Enterprise Password Managerのポリシーが決めるのは、誰が、どこから、どう1Passwordを使うかです。使っている端末そのものが安全かどうかは判定しません。OSの更新が止まっている端末や、画面ロックが設定されていない端末からでも、正しいクレデンシャルがあれば1Passwordにも業務のSaaSにも入れます。Device Trustを加えると、端末の状態を入口の条件にできます。その入口として働くのが、社員のブラウザーに入っている1Passwordの拡張機能です。このページでは、端末の状態で入口を絞る考え方、CoreとConnectで守れる範囲、拡張機能が入口になる仕組み、1Password自体を守る使い方、導入前に確かめる制約、社員に説明することを説明します。
端末の状態で入口を絞る考え方
Device Trustは、社員の端末に入れたエージェントで、端末の状態を確かめるチェックを定期的に実行します。チェックは約100の既製のものから選べ、SQLで独自のものも書けます。結果はサインインの時点でも確かめられ、条件を満たさない端末には通知を出すか、アクセスを止めます。止めるときは、社員が自分で直せるように手順を示します。
1Passwordのポリシーと並べると、役割の違いがはっきりします。
| 観点 | 担う仕組み |
|---|---|
| 誰か | アカウントパスワード、2要素認証、Unlock with SSO |
| どこからか | ファイアウォールのルール |
| どの端末からか | Device Trustのチェック |
場所の制御はファイアウォールルールによる制限で扱います。
CoreとConnectで守れる範囲
Device Trustには2つのプランがあります。
| プラン | 守れる範囲 |
|---|---|
| Device Trust Core | SSOに対応していないものも含めた業務のウェブアプリを、1Passwordの拡張機能で守る |
| Device Trust Connect | Coreの範囲に加えて、Okta、Entra ID、Google WorkspaceのSSOのサインインの流れの中で端末を判定する |
Google Workspaceでは、SAMLで接続したアプリを1つずつ守る設定も使えます。対象はSAMLのアプリだけで、OIDCで接続する1Passwordはこの方法では守れません。
2025年5月より前に購入した旧来のプランでは、拡張機能を使う機能が含まれないことがあります。既に契約がある場合は、どの版かを先に確かめてください。
拡張機能が入口になる仕組み
守る対象にしたウェブアプリを社員が開くと、1Passwordの拡張機能がDevice Trustで端末の状態を確かめます。この機能をExtended Device Complianceと呼びます。チェックに通らない端末には、ブラウザーの中に通知が出ます。通知の強さは、チェックごとに決めた是正の方式で3段階に分かれます。
通知だけ
画面の右上に問題を知らせる通知が出ます。社員はページをそのまま使え、Fix laterで後回しにできます。
猶予つきの遮断
直さなければ何日後に止まるかが通知に出ます。猶予期間のうちは、ページをそのまま使えます。
遮断
ページがぼかされ、直すまでアプリを使えなくなります。既にサインインしているアプリでも止まります。管理者が許可していれば、Snoozeで8時間だけ先送りできます。直した後はRecheckで確かめ直すと、使えるようになります。
1Password自体を守る使い方
Device Trustには、既定のブラウザーに1Passwordの拡張機能が入っていて有効かを確かめるチェックがあります。是正の方式を警告の後に遮断する設定にすると、期限までに拡張機能を入れなかった端末では1Password自体が使えなくなります。
1Passwordのポリシーにも、参加の手順で拡張機能を求める設定があります。ただし、それが効くのは参加のときだけです。参加した後に拡張機能を外していないかを確かめ続けるのが、このチェックの役割です。参加時の設定は参加から削除までのアカウントポリシーで扱います。
チェックの対象とExtended Device Complianceの適用範囲は、1Passwordのグループで指定できます。適用範囲は、誰にも適用しない、グループを選ぶ、全員の3つから選びます。パイロット用のグループを作り、そこから広げていくのが確実です。グループの設計はカスタムグループの設計で扱います。
導入前に確かめる制約
| 観点 | 制約 |
|---|---|
| リージョン | Extended Device Complianceは、1Password.com（米国）のリージョンのアカウントでだけ使える。CAとEUのアカウントでは使えない |
| 端末 | Mac、Windows、Linuxだけ。モバイルの端末は対象外 |
| ブラウザー | Chromeを元にしたブラウザー、Firefox、Safari。拡張機能はChromeで8.10.80.23以降、FirefoxとSafariで8.11.4以降 |
| 拡張機能のチェック | 現時点ではmacOSの既定のブラウザーだけを確かめる。既定以外のブラウザーを使ったり、ほかの端末で拡張機能を止めたりすれば、すり抜けられる |
| チェックの適用 | アプリごとに分けられない。遮断を設定したチェックは、守っている全てのアプリに効く |
| 遮断の開始 | 遮断はUTCの午前0時から始まる。日本時間では午前9時で、始業と重なる |
最も影響が大きいのはリージョンです。EUのリージョンを選んだ組織は、この機能を使えません。リージョンを決める前にDevice Trustとの組み合わせを検討している場合は、リージョンの選択とデータの保管場所とあわせて判断してください。
社員に説明すること
Device Trustは、業務のアプリの利用状況を知るために、端末のブラウザーの閲覧履歴を読みます。ただし照合するのは、あらかじめ決められた業務のアプリの一覧だけです。一覧は管理者が変えられず、それ以外の閲覧は端末の外に送られません。
一覧に当てはまったアプリについて集めるのは、アプリの名前、訪問の回数、最後に訪問した日時の3つです。見たURLや滞在時間は集めません。プライベートブラウズでの訪問は数えられない一方、同じサービスを私用でも使っていれば、その訪問も回数に入ります。
私物の端末を業務に使う組織や、就業規則で端末の監視を定めている組織では、入れる前に社員への説明と規程の確認が要ります。社員は自分の端末で何が集められているかを確かめられるので、その見方も説明に含めてください。
【運用のポイント】 Device Trustの設定の手順は、このガイドでは扱いません。製品の全体像はDevice Trustの概要で扱います。導入の検討では、まずExtended Device Complianceを使うか、IDプロバイダーの流れで判定するかを決めると、必要なプランが決まります。