MSP（マネージドサービスプロバイダー）は、Enterprise Password ManagerのMSP向けの版を使うと、自社のMSPアカウントから顧客企業のアカウントを管理できます。顧客のアカウントは管理対象企業として一覧にまとまり、そこから各社の画面に切り替えて設定と運用を行います。ただし、日本では顧客が自社で契約し、支援する事業者の担当者が管理者として加わる形も多く、どちらが合うかは事業の形で変わります。リージョンの制約や、社内の利用と顧客の管理が同じアカウントに同居する点も、始める前に押さえておく必要があります。このページでは、MSPアカウントの構成、MSP向けの版を使うかどうか、リージョン、社内の利用との分け方、技術者の範囲の分け方を説明します。追加の手順は管理対象企業の追加と技術者のアクセス権、グループ会社の管理はテナント構成の選択（単独、親子、グループ会社、MSP）で扱います。
MSPアカウントの構成
MSPアカウントは、MSP自身の1Passwordのアカウントです。技術者は同じアカウントで自社の保管庫を使い、顧客の管理もそこから行います。社内で既に1Passwordを使っている場合は、そのアカウントをMSPアカウントに変換するよう依頼できます。
管理対象企業は、それぞれが独立したBusinessのアカウントです。MSPアカウントに新しく作るか、既存のアカウントを紐づけます。紐づけると、管理対象企業のアカウントに、MSPの技術者のためのグループが作られます。技術者が管理対象企業の中で行った操作は、どの技術者が行ったかが記録されます。
請求はMSPアカウントにまとまります。利用した分を期間の終わりに後払いする形で、数えるのは有効、確認待ち、復旧中のいずれかの状態にある人です。ゲストも含まれます。管理対象企業の顧客に1Passwordから直接請求は届かないので、請求の問い合わせはMSPが受けます。
MSP向けの版を使うかどうか
顧客を支援する形は、大きく2つあります。
| 観点 | MSP向けの版で管理する | 顧客の契約に担当者が加わる |
|---|---|---|
| 契約と請求 | MSPが利用分を支払い、顧客へ請求する | 顧客が自社で契約する |
| 担当者のライセンス数 | 技術者は顧客のライセンス数に入らない | 担当者も顧客のアカウントの1人として数えられる |
| 複数の顧客 | 1つの一覧から各社に切り替える | 顧客ごとに別のアカウントでサインインする |
| 顧客側の統制 | 技術者が共有保管庫を管理できるかを顧客が決める | 担当者のグループとパーミッションを顧客が決める |
| 支援の終わり方 | 切り離すと、顧客のアカウントは14日間の試用期間に入る | 担当者を外すだけで済む |
複数の顧客を継続して運用するなら、MSP向けの版が向いています。導入を支援して引き渡すだけなら、顧客の契約に担当者が加わる形の方が後の手続きが少なくなります。管理対象企業にできるのはBusinessのプランだけなので、顧客が別のプランを使っている場合は、紐づける前にプランを変えてもらいます。
リージョンをそろえる
MSPアカウントと管理対象企業は、同じリージョンにある必要があります。管理できるのは、MSPアカウントと同じリージョンのアカウントだけです。リージョンはUS、CA、EUの3つで、日本はありません。
顧客によって求められるリージョンが違う場合は、リージョンごとにMSPアカウントを分けて持ちます。既に別のリージョンでアカウントを作っている顧客は、そのままでは紐づけられません。顧客に新しくアカウントを作る前に、どのリージョンで作るかを顧客と合意してください。選び方はリージョンの選択とデータの保管場所で扱います。
社内の利用と顧客の管理を分ける
MSPアカウントの所有者は、アカウントの全てを管理でき、全ての顧客に手が届きます。所有者は最小限にし、顧客の管理は技術者のグループに任せます。
顧客のクレデンシャルは、MSPアカウントの保管庫に置かず、その顧客のアカウントに置きます。MSPアカウントに置くと、顧客へ引き渡すときや切り離すときに、顧客のクレデンシャルがMSPの側に残ってしまいます。MSPアカウントに置くのは、自社の業務のクレデンシャルと、顧客へ配る保管庫の雛形だけにします。雛形は管理対象企業へコピーできますが、コピーした後は同期されません。
【注意】 技術者のアカウントは全ての顧客への入口になります。Unlock with SSOを使う場合は、IDプロバイダー側でサインインの状態を保持しない、再認証を頻繁に求める、多要素認証を必須にする、の3点を設定してください。
技術者の範囲をどう分けるか
組み込みのMSP Administratorsグループのメンバーは、全ての管理対象企業について、一覧の表示、追加と紐づけ、切り離し、画面への切り替えができます。カスタムグループを作ると、操作の種類と対象の企業を絞れます。MSPの規模に応じて、次のように分けます。
少人数のMSPの場合
技術者が数人なら、全員をMSP Administratorsに入れても管理の手間は増えません。代わりに、切り離しの操作を誰が行うかを決め、実行する前にもう1人が確かめる運用にします。
顧客ごとに担当を決めているMSPの場合
担当ごとにカスタムグループを作り、担当する企業だけを割り当てます。担当外の企業には切り替えられないので、誤操作の範囲が担当の中に収まります。
一次対応と上位の技術者を分けるMSPの場合
一次対応のグループには、一覧の表示と画面への切り替えだけを渡します。企業の追加、紐づけ、切り離しは、上位の技術者のグループに限ります。切り離しは顧客の契約に直結する操作なので、操作できる人を少なくしておきます。