MDM（モバイルデバイス管理）を使うと、1Passwordのアプリの設定を社員の端末にまとめて配り、社員が変えられないように固定できます。Macは構成プロファイル、Windowsは管理用テンプレート、iOSは管理対象のアプリの設定で配ります。Windowsには、最初に1つの設定を入れておかないと、ほかの設定が全て無視されるという落とし穴があります。このページでは、MDMで固定できる範囲と優先順位、Macの構成プロファイル、Windowsの管理用テンプレート、iOSの設定、主なキー、保存先の保管庫とサインインアドレス、信頼するブラウザーの追加を説明します。
MDMで固定できる範囲と優先順位
MDMで配った設定は、アプリの設定画面で社員が変えられなくなります。対象は1Password 8のアプリで、1Password 7以前には効きません。
1Password側のポリシーとMDMで同じ設定を配ると、1Password側のポリシーが優先されます。ロックの解除と自動ロックの固定、リリースの系統の固定が該当します。社員の端末ごとに値を変える必要がないなら、1Password側のポリシーで固定する方が、MDMの対象外の端末まで届きます。ポリシー側の設定はロックと自動ロックの強制とアプリのバージョンの強制で扱います。
アプリの設定のファイルを書き換えて配る方法は使えません。セキュリティーに関わる設定は、アプリが署名を付けて保存し、起動のたびに確かめます。外から書き換えた値は既定に戻されます。設定済みの端末のファイルをイメージに入れて複製しても、同じことが起きます。
Macの構成プロファイル
Mac版の設定のドメインはcom.1password.1passwordです。この設定はMDMで配った構成プロファイルでだけ効き、defaultsコマンドで書き込んでも効きません。MDMを使っていない組織は、構成プロファイルを作るツールで作ったものを、各Macで開いて入れます。
1Passwordはキーの見本となる構成プロファイルを配っています。この見本には、入れてから1時間で自分自身を消す設定が入っています。キーの書き方を確かめるために読むもので、そのまま配らないでください。
自動更新とリリースの系統のキーは、1Password.appのインストーラーで入れたアプリにだけ効きます。1Password.pkgで入れたアプリの更新は、組織が配り直して管理します。インストーラーの違いはMac版アプリのデプロイで扱います。
Windowsの管理用テンプレート
Windowsでは、1Passwordが配る管理用テンプレート（ADMXとADML）を使います。1Passwordのダウンロードの場所から1PasswordAdmxTemplates-latest.zipを入手し、Active Directoryのセントラルストアに置くか、Intuneに取り込みます。テンプレートが対応するのは1Password 8.12.36以降で、設定名は英語で表示されます。
管理対象のインストールを最初に登録する
テンプレートの中で最初に設定するのはManaged Installです。これを設定しないと、ほかの設定は全て無視されます。値は入れ方に合わせて選びます。
| 入れ方 | 選ぶ値 |
|---|---|
| MSI | MSI |
| Microsoft Store | MSIX (Microsoft Store) |
| 1Password.comから入手したMSIX、App Installer | MSIX/App Installer |
MSIで入れた端末では、この設定を端末単位で配ります。ユーザー単位で配っても効きません。入れ方の選び方はWindows版アプリのデプロイで扱います。
ユーザー単位と端末単位を使い分ける
テンプレートの設定は、ユーザー単位（HKCU）と端末単位（HKLM）の両方で配れます。両方に同じ設定があると、ユーザー単位の値が優先されます。
【注意】 自動更新の設定は、端末単位で配るよう求められています。ユーザー単位にも別の値を配ると、そちらが優先されて端末ごとに挙動がばらつきます。1つの設定は、どちらか一方だけで配ってください。
以前のレジストリーのキーHKEY_LOCAL_MACHINE\SOFTWARE\Agilebits Inc.\1Password\Policyで設定を配っている組織は、テンプレートに移します。このキーは移行の期間だけ読まれ、将来の版で読まれなくなります。
テンプレートを更新する
テンプレートは半年に1回を目安に見直し、新しい設定が加わっていれば入れ替えます。本番版のアプリに合わせたものを使い、アプリの対応版を下回る端末には使いません。
