情報システム部門が配ったわけではないログインが、どの組織にもあります。SSOに対応していない業務アプリ、契約が切れた後も残っている外部委託先のアカウント、念のために複数の保管庫へコピーされた緊急用のアカウントなどです。作った本人が辞めれば、誰も入れなくなります。1Password Businessには、こうしたログインを検出して、会社が所有するアイテムとして引き取る仕組みがあります。このページでは、引き取ると何が変わるか、検出を有効にする手順、ドメインの所有をDNSで示す手順、所有権を取得する操作、引き取った後の運用を説明します。SaaS Managerを契約している場合の進め方はSaaS Managerとの統合で扱います。
引き取ると何が変わるか
引き取ったアイテムは、管理コンソールの項目にある会社管理のタブに入ります。誰がアクセスできるかを管理者が決める形になり、本人の保管庫からは離れます。
利用者側の見え方も変わります。アクセスを与えられた人は、これまでと同じようにそのサービスへサインインできますが、ブラウザー拡張機能による自動入力に限られます。アイテムを開いて中身を見ることも、編集も、コピーもできません。パスワードの文字列はアプリに出なくなります。Androidでは利用できず、iPhoneとiPadではSafariの拡張機能から入力する形になります。
対象はログインのアイテムだけです。パスワードのカテゴリーやSSHキーなど、他のカテゴリーは引き取れません。操作できるのは所有者と管理者のグループに入っている人です。
【注意】 所有権を移すと、そのアイテムにアクセスしていた統合は接続が切れ、発行済みの共有リンクは動かなくなります。自動化から参照しているアイテムを引き取ると、そこで処理が止まります。引き取る前に、その業務アプリを使っている仕組みがないかを確認してください。共有リンクの棚卸しはアイテムの共有と共有リンクの統制で扱います。
始める前に決めること
3つあります。どれも有効にした後では変えにくいものです。
許可ドメインの範囲
検出の対象になるかどうかは、アイテムのユーザー名で決まります。メールアドレスの形をしていて、登録したドメインに一致するものだけが拾われます。子会社や買収した事業のドメインを別に持っている場合は、そこまで入れるかどうかを先に決めてください。
裏返すと、会社のメールアドレスで登録した個人のサービスは検出されます。逆に、口座番号や社員番号をユーザー名にしている業務のアカウントは、業務のものであっても検出されません。網羅的な棚卸しの手段ではなく、メールアドレスで作られたアカウントを拾う仕組みだと考えてください。
従業員への周知
従業員保管庫の中身が対象に入ります。本人が個人の用途で保存したログインでも、会社のメールアドレスを使っていれば一覧に出ます。有効にする前に、何を目的として何を見るのかを説明してください。就業規則や社内規程で私的利用の扱いを定めている場合は、そことの整合も確認が要ります。
個人のログインは無償で付いてくる1Password Familiesに移してもらうのが確実です。案内の出し方は従業員保管庫の位置付けで扱います。
DNSを触れる人の確保
初回の1回だけ、対象ドメインのDNSにTXTレコードを追加する必要があります。DNSの管理が別部署や外部のベンダーに分かれている組織では、ここで数日から数週間止まります。検出を有効にする前に、依頼先と所要日数を確認しておいてください。
アイテムの検出を有効にする
サイドバーの項目を開きます。検出がまだ無効な状態では、ユーザー管理のタブを押しても、会社管理のタブにあるアイテムを探すを押しても、同じダイアログが開きます。
ダイアログの承認されたメールドメインのリストに、業務で使っているメールアドレスのドメインをカンマ区切りで入力します。1件以上入れると1Passwordにアイテムを検出させるのトグルが操作できるようになるので、これをオンにして続行を押します。
同じ設定はポリシーの共有と許可からも変更できます。後からドメインを足すときや、検出を止めるときはこちらを使います。
検出された件数は、有効にした直後に一気に出るわけではありません。以後に変更のあったアイテムから順に反映されるため、数日かけて増えていきます。全件をすぐに把握したい場合は、登録したドメインを一度削除して保存し、同じドメインを追加して保存し直してください。これで再集計が走ります。
検出を後からオフにしても、それまでに見つかったアイテムは項目に残ります。
ドメインの所有をDNSで示す
初めて所有権を取得するときに、ドメインの検証を求められます。1Passwordが発行する値をTXTレコードとしてDNSに登録する作業です。
DNSを使うのは、鍵の正しさを1Passwordのサーバーとは別の場所で確かめるためです。検証に使う公開鍵を自社が管理するDNSに置くことで、サーバー側のデータが書き換えられた場合でも、端末側でそれを見破れる形になります。
登録した後の状態は、項目の画面からDNSの設定に進むと確認できます。反映には時間がかかり、事業者によっては24時間ほど必要です。すぐに結果が出なくても、翌日にもう一度確認してください。この検証はドメインごとに1回だけで、2件目以降のアイテムでは求められません。
所有権を取得する
転送は2段階です。管理者が開始し、本人の端末が処理を終えたのを待って、管理者が完了させます。
転送を開始する
項目のユーザー管理のタブを開き、ドメインを選んでから対象のアイテムを選びます。転送の開始を選ぶと、そのアイテムを持っている人の端末で次に1Passwordのロックが解除されたときに、中身の取得が始まります。
長期休暇中の人や、端末をしばらく開いていない人のアイテムは、この段階で止まります。開始した直後に完了できるものではないと考えて、予定を組んでください。
転送を完了する
取得が終わったアイテムは、一覧の右上にある絞り込みで転送の準備が整ったものだけを表示できます。対象を選んで転送の完了に進み、画面の指示に従います。
このとき、誰と、どのグループにアクセスを与えるかを指定します。同じアイテムが他の保管庫にも複製されている場合は、まとめて削除して1つに寄せる案内が出ます。
転送を取りやめる
開始した後でも、完了する前なら取りやめられます。アイテムの詳細で、取得の進行を示しているセクションのメニューから中止を選びます。取りやめたアイテムは元の状態に戻り、後からやり直せます。ただし再開してから準備が整うまでには、また本人の操作を待つ時間が要ります。
引き取った後の運用
会社管理のタブでアイテムを開くと、アクセスできる人とグループの変更、パスワードのリセット、利用状況の確認、アーカイブができます。これらの変更は全て監査ログに残ります。読み方は監査ログの読み方で扱います。
【運用のポイント】 引き取っただけでは、それまでにパスワードを見ていた人の手元からその文字列は消えません。過去に共有されていた範囲が広いアイテムほど、引き取りとパスワードのリセットを1つの作業として続けて行ってください。加えて、多要素認証かパスキーを設定しておくと、文字列だけが漏れた場合の被害を抑えられます。
引き取る順序は、影響の大きいものからです。退職者が出るたびに困っているアカウント、複数人で使い回している管理者アカウント、外部委託先と共有しているアカウントの順に進めると、早い段階で効果が出ます。どれが該当するかは保管庫とアクセス権の棚卸しの結果から拾えます。