1Passwordの導入は、組織のアカウントを1つ作るところから始まります。アカウントを作った人はそのまま所有者になり、アカウントには組織専用のサインインアドレスが付きます。サインインアドレスは後から変えられますが、全員のEmergency Kitの取り直しや、統合に使うトークンの差し替えが伴います。招待を始める前に決めておくのが、最も手戻りの少ない進め方です。このページでは、作る前に決めること、作成直後に済ませる順序、サインインアドレスの決め方と変え方を説明します。リージョンの選び方はリージョンの選択とデータの保管場所、アカウントを複数に分けるかどうかはテナント構成の選択（単独、親子、グループ会社、MSP）で扱います。
作る前に決めること
アカウントを作る前に、決めておくことが3つあります。
| 決めること | 考え方 |
|---|---|
| リージョン | US、CA、EUの3つから選びます。データは選んだリージョンに置かれ、後から自動で移ることはありません。変えるには別のリージョンにアカウントを作り直し、データを移すことになります |
| 作る人 | 作った人が最初の所有者になります。アカウントの最終責任を今後も持つ、情報システム部門の責任者などが作ります |
| 作る人のメールアドレス | 実際に受信できる会社のアドレスを使います。招待、復旧、新しい端末からのサインインの知らせは、全てメールで届きます |
導入を支援する外部の担当者がアカウントを作ると、その人が所有者として残ります。社内の担当者が作り、外部の担当者は後から招待する順序にしてください。
作成直後に済ませる順序
アカウントができたら、全員を招待する前に次の順で進めます。後の工程ほど、先の工程が決まっていることを前提にしています。
- 自分のEmergency Kitを保存します。所有者が全員サインインできなくなったときに、アカウントへ入る最後の手段です。保管の方法はEmergency Kitの運用で扱います。
- サインインアドレスを確定します。決め方は次の節で説明します。
- アカウントパスワードのポリシーを決めます。このポリシーは遡って適用されません。先に参加した人は、パスワードを変えるか復旧を受けるまで、古い条件のままです。設定はアカウントパスワードポリシーで扱います。
- 1Passwordからのメールを受け取れるようにします。アカウントに関わる知らせは
1password.comのドメインから届きます（CAとEUのリージョンでは1password.caと1password.euです）。迷惑メールの判定やメールの受信制限で止まらないよう、除外の設定をしておきます。 - 2人目の所有者を招待し、
所有者に加えます。自分のアカウントは自分では復旧できないためです。招待した人の確認が済んだら、人で本人を選び、グループのタブの管理から所有者に入れます。人選は所有者と管理者の設計で扱います。 - 会社のドメインを検証し、社員が組織の外にアカウントを作れない状態にします。手順はドメインの検証とアカウント作成の制御で扱います。
チームメンバーの保管庫の作成を残すかどうかを決めます。既定のままだと、参加した人が誰でも共有保管庫を作れます。考え方は組み込みグループの役割で扱います。- 全員の招待を始めます。招待の方式は手動、自動プロビジョニング、SCIM Bridgeの比較で選びます。
サインインアドレスの決め方
サインインアドレスは、サイドバーの設定で確認と変更ができます。決めるのはアドレスの前の部分だけです。使える文字は英字、数字、ハイフンで、後ろにはリージョンのドメインが固定で付きます。ほかの組織が使っている文字列は選べず、入力欄の下にその旨が表示されます。
文字列は、組織が続く限り変わらない語にします。社名の略称や、グループ全体で使うならグループ名が候補です。導入の案件名、部署名、試用中であることを示す語は避けます。社名の変更や統合が予定されている場合は、変更後の名前で作ると手戻りがありません。
社員がこのアドレスを入力する場面もあります。新しい端末で初めてサインインするときや、アドレスを尋ねられたときです。Emergency Kitにも記載されます。電話口で伝えられる程度に短くし、ハイフンを続けるような紛らわしい形は避けてください。
後から変えると起きること
変更は保存した時点で反映され、アカウントが止まる時間はありません。それでも、影響は次の3つの範囲に及びます。
全員に及ぶもの
全員が新しいアドレスの入ったEmergency Kitを取り直す必要があります。変わるのはアドレスだけで、Secret Keyなどはそのままです。1Password.comをブックマークしている人は、登録し直します。アプリは、30日以内にロックを解除すれば変更を自動で認識します。この期間を過ぎた人と古いバージョンを使っている人は、アプリでサインインし直すことになります。
統合と自動化
自動プロビジョニングを使っている場合は、保留中の招待を送り直します。SCIM Bridgeを使っている場合は、scimsessionファイルを作り直し、ベアラートークンを更新します。Oktaのダッシュボードに1Passwordのタイルを置いている場合は、サインインのURLを直します。Secrets Automationのワークフローは作り直しになり、Connectサーバーのトークンの発行し直しと、サービスアカウントのトークンの差し替えも必要です。
Unlock with SSOを使っている場合
IDプロバイダー側で、リダイレクトURIを新しいアドレスに合わせて更新します。ブラウザー拡張機能を使っている人は、変更後にブラウザーを再起動します。新しいアドレスを開くと、暗号鍵の移し替えを求められます。アプリも拡張機能も使わず1Password.comだけで利用している人は、アカウントの復旧が必要です。古いアドレスは、変更から最大30日間は開けます。
サインインアドレスを変える手順
変更できるのは、所有者、管理者、設定の管理を持つグループのメンバーです。
- 1Password.comにサインインし、サイドバーの
設定を選びます。 - サインインアドレスの欄に、新しい文字列を入力します。
- 欄の下に使える旨が表示されたことを確かめてから、設定を保存します。
【注意】 Unlock with SSOを使っている組織では、IDプロバイダーの管理者と日時を決め、リダイレクトURIの更新と1Password側の保存を同じ作業の中で行ってください。1Password.comだけで利用している人は変更の後に復旧が必要になるため、事前に洗い出して段取りを付けておきます。
変更は監査ログに記録されます。変更管理の申請と突き合わせられるよう、アラートの対象に入れておくと安心です。考え方はログの保管とアラートの設計で扱います。
【運用のポイント】 稼働後に変える場合は、影響する統合とトークンを先に一覧にし、差し替える担当者と順序を決めてから日時を告知します。告知には、Emergency Kitを取り直す手順と、ブラウザーを再起動する旨を必ず入れてください。