1Passwordを配っても、ブラウザーに内蔵のパスワードマネージャーが動いていると、社員はブラウザーに保存し続けます。保存先が2つに割れると、退職時の回収も漏洩の点検も1Passwordの中だけでは済みません。管理対象の端末では、ブラウザーのポリシーで内蔵のパスワード保存を止めます。このページでは、止めても残るもの、Windowsのグループポリシーでの止め方、Macの構成プロファイルでの止め方、Linuxでの止め方、Safariと管理外の端末の扱い、止まったことの確かめ方を説明します。
止めても保存済みのパスワードは残る
ChromeとEdgeでは、ポリシーで保存を止めても、新しく保存できなくなるだけです。止める前に保存したパスワードは、そのまま自動入力に使われ続けます。
【注意】 ポリシーを配っただけでは、ブラウザーへの保存はなくなりません。保存済みのパスワードを1Passwordに取り込み、ブラウザーから消すところまでを移行の手順に含めてください。取り込みと削除の進め方は既存のパスワードを移行するで扱います。
順序は、取り込みを先にします。先にブラウザーから消すと、社員がまだ1Passwordに移していないパスワードまで失われます。
Windowsのグループポリシーで止める
Windowsでは、3つのブラウザーともPasswordManagerEnabledという名前のポリシーを無効にします。グループポリシーで設定するには、各ブラウザーの管理用テンプレートを先にグループポリシーの管理コンソールに取り込んでおきます。
Chrome
管理用テンプレートのGoogle、Google Chrome、Password Managerの順に開き、Enable saving passwords to the password managerを無効にします。
Edge
管理用テンプレートのMicrosoft Edge、Password manager and protectionの順に開き、Enable saving passwords to the password managerを無効にします。
Firefox
管理用テンプレートのMozilla、Firefoxの中にある、パスワードマネージャーのポリシーを無効にします。Firefoxのポリシーの一覧は<a href="https://firefox-admin-docs.mozilla.org/reference/policies/" target="_blank">Mozillaのポリシーのリファレンス</a>で確認できます。
WindowsのHomeエディションのように、グループポリシーを使えない端末では、レジストリーに直接書きます。値の種類はDWORD（32ビット）で、値を0にします。
| ブラウザー | キー |
|---|---|
| Chrome | HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome |
| Edge | HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge |
| Firefox | HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Mozilla\Firefox |
Macの構成プロファイルで止める
Macでは、PasswordManagerEnabledをfalseにした設定を、ブラウザーごとの設定のドメインで構成プロファイルにしてMDMで配ります。
| ブラウザー | 設定のドメイン | 追加で要るもの |
|---|---|---|
| Chrome | com.google.Chrome | なし |
| Edge | com.microsoft.Edge | なし |
| Firefox | org.mozilla.firefox | EnterprisePoliciesEnabledをtrueにする |
設定の中身は次の通りです。既にブラウザーの構成プロファイルを配っている場合は、そこにキーを足します。
<key>PasswordManagerEnabled</key>
<false/>
【注意】 Firefoxの設定のドメインは
org.mozilla.firefoxです。com.mozilla.Firefoxの名前で作っても効きません。また、EnterprisePoliciesEnabledがないと、Firefoxはほかのポリシーを読みません。詳しくは<a href="https://support.mozilla.org/kb/managing-policies-macos-desktops" target="_blank">MozillaのmacOSでのポリシーの管理のヘルプ</a>で確認できます。
プロパティリストを構成プロファイルに変換するツールを使う場合も、ドメインの名前は上の表の通りにします。
Linuxで止める
LinuxのFirefoxでは、次の内容のpolicies.jsonを/etc/firefox/policies/に置きます。
{"policies":{"PasswordManagerEnabled":false}}
LinuxのChromeでは、/etc/opt/chrome/policies/managed/に置くJSONのファイルで、同じPasswordManagerEnabledをfalseにします。どちらも、構成管理のツールでファイルを配れば端末ごとの作業は要りません。Flatpakで入れたFirefoxは/etc/firefox/policies/を読まないため、この方法では止まりません。
Safariと管理外の端末
Safariの自動入力は、社員に止めてもらいます。Safariの設定の自動入力の画面で、連絡先の情報、ユーザー名とパスワード、クレジットカード、その他のフォームの4つを全てオフにします。
SafariのログインをmacOSの自動入力で1Passwordに任せる場合は、ユーザー名とパスワードだけをオンのまま残し、システム設定の自動入力とパスワードの画面で、自動入力の元からAppleのパスワードのアプリを外します。Safariの側でオフにすると、1Passwordの候補も出なくなります。同じ理由で、MDMでSafariの自動入力を止める制限を配ると、1Passwordの入力まで止まります。設定の仕方はMacのUniversal AutofillとWindowsのAuto-Typeで扱います。
Firefoxでは、パスワードとは別に、住所と支払い方法の保存と入力もブラウザーが提案します。1Passwordでまとめて管理するなら、これも止めてもらいます。
iPhoneとiPadでは、設定のアプリの自動入力とパスワードの画面で、1Passwordをオンにしてパスワードをオフにしてもらいます。
私物の端末のように管理外の端末では、拡張機能の設定で1Passwordを既定のパスワードマネージャーにしてもらいます。拡張機能はブラウザーのプライバシーの設定を変えるパーミッションを持っていて、ブラウザーの保存の提案を止められます。社員向けの案内に含めてください。
止まったことを確かめる
パイロットの端末で、ブラウザーが読み込んだポリシーを確かめます。Chromeはchrome://policy、Edgeはedge://policy、Firefoxはabout:policiesを開き、PasswordManagerEnabledが表示されていれば効いています。
あわせて、ウェブサイトにサインインしたときに、ブラウザーではなく1Passwordが保存を提案することを確かめます。提案が1Passwordからだけ出るようになれば、配布の案内に進めます。