所有者と管理者には、アカウントの復旧を含む強い操作が最初から付いています。誰をこの2つのグループに入れるかが、組織全体のクレデンシャルに誰の手が届くかを決めます。少なすぎれば締め出されたときに手当てができず、多すぎれば1人のアカウントが乗っ取られたときの被害が広がります。IDプロバイダーで異動や退職を処理しても、この2つの所属は変わりません。このページでは、所有者と管理者の人数と人選、メールの管理者との分け方、特に厳しい組織での2人ルール、親アカウント管理者がいる場合、体制を保つための定期確認を説明します。各グループの役割は組み込みグループの役割、復旧を任せる人の設計は復旧の設計（誰が復旧できるか）で扱います。
所有者の人数と人選
所有者は2人以上にします。自分のアカウントは自分では復旧できないため、1人だと、その人が締め出されたときに誰も助けられません。多くても3人程度に抑えます。所有者は組織全体を削除でき、作った人が退職した保管庫も含めて全ての共有保管庫を管理できます。所有者に人を加えられるのも所有者だけです。
入れる人には、次の条件を求めます。
- 使う端末を安全に保ち、マルウェアから守れる
- なりすましの電話やメールを見抜ける
- 復旧の依頼を、メールではなく対面や電話で本人に確かめられる
候補は、情報システム部門の責任者と、その上長または別の部門のセキュリティー責任者です。同じ部署の2人だけにすると、異動や退職が重なったときに両方を失います。経営者を名目だけで入れるのは避けてください。端末の管理や本人確認ができない所有者は、条件を満たさない強いアカウントが1つ増えるだけです。
所有者はUnlock with SSOでロックを解除できません。SSOを導入した後も、アカウントパスワードとSecret Keyでサインインします。Emergency Kitの保管はEmergency Kitの運用で扱います。
管理者の人数と人選
管理者には、人、グループ、保管庫の管理と、アカウントの復旧が付いています。入れるのは、日常の管理を実際に行う人だけにします。ヘルプデスクや部門の担当者に一部を任せる場合は、必要なパーミッションだけを付けたカスタムグループを使います。割り当ての型は管理権限の一覧と割り当て方で扱います。
規模ごとの目安は次の通りです。
| 規模 | 所有者 | 管理者 | 一部の作業 |
|---|---|---|---|
| 50人未満 | 2人 | 置かないか1人。所有者が日常の管理も行う | 置かない |
| 50〜300人 | 2人 | 情報システム部門の担当者を2〜3人 | ヘルプデスクをカスタムグループにする |
| 300人以上 | 2〜3人 | 全社の管理を担う少人数 | 部門や拠点の作業をカスタムグループに分ける |
所有者と管理者は、自動プロビジョニングの管理対象から外れます。出入りは1Passwordの画面で行い、異動と退職のたびに手で確かめます。
メールの管理者に復旧を持たせない
復旧のリンクは、本人の受信箱に届きます。受信箱を開ける立場の人が復旧も行えると、他人のメールを読んで、そのアカウントを乗っ取れます。所有者のアカウントが狙われれば、組織全体の削除まで届きます。所有者と管理者には復旧が最初から付いているため、Microsoft 365やGoogle Workspaceの管理者は、原則としてこの2つに入れません。
ところが少人数の情報システム部門では、同じ人がメールシステムと1Passwordの両方を管理することが避けられません。分けられない場合は、次の形で補います。
- 所有者のうち少なくとも1人は、メールシステムの管理を持たない人にする
- 復旧の操作を監査ログで追い、アラートの対象に入れる。考え方はログの保管とアラートの設計で扱う
- 復旧を始める前に本人へ電話か対面で確かめ、完了したことも本人から聞く
- メールシステムの管理者のアカウントに、多要素認証を必須にする
特に厳しい組織での2人ルール
セキュリティーの要件が特に高い組織では、1人では所有者としてサインインできない形を取れます。
- 組織用の汎用のメールアドレスを2つ以上用意し、招待して
所有者に加えます。 - それぞれの所有者のアカウントパスワードとSecret Keyを、別々の2人に分けて持たせます。
- 所有者として作業するときは2人がそろってサインインし、終わったらアプリからそのアカウントを外し、ブラウザーのセッションを消します。
この形にしたら、日常の管理は管理者で行い、所有者のアカウントは所有者にしかできない作業にだけ使います。汎用のアドレスは実際に受信できる必要があり、受信できる人も限っておきます。分けて持たせた情報の保管場所は、管理者を失わないための備えの考え方で決めてください。
親アカウント管理者がいる場合
親子の構成では、子アカウントに親アカウント管理者のグループができます。親の所有者と管理者は、全ての子に入って復旧を含む管理ができます。子の設計では、この人たちも所有者と同等の力を持つ前提で人選を考えます。
子の中の所有者には、子会社の人を1人以上入れてください。切り離すときにも必要になります。子の管理者に子会社の担当者を入れておけば、日常の復旧を子の中で済ませられます。親の側では、全ての子に届く所有者と管理者を最も少なくします。構成そのものはテナント構成の選択（単独、親子、グループ会社、MSP）で扱います。
体制を保つための定期確認
保管庫の棚卸しに合わせて、四半期に一度は次の3点を確かめます。
- 所有者と管理者が最近サインインしているか。
チームレポートで、最終のサインインと2要素認証の有無が分かります - 所属が今の役割と合っているか。退職者や異動者が残っていないか
- 誰が復旧を手伝えるかを、社内に知らせてあるか
【運用のポイント】 しばらくサインインしていない所有者は、いざというときに自分のアカウントに入れないおそれがあります。見つけたらその場で本人にサインインしてもらい、Emergency Kitの保管場所も確かめてください。レポートの見方は利用状況と定着のレポートで扱います。