ドメインの検証とアカウント作成の制御

1Passwordには、会社のメールドメインを登録する場所がいくつもあります。自社のドメインであることを検証すると、社員が会社のアドレスで組織の外にアカウントを作るのを止められます。一方で、招待や自動プロビジョニングが使う許可ドメインは別の画面で登録します。1カ所に入れれば全てに効くと考えると、子会社のドメインを加えたときなどに漏れが出ます。このページでは、ドメインを登録する場所の全体像、検証するドメインの決め方と方法の選び方、アカウント作成の制御、招待に使う許可ドメインの設定を説明します。検証したドメインで使えるレポートはドメイン侵害レポートで扱います。

ドメインを登録する場所は1つではない

会社のドメインを登録する場所は5つあり、それぞれ別の画面で設定します。

登録する場所	使われる場面	検証	扱うページ
招待の許可ドメイン	サインアップリンク、メールアドレスの変更、自動プロビジョニング	不要	このページ
検証済みのドメイン	ドメイン侵害レポート、アカウント作成の制御、書き換えた招待のメールが届く範囲、復旧の通知に加える宛先	メールかDNS	このページ
アイテムの共有先のドメイン	社外へアイテムを共有できる相手	不要	アイテムの共有ポリシー
アイテムの検出のドメイン	業務のログインの検出	不要	クレデンシャルの所有権を会社に移す
所有権の取得に使うDNS	会社が引き取るアイテムの確認	DNS	クレデンシャルの所有権を会社に移す

【運用のポイント】 ドメインを加える、社名を変える、子会社を統合する、といった変更のたびに、この5カ所を全て見直します。どこに何を登録したかを1枚の表にして、情報システム部門で管理してください。

検証するドメインを決める

検証するのは、社員のメールアドレスに使っている全てのドメインです。アカウント作成の制御は、検証したドメインにしか効きません。子会社のドメインや、統合前の旧社名のドメインを残していると、そこから組織の外にアカウントが作れます。

同じ組織で複数のドメインを使っている場合は、片方をもう片方の別名として登録できます。使わなくなったドメインは削除できますが、古いアドレスほど過去の漏洩に含まれている可能性が高いため、残しておく判断もあります。

最初の検証は所有者が行います。グループ会社をまとめる場合は、どのドメインをこのアカウントで検証するかを先に決めてください。別のアカウントで管理する会社のドメインまで検証すると、その会社が同じドメインで新しくアカウントを作れなくなります。構成の考え方はテナント構成の選択（単独、親子、グループ会社、MSP）で扱います。

検証の方法を選ぶ

方法は2つです。

	メール	DNSレコード
使うもの	そのドメインの管理用のメールアドレス	ルート（@）に置くTXTレコード
かかる時間	受信できる人がいれば数分	反映まで最大24時間
向いている場合	管理用のアドレスを情報システム部門で受信できる	DNSを自部門で管理している、または委託先へすぐ依頼できる

1. サイドバーのレポートを選び、インサイトを開きます。
2. データ漏えいチェックのまとまりから、ドメインを検証する操作を選びます。
3. 画面の案内に従い、メールかDNSのどちらかを選びます。
4. メールの場合は、届いたコードを入力して検証します。DNSの場合は、表示された文字列をTXTレコードとして登録してから検証を実行します。

DNSの反映を待つ間は、画面を閉じても構いません。後からドメインを管理する画面に戻り、検証を再開できます。2つ目以降のドメインも、同じ管理の画面から追加します。

会社のドメインでのアカウント作成を止める

ポリシーの認証ポリシーに、アカウント作成の設定があります。検証済みのドメインを使って、社員が組織の外に新しいアカウントを作れるかどうかを決めるものです。ドメインを検証すると、この設定は既定でオフになり、作成が止まります。

止められた人には、情報システム部門に連絡して招待を受けるよう促す画面が表示されます。

設定を変えられるのは、所有者、管理者、設定の管理を持つグループのメンバーです。

1. サイドバーのポリシーを選びます。
2. 認証ポリシーの管理の画面を開きます。
3. アカウント作成を切り替えて保存します。オフにするには、検証済みのドメインが1つ以上必要です。

招待を受けて組織に参加する操作には影響しません。

【注意】 この設定で止められない範囲があります。効くのは自社のアカウントがあるリージョンの中だけで、社員が別のリージョンを選べば会社のアドレスでも作れてしまいます。リージョンの違いはリージョンの選択とデータの保管場所で扱います。設定より前に作られたアカウントも対象外です。止められた画面には、個人のメールアドレスで登録し直す選択肢も出ます。業務のクレデンシャルを個人のアカウントに入れないことは、社内の規程で定めて補ってください。

招待に使う許可ドメインを設定する

サイドバーの招待に、許可ドメインの欄があります。ここに入れたドメインは、3つの場面で使われます。

• サインアップリンクで参加できるのは、許可ドメインのアドレスを持つ人だけです。リンクは許可ドメインを保存すると表示され、取り消すまで有効なままです
• 社員が自分のメールアドレスを変えるとき、許可ドメインにないアドレスには変えられません
• 自動プロビジョニングでは、許可ドメインのアドレスを持つ人だけが作られます。空欄のままだと、どのドメインの人でも作られます

設定できるのは、所有者、管理者、人を招待/削除を持つグループのメンバーです。

1. サイドバーの招待を選びます。
2. 許可ドメインの横にある編集のボタンを選びます。
3. ドメインを入力して保存します。複数ある場合はカンマで区切ります。

自動プロビジョニングを使っている組織で新しいドメインへ切り替えるときは、1Password側の許可ドメインを先に更新し、その後でIDプロバイダー側のアドレスを変えます。順序が逆になると、変更後のアドレスでサインインできなくなります。手順は許可ドメインとグループの運用とメールアドレスの変更で扱います。