1Passwordのアカウントには、最初から用意されているグループが5つあります。管理の役割は、この組み込みグループと、自分で作るカスタムグループの組み合わせで割り当てます。組み込みグループは削除できず、付いているパーミッションもほぼ決まっているので、誰をどのグループに入れるかがそのまま管理の体制になります。特に所有者と管理者の違いと、セキュリティグループでしか渡せないものは、後から体制を組み替えるときに効いてきます。このページでは5つのグループの役割と、それぞれに誰を入れるかの考え方を説明します。個々のパーミッションの中身は管理権限の一覧と割り当て方で扱います。
5つの組み込みグループ
サイドバーのグループを開くと、組み込みグループとカスタムグループが同じ一覧に並びます。組み込みグループは次の5つです。
| グループ | 入る人 | 主な役割 |
|---|---|---|
所有者 | アカウントを作った人と、追加で指名した人 | 管理者の全ての操作に加えて、支払いの管理とアカウントの削除 |
管理者 | 日常の管理を担う人 | 人、グループ、保管庫の管理と、アカウントの復旧 |
セキュリティ | レポートを見る担当者 | インサイトとセキュリティーのレポートの閲覧 |
チームメンバー | ゲストを除く全員 | 管理パーミッションは持たない。既定で保管庫を作れる |
Provision Managers | 原則として誰も入れない | 自動プロビジョニングと1Password CLIによるユーザーの作成 |
セキュリティとProvision Managersは、アカウントを作った時点では一覧にありません。セキュリティは違反報告を設定すると現れ、Provision Managersは自動プロビジョニングか1Password CLIを設定すると現れます。見当たらなくても設定の漏れではありません。親アカウントを使う構成では、親アカウント管理者のグループも並びます。この構成はテナント構成の選択（単独、親子、グループ会社、MSP）で扱います。
アカウントの最終責任を持つグループ
所有者は、アカウントに対して全ての操作ができるグループです。グループの詳細にはお支払いおよびアカウント管理へのアクセス。と表示されます。管理者の操作に加えて、契約と支払いの管理、組織全体の削除ができます。所有者に人を加えられるのも所有者のメンバーだけです。
保管庫についても特別な立場にあります。所有者は、誰が作った共有保管庫でも管理できます。作った人が既に退職している保管庫も含みます。裏返すと、所有者から隠せる共有保管庫は作れません。人事や役員の情報を入れる保管庫を設計するときは、所有者が誰であるかを前提に置いてください。
所有者のメンバーはUnlock with SSOでロックを解除できません。SSOを導入した後も、アカウントパスワードとSecret Keyでサインインします。IDプロバイダーが使えなくなったときにも、アカウントに入れる人を残すための仕組みです。人数は最低2人にします。自分のアカウントは自分では復旧できないため、1人だけだとその人が締め出されたときに手当てができません。人選は所有者と管理者の設計で扱います。
日常の管理を担うグループ
管理者は、人、グループ、保管庫の管理と、アカウントの復旧を担うグループです。所有者との違いは、支払いの管理と組織全体の削除ができないことだけです。情報システム部門の担当者は、通常ここに入れます。
入れる人数は絞ってください。管理者には、カスタムグループに付けられるパーミッション10件のうち、お支払いの管理とアカウントの削除を除く8件が全て付いています。ヘルプデスクや部門の担当者に一部の操作だけを任せる場合は、管理者に入れずに、必要なパーミッションだけを付けたカスタムグループを使います。作り方はカスタムグループの設計で扱います。
SaaS Managerとアカウントをリンクすると、管理者と所有者のメンバーはSaaS Manager側でも管理者になります。Enterprise Password Managerの都合で管理者を増やすと、SaaS Managerの管理者も同じだけ増えます。詳細はSaaS Managerとの統合で扱います。
レポートを見るためのグループ
セキュリティは、インサイトとセキュリティーのレポートを見るためのグループです。インサイトとセキュリティレポートを表示というパーミッションはこのグループにだけ付いていて、カスタムグループには付けられません。管理者に入れてもインサイトは画面に出てきません。所有者以外の人にインサイトやビジネスWatchtowerレポートを見せるには、このグループに入れるしかありません。
一方で、保管庫を作る、人を招待する、といった変更の操作は付きません。見る範囲は広く、変える力はない、という性格のグループです。
【注意】
セキュリティグループに入れると、管理サイドバーを表示も一緒に付きます。監査ログ、ダッシュボード、各メンバーの詳細まで見える状態になります。インサイトだけを見せたい相手にも、この範囲が渡ることを前提に人を選んでください。
全員が入るグループと自動化のためのグループ
チームメンバーには、ゲストを除く全員が自動で入ります。外すことはできません。管理パーミッションはありませんが、既定で保管庫の作成が付いています。つまり、誰でも共有保管庫を作って他の人に渡せる状態で始まります。作った人にはその保管庫の保管庫の管理が付き、誰にアクセスを与えるかを自分で決められます。
保管庫を情報システム部門の管理下に置きたい場合は、チームメンバーから保管庫の作成を外し、部門の責任者を集めたカスタムグループに付けます。利用者が保管庫を作り始める前、導入の初期に決めてください。
Provision Managersは、自動プロビジョニングと1Password CLIがユーザーの作成と確認に使うグループです。原則として誰も入れません。1Password CLIでユーザーを作る場合だけ、作業する人を一時的に入れます。このグループのメンバーは、まだセットアップを終えていないユーザーの従業員保管庫にアクセスできます。入社前にアイテムを用意する用途には使えますが、入ったままにすると、本人がまだ使っていない保管庫が見える状態が続きます。
画面で管理するグループ
所有者と管理者にはアカウントの復旧とすべてのグループの管理が付いています。この2つのどちらかを持つグループは、自動プロビジョニングの管理対象から外れます。従って、この2つのグループの出入りはIDプロバイダーではなく1Passwordの画面で行います。セキュリティの所属も同じ画面から変えます。
- サイドバーの
グループを開き、対象のグループを選びます。 - メンバーのタブで
管理を選びます。 - 加える人と外す人を選び、更新を確定します。
【運用のポイント】 IDプロバイダーで異動や退職を処理しても、
所有者と管理者の所属は変わりません。異動時の手順と退職時の手順のチェックリストに、組み込みグループの所属を確認する行を入れておいてください。