復旧は、復旧できる人が1人でも残っていれば成り立ちます。所有者も管理者も復旧の担当も、全員が同時にサインインできなくなると、組織の中に助けられる人がいなくなります。1PasswordはアカウントパスワードにもSecret Keyにも触れられないため、外から戻すこともできません。最後に頼れるのは、所有者が保管しているEmergency Kitだけです。このページでは、全員が締め出されたときに起きること、所有者のEmergency Kitの保管、保管したものが古くなる場面、所有者を入れ替えるときの順序、管理する人がいなくなった共有保管庫、年に一度の復旧の訓練を説明します。所有者の人数と人選は所有者と管理者の設計で扱います。
全員が締め出されたら戻せない
1Passwordの暗号化は、アカウントパスワードとSecret Keyを本人しか知らない前提で作られています。サポートに連絡しても、パスワードのリセットも復旧もできません。復旧できる人が全員サインインできなくなった場合、組織を取り戻す方法は、所有者のEmergency Kitでサインインすることだけです。
所有者は、Unlock with SSOを導入してもアカウントパスワードとSecret Keyでサインインします。IDプロバイダーが使えなくなったときにも入れる人を残すための仕組みです。組織としてEmergency Kitを配らない設定にしても、所有者、管理者、セキュリティ、アカウントの復旧を持つグループのメンバーは保存できます。つまり、所有者がEmergency Kitを持っていないのは設定の結果ではなく、保存と保管の手順が抜けているということです。
所有者のEmergency Kitを保管する
Emergency Kitには、サインインアドレス、メールアドレス、Secret Key、アカウントパスワードを書き込む欄が入っています。2要素認証を使っている所有者は、QRコードの横にある16文字のシークレットも書き写しておきます。認証アプリを入れたスマートフォンを失ったときに必要になるためです。
保管の方法は、次の3つを組み合わせます。
紙に印刷して社内の金庫に置く
最も確実な方法です。1Passwordの中だけに保存すると、1Passwordに入れないときに取り出せません。所有者ごとに封筒を分け、開けられる人と開けた記録の付け方を決めておきます。
パスワードとSecret Keyを分けて持つ
セキュリティーの要件が特に高い組織では、アカウントパスワードを書いたものと、Secret Keyを印刷したものを別の場所に置きます。1カ所が盗まれても、それだけではサインインできません。所有者のアカウントを2人でしか使えない形にする場合も、この分け方をそのまま使います。
拠点の外に複製を置く
社屋が使えなくなる災害に備えて、別の拠点か、契約している保管サービスに複製を置きます。複製を置いた場所も、金庫と同じ記録に載せます。
保管したものが古くなる場面
Emergency Kitは、作った時点の情報しか持っていません。次の変更があったら、所有者に新しいものを保存してもらい、保管している分と差し替えます。
| 変更 | 古くなる内容 |
|---|---|
| アカウントパスワードの変更 | 書き込んだパスワード |
| 復旧を受けた | Secret Key |
| メールアドレスの変更 | メールアドレス |
| サインインアドレスの変更 | サインインアドレス |
サインインアドレスの変更は、所有者全員のEmergency Kitが一度に古くなります。変更の手順はアカウントの作成とサインインアドレスの決定で扱います。
所有者を入れ替えるときの順序
所有者を所有者に加えられるのは、所有者だけです。所有者が1人しかいない組織で、その人が後任を加えないまま退職すると、誰も所有者を増やせなくなります。
- 後任を招待し、確認を済ませます。
- 前任が、後任を
所有者に加えます。 - 後任がEmergency Kitを保存し、金庫の記録を更新します。
- 後任が所有者としてサインインできることを確かめます。
- 前任を
所有者から外します。
5を4より先に行わないでください。後任がサインインできないまま前任を外すと、所有者を戻す手段がなくなります。
管理する人がいなくなった共有保管庫
共有保管庫の保管庫の管理を持っていた人が全員いなくなると、所有者のほかには誰もその保管庫にアクセスを与えられなくなります。所有者は、作った人が組織を離れた保管庫も含めて、全ての共有保管庫を管理できます。
逆に言えば、所有者がいなくなると、こうした保管庫の中身にも届かなくなります。管理する人のいない保管庫が見つかったら、所有者が保管庫の管理を持つ人を新しく割り当てます。設計は保管庫の権限モデルで扱います。
年に一度の復旧の訓練
手順を知っている人が異動すると、復旧の段取りは失われます。年に一度、訓練用のアカウントで復旧を最初から最後まで通してください。
- 復旧の担当が、手順の文書だけを見て始めから完了まで進められるか
- 完了を求める通知が、決めた宛先に届くか
- 所有者が、保管しているEmergency Kitだけでサインインできるか
訓練のついでに、誰が復旧を手伝えるかを社内に知らせ直します。所有者と管理者だけでなく、復旧のグループのメンバーも含めて伝えます。手順は復旧の実行手順で扱います。
【運用のポイント】 所有者が最近サインインしているかは、四半期ごとの確認に入れておきます。長くサインインしていない所有者は、いざというときにパスワードを思い出せないおそれがあります。確認の方法は所有者と管理者の設計で扱います。