末数と人数の違い、古いアプリを締め出すポリシーの副作用について解説します。
監査ログとSIEM統合
- 監査ログの読み方1Passwordで監査ログを読み、組織で起きた操作を1件ずつ追う方法を説明します。監査ログを開ける人の条件とパーミッションによる見え方の違い、日付と時刻・イベント・実行ユーザー・説明・IPアドレスの5列の意味、記録されるイベントの種類と365日の保存期間、フィルターによる絞り込み、CSVへの書き出しと識別子の扱い、新しい監査ログとの使い分け、事故調査と月次点検での進め方について解説します。
- Events Reportingの設定1Passwordのアカウントの活動をイベントレポートで自社のSIEMへ送る方法を説明します。送れる3種類のイベントとSIEMには届かないデータ、統合の追加とベアラートークンの発行手順、トークンの保存先の保管庫の選び方、有効期限と発行本数の設計、取り込みを止めずに差し替える順序、Events APIにおけるデータ保護の仕組みについて解説します。
- SIEMごとの接続1PasswordのイベントをSIEMへ取り込む方法を製品ごとに説明します。接続方式の3つの型、BusinessとEnterpriseで異なるEvents APIのアドレス、Splunkのインデックスと検索マクロとClassic Experienceの制約、ElasticのダッシュボードとBeatと取り込み間隔の上限、Microsoft Sentinelのコネクターとウォッチリスト、疎通の確かめ方について解説します。
- ログの保管とアラートの設計1Passwordのログをどれだけの期間残し、どの操作が起きたら人を呼ぶかを決める方法を説明します。画面の監査ログ・CSVへの書き出し・SIEMという3つの経路の違いと欠け方、保管期間の決め方、識別子から名前への変換と時刻の扱い、アラートを緊急度で3段階に分ける考え方、誤検知を減らす前提、監視が止まっていないことの確かめ方について解説します。
インサイト
- インサイトの使い方1Passwordのインサイトでセキュリティーの問題を見つけ、是正につなげる方法を説明します。画面を開けるのが所有者とセキュリティグループに限られる理由、データ漏えいチェック、パスワード健全性チェック、開発者シークレットの検出、チーム利用状況という4つのセクションの読み方、保管庫の集計が更新される条件、レポートや監査ログとの使い分けについて解説します。
- インサイト通知の設計1Passwordのインサイトから送る通知を設計する方法を説明します。送れる4種類の通知と送信できる人、チームメンバーへの漏洩の通知、参加していないメールアドレスに届くのが漏洩の知らせではなく招待であること、開発者シークレットの連絡が手作業になること、チーム利用状況のリマインダー、文面が英語であることを前提にした日本語環境での組み立て方について解説します。
外部サービスと他製品との統合
外部サービスとの統合
- SlackとDuoの統合1PasswordでSlackとDuoを統合する方法を説明します。2つの統合の性格の違い、Slackアプリの接続とプライベートチャンネルの扱い、対応が必要なメッセージと情報として流れるメッセージの分け方、Slackからのチームメンバーの招待、Duoの有効化に必要な3つの値、既存の2要素認証が置き換わることと有効化のタイミングについて解説します。
- Security Automationと外部サービスの統合1PasswordのSecurity Automationで外部のインシデント対応プラットフォームと統合する方法を説明します。自動プロビジョニング環境では使えないという適用条件の判定、IDプロバイダー側での代替、指定できる4つのスコープ、OAuthアプリケーションの作成とクライアントシークレットの保管、接続と失効、棚卸しの観点について解説します。
- SaaS Managerとの統合1PasswordのEnterprise Password ManagerとSaaS Managerをつなぐ方法を説明します。アカウントのリンク、アプリ検出、SCIM Bridge経由の接続という3つの方法の違い、リンクで起きる管理者のロールの変化、アプリ検出の有効化と対象範囲、所有権の移管、停止した後に起きること、SCIM Bridge経由で接続する場合の注意について解説します。