Intuneでは、同じ名前空間のテンプレートを重ねて取り込めません。入れ替えるときは、古いテンプレートを使っている構成プロファイルとテンプレートを消してから取り込み直すか、新しいテンプレートの名前空間を書き換えます。入れ替えの前に今の構成を控え、パイロットのグループで確かめてから広げます。
iOSの設定
iOSとiPadOSの設定のドメインもcom.1password.1passwordです。Macと共通のキーに加えて、Face IDの強制、端末のパスコードによる解除、Appleのマップの利用、パスキーの候補の表示、ワンタイムパスワードをコピーしたときの通知を固定できます。自動ロックの時間は0〜480分で、0にすると、アプリが前面から外れた時点でロックされます。
主なキー
よく使うキーは次の通りです。
| 目的 | キー | 対象 |
|---|---|---|
| 自動ロックの時間（分） | security.autolock.minutes | Mac、Windowsは1〜1440、iOSは0〜480 |
| 端末のロックでロックする | security.autolock.onDeviceLock | Mac、Windows |
| アカウントパスワードを求める間隔 | security.authenticatedUnlock.requireAccountPasswordAfter | Mac、Windows、iOS |
| コピーした内容を90秒で消す | security.clipboard.clearAfter | Mac、Windows、iOS |
| アイコンの自動取得 | privacy.downloadRichIcons | Mac、Windows、iOS |
| 漏洩したパスワードの照会 | privacy.checkHibp | Mac、Windows、iOS |
| プロキシーの自動検出 | proxy.autoDetectNetworkSettings | Windows |
| 自動更新 | updates.autoUpdate | Mac、Windows |
| リリースの系統 | updates.updateChannel | Mac、Windows |
アカウントパスワードを求める間隔は、1日、2週間、30日、求めない、の4つから選びます。Windowsはテンプレートの一覧から選べます。Macでは値の書き方（引用符で囲むかどうか）をパイロットの端末で確かめてから配ります。
リリースの系統はPRODUCTION、BETA、NIGHTLYのいずれかです。プロキシーの自動検出を無効にすると、アプリは直接の接続に固定されます。通信の要件はネットワーク要件とプロキシー環境で扱います。
保存先の保管庫とサインインアドレス
app.defaultVaultForSavingでは、新しいアイテムを保存する保管庫を決めます。特定の保管庫を指定するときは、保管庫とアカウントの識別子を入れた次の形の文字列を使います。空欄にすると、アプリが保管庫を提案します。
{"VaultReference":{"vault_uuid":"UUID","account_uuid":"UUID"}}
保存先を既定の動作のまま固定し、社員に変えさせないときはCurrentVaultOrFallbackを入れます。
authentication.defaultDomainには、組織のサインインアドレスをhttps://を付けずに入れます。authentication.enforceDomainをオンにすると、アプリは既定のサインインアドレスを使うよう固定されます。こちらを使うには、サインインアドレスの設定が先に要ります。
信頼するブラウザーを加える
Macではbrowsers.admin-trusted-appsで、アプリと拡張機能をつなぐブラウザーを加えられます。値は固定ではなく、1Passwordを入れたMacで、1Passwordを終了した状態から次の形のコマンドを実行して作ります。表示された<key>と<string>の部分を、この設定の欄に貼ります。
/Applications/1Password.app/Contents/MacOS/1Password --generate-trusted-browser-config /Applications/Waterfox.app
MDMで加えたブラウザーは、社員が自分で加えたブラウザーと合わせて使われます。MDMからは、社員が加えたブラウザーや、既定で信頼されているブラウザーを外せません。社員側の操作はアプリとブラウザー拡張機能の接続で扱います。