1Passwordの管理操作は、グループに付ける管理パーミッションとして渡します。カスタムグループに付けられるのは10件で、所有者や管理者に入れなくても、必要な操作だけを任せられます。ただし、名前から想像する範囲と実際の範囲がずれているものがあり、見る操作と変える操作を分けにくい組み合わせもあります。割り当ててから気付くと、任せたはずの作業ができない、あるいは任せていない操作までできる、という状態になります。このページでは10件の中身、注意が要る3件、カスタムグループには渡せないもの、役割ごとの割り当ての型を説明します。グループそのものの作り方はカスタムグループの設計で扱います。
カスタムグループに付けられる10件
右の列は、組み込みグループのうち既定でそのパーミッションを持つものです。
| パーミッション | できること | 既定で持つ組み込みグループ |
|---|---|---|
保管庫の作成 | 共有保管庫を作る。作った保管庫の保管庫の管理も付く | 所有者、管理者、チームメンバー |
管理サイドバーを表示 | ダッシュボードと監査ログを見る。レポートを作り、各メンバーの詳細を見る | 所有者、管理者、セキュリティ |
アカウントの復旧 | アクセスを失った人のアカウントを復旧する。復旧を完了するための通知メールも届く | 所有者、管理者 |
人物の管理 | メンバーの名前を変更する | 所有者、管理者 |
人をサスペンドする | アカウントを一時停止する。本人に代わってトラベルモードを切り替える | 所有者、管理者 |
人を招待/削除 | 人を招待する。アカウントを削除する | 所有者、管理者 |
すべてのグループの管理 | 全てのカスタムグループのメンバー、保管庫、パーミッションを管理する | 所有者、管理者 |
設定の管理 | 組織名やサインインアドレスなどの設定と、ポリシーを変更する | 所有者、管理者 |
お支払いの管理 | 契約、クレジットカード、請求書を管理する | 所有者 |
アカウントの削除 | 組織全体を、全員のアカウントとデータごと削除する | 所有者 |
最後の2件は、所有者のメンバーでなければカスタムグループに付け外しできません。
名前と中身がずれている3件
名前から受ける印象通りに割り当てると、意図とずれる3件があります。
名前の変更だけを許すパーミッション
人物の管理でできるのは、メンバーの名前の変更です。一時停止も招待も、別のパーミッションに分かれています。ヘルプデスクに人の管理を任せるつもりでこれだけを付けると、問い合わせのほとんどに対応できません。
招待と削除が一体になっているパーミッション
人を招待/削除は、招待とアカウントの削除が1つにまとまっています。招待だけを任せる設定はできません。新しく入った人の招待をヘルプデスクに任せると、同じ担当者が任意のアカウントを削除できる状態になります。削除すると従業員保管庫のアイテムは復元できないので、監査ログで削除の操作を追う前提で渡してください。
他のグループを書き換えられるパーミッション
すべてのグループの管理を持つ人は、全てのカスタムグループのメンバーとパーミッションを変えられます。自分をアカウントの復旧の付いたグループに入れることも、所属するグループにパーミッションを足すこともできます。実質的には、支払いと組織の削除を除いて管理者と同じ範囲に手が届くと考えてください。
カスタムグループには渡せないもの
インサイトとセキュリティーのレポートは渡せません。インサイトとセキュリティレポートを表示はセキュリティグループにだけ付いていて、10件の中にありません。見せる必要がある場合はセキュリティグループに入れることになり、管理サイドバーを表示も一緒に付きます。詳細は組み込みグループの役割で扱います。
組み込みグループのパーミッションの一覧には保管庫の管理も並びますが、カスタムグループではグループのパーミッションとして選べません。カスタムグループに保管庫を管理させるには、保管庫ごとのパーミッションとして与えます。与え方は保管庫の権限モデルで扱います。
閲覧と変更を切り分けにくい点
監査の担当に管理サイドバーを表示だけを付けると、監査ログとレポートは開けます。ただし、監査ログに出るのは開いた人がアクセスできる範囲のイベントだけです。使用状況のレポートに出るのも、作った人が保管庫の管理を持つ保管庫だけです。
全ての保管庫を見渡させるには、全ての保管庫で保管庫の管理を渡すことになります。これはアクセスの付与と取り消し、保管庫の削除までできるパーミッションです。見るだけの役割に、変える力が付いてきます。
内部監査のように変更の操作をさせたくない相手には、画面ではなくEvents Reportingで記録を外に出し、SIEMの側で見てもらう形が向いています。組織全体のイベントが欠けずに届き、1Passwordの保管庫に手を入れる必要もありません。設定はEvents Reportingの設定で扱います。
役割ごとの割り当ての型
管理者に入れる人を減らしてカスタムグループに寄せると、SaaS Managerとリンクしたときに向こうの管理者が増えることも防げます。よく使う型は次の3つです。
ヘルプデスク
アカウントの復旧と人をサスペンドするが中心です。招待も任せる場合は人を招待/削除を足しますが、前述の通り削除も付いてきます。アカウントの復旧を付けたグループは自動プロビジョニングの管理対象から外れるので、メンバーは画面で管理します。
【注意】
アカウントの復旧は、メールシステムの管理者を兼ねる人に付けないでください。復旧のリンクは本人の受信箱に届きます。受信箱を開ける立場の人が復旧も行えると、他人のアカウントを乗っ取れます。所有者のアカウントが対象になれば、組織全体の削除まで届きます。人員の都合で分けられない場合は、復旧の操作を監査ログとアラートで必ず追ってください。考え方は復旧の設計（誰が復旧できるか）で扱います。
監査とレポートの担当
管理サイドバーを表示だけを付けたグループにします。見える範囲が限られることは前の節の通りです。インサイトまで見せる場合はセキュリティグループを使います。
部門の責任者
保管庫の作成だけを付けたグループにします。チームメンバーから保管庫の作成を外すのと組にすると、共有保管庫を作れる人が部門の責任者に限られます。命名の規則を先に伝えてから渡してください。保管庫の切り方は保管庫の分割パターンで扱います。
【運用のポイント】 割り当ては、グループ、付けたパーミッション、変更を承認する人を1枚の表にまとめて管理します。情報システム部門とセキュリティー部門のどちらが承認するかを決めていないと、変更の通知が届いても誰も確認しない状態になります。変更の検知はログの保管とアラートの設計で扱います。