カスタムグループは、部門やプロジェクトの単位で人をまとめ、保管庫へのアクセスと管理パーミッションを一括で渡すための仕組みです。人に直接アクセス権を付ける運用では、入社、異動、退職のたびに保管庫を1つずつ触ることになり、誰に何を渡したかが追えなくなります。グループを経由させておけば、所属を変えるだけで済みます。このページでは、グループを切る単位の考え方、作成の手順、メンバー・保管庫・管理パーミッションの割り当て、削除と一覧の書き出しを説明します。どの管理パーミッションを渡すかは管理権限の一覧と割り当て方で、保管庫側の設定は保管庫の権限モデルで扱います。
グループを切る単位
グループの用途は2つあります。保管庫へのアクセスを渡す用途と、管理パーミッションを渡す用途です。1つのグループに両方を持たせることもできますが、分けておくと見直しの負担が小さくなります。作り方は次の3つに分かれます。
保管庫を渡すグループ
部門、拠点、プロジェクトの単位で作ります。配属先からグループが一意に決まる切り方にしておくと、入社と異動の作業がグループの付け替えだけで済みます。1人が複数のグループに入れ、1つのグループに入れる人数にも上限はありません。
管理パーミッションを渡すグループ
ヘルプデスク、監査の担当、部門の責任者のように、担う役割の単位で作ります。保管庫へのアクセスとは切り離し、渡す管理パーミッションだけを持たせます。アカウントの復旧かすべてのグループの管理を付けたグループは、自動プロビジョニングの管理対象から外れます。メンバーの出入りは1Passwordの画面で管理することになります。
IDプロバイダーから届くグループ
自動プロビジョニングを使う場合は、IDプロバイダー側で割り当てたグループが1Passwordにもグループとして作られます。保管庫を渡すグループはこの形に寄せると、所属の管理がIDプロバイダーに一本化されます。運用の詳細は許可ドメインとグループの運用で扱います。
グループを作る
- サイドバーの
グループを開きます。 新規グループを選びます。- グループ名を入力します。説明とアイコンは任意です。
- このグループ用の保管庫を同時に作るかどうかを選び、作成を確定します。
作成した人は、そのグループの管理担当になります。保管庫の構成を別に決めている場合は、保管庫を同時に作る選択を外してください。グループを作るたびに保管庫が1つずつ増え、中身のない保管庫が残ります。
【運用のポイント】 グループ名の頭に用途を付けておくと、一覧で2つの用途を見分けられます。保管庫を渡すグループは「部署_経理」、管理パーミッションを渡すグループは「管理_ヘルプデスク」のように付けます。棚卸しのときに、どのグループを誰の承認で変えるかがそのまま読み取れます。
メンバーを加える
作成したグループを開き、メンバーのタブで管理を選びます。加える人を選んで、更新を確定します。
メンバーの横にあるメニューからは、その人をグループの管理担当にする操作と、グループから外す操作ができます。グループの管理担当は、そのグループのメンバーと保管庫を管理できる立場です。管理パーミッションを渡すグループで管理担当を増やすと、そのパーミッションを誰に渡すかを決められる人が増えます。このグループの管理担当は、情報システム部門の担当者に限ってください。
保管庫を割り当てる
グループを開き、保管庫のタブで管理を選びます。渡す保管庫を選んで、更新を確定します。
保管庫ごとのパーミッションは、一覧の保管庫の横にあるメニューで変えます。パーミッションとクライアント設定の2つのまとまりで並び、すべて有効にするでまとまりごとに全て付けられます。割り当てた直後に選ばれているパーミッションは、ポリシーの共有と許可にある保管庫許可で決まります。
同じ人に個人としても保管庫を渡している場合は、個人とグループのうち強い方のパーミッションが効きます。グループ側で絞っても、個人に付けた分は残ります。重なり方は保管庫の権限モデルで扱います。
管理パーミッションを付ける
- グループを開き、パーミッションのタブを選びます。
パーミッションの管理を選びます。- 付けるパーミッションを選び、
パーミッションの更新を押します。
選べるのは10件です。このうちお支払いの管理とアカウントの削除は、所有者のメンバーでなければ付け外しできません。それぞれに何が含まれるかは管理権限の一覧と割り当て方で扱います。
グループを削除する、メンバーを書き出す
グループを削除するには、グループを開いてグループの削除を選びます。メンバーは、そのグループを通じて持っていた管理パーミッションと、グループに渡していた保管庫へのアクセスを失います。個人として渡されているアクセスは残ります。削除の前に、そのグループにしか渡していない保管庫がないかを確かめ、別のグループへ付け替えてください。
メンバーの一覧はCSVで書き出せます。メンバーのタブを下まで送ると、書き出しの操作があります。ファイルにはUUID、名前、役割が入り、役割はRがメンバー、Aがグループの管理担当です。定期の棚卸しで、グループごとの所属を記録として残すのに使えます。棚卸しの進め方は保管庫とアクセス権の棚卸しで扱います。