1Passwordのポリシーは、組織の全員がどうサインインし、どう使うかを決めるルールの集まりです。設定は30近くあり、2つの大きなカテゴリーに詰め込まれています。1つずつ画面を開いて確かめるだけでは、どの設定が導入初日に要るのか、どれが後からでいいのかが見えません。変更の効き方も設定ごとに違い、遡らないもの、他の管理ツールの設定を上書きするもの、その場で人を削除するものが混ざっています。このページでは、4つのカテゴリーと変更できる人、サインインとロック解除の設定、共有と保存に関わる設定、アプリと管理に関わる設定、変更の効き方の違い、導入時に見直す順序を説明します。
4つのカテゴリーと変更できる人
サイドバーのポリシーを開くと、認証、共有と許可、シングルサインオン（SSO）、ファイアウォールの4枚のカードが並びます。各カードのポリシーの管理から設定の画面に進みます。
変更できるのは、所有者、管理者、設定の管理を持つグループのメンバーです。委譲の考え方は管理権限の一覧と割り当て方で扱います。
認証ポリシーの画面には、対象のグループを選ぶ欄がありません。ここで決めた設定は組織の全員に同じように効きます。部署ごとに条件を変えたい場合でも、一番厳しい部署に合わせるか、全員に共通の線を引くかのどちらかになります。
シングルサインオンはUnlock with SSOの仕組みと制約、ファイアウォールはファイアウォールルールによる制限で扱います。残りの2つのカテゴリーを以下に整理します。
サインインとロック解除の設定
認証ポリシーの画面には、8つの設定が縦に並びます。
| 設定 | 決めること | 扱うページ |
|---|---|---|
アカウントのパスワード | パスワードの最低条件 | アカウントパスワードポリシー |
2要素認証 | 使える方式と強制の有無 | 2要素認証の管理 |
サインイン試行 | 失敗が続いたときの一時停止 | サインイン試行とフィッシング保護 |
Emergency Kitダウンロード | 社員に配るかどうか | 参加から削除までのアカウントポリシー |
ロック解除と自動ロック | ロックの方法と時間の固定 | ロックと自動ロックの強制 |
アカウント作成 | 会社のドメインで外にアカウントを作れるか | ドメインの検証とアカウント作成の制御 |
Phishing prevention | 貼り付け時の警告の強制 | サインイン試行とフィッシング保護 |
Sign-in | 1Password.comへの自動サインイン | サインイン試行とフィッシング保護 |
共有と保存に関わる設定
共有と許可ポリシーの画面は縦に長く、性格の違う設定が混ざっています。前半は、アイテムの共有と、ブラウザーでの保存と自動入力に関わる設定です。
| 設定 | 決めること | 扱うページ・要点 |
|---|---|---|
アイテムの共有 | 社外への共有の相手と期限 | アイテムの共有ポリシー |
自動入力アクセス | 自動入力に使えるアイテムの種類 | 自動入力の挙動と調整 |
自動入力の確認 | 入力の前に確認を求めるか | 同上。現時点でFirefoxには効かない |
自動サインイン | 入力の後にフォームを自動で送るか | 同上 |
自動保存 | 保存を提案する情報の種類 | ログインの保存 |
パスキーとWebAuthnの保存 | パスキーを保存できるか | オフにしても保存済みのパスキーは消えない |
ファイルストレージ | ファイルを保存できるか | オフにしても保存済みのファイルは残る。アイテムのアイコンも変えられなくなる |
アイテム位置情報 | 地図のサービスを使えるか | オンのときだけアイテムに場所を付けられる |
保管庫許可 | 保管庫を共有するときの既定のパーミッション | 保管庫の権限モデル |
アプリと管理に関わる設定
後半は、アプリの更新、開発者向けの機能、管理画面の表示、人の扱いに関わる設定です。
| 設定 | 決めること | 扱うページ |
|---|---|---|
1Passwordアップデート | 古いアプリでのサインインを禁止するか | アプリのバージョンの強制 |
リリースチャンネル | 使えるリリースの系統 | 同上 |
ローカルディスクのスキャン | 端末の平文のシークレットを探すか | 開発者のシークレットを見つけて是正する |
仕事用アイテムを探す | 仕事用のドメインでアイテムを見つけるか | クレデンシャルの所有権を会社に移す |
デベロッパー権限、エージェンティック権限 | 開発者向けの機能とAIエージェントでの利用 | 開発者向け機能の位置付け |
サイドバーナビゲーション | 開発者と統合を一般の人に見せるか | 同上 |
一時停止ユーザー | 一時停止した人を自動で削除するか | 参加から削除までのアカウントポリシー |
| ブラウザー拡張機能の必須化 | 参加時に拡張機能の追加を求めるか | 同上 |
ガイド付きセットアップ | 参加直後にインポートを案内するか | 同上 |
変更の効き方の違い
ポリシーを変えたとき、いつ、誰に効くかは設定で違います。変える前にこの違いを押さえておかないと、効いたつもりで効いていない、または思った以上に効く、ということが起きます。
| 効き方 | 該当する設定 | 注意すること |
|---|---|---|
| 遡らない | アカウントのパスワード | 既に参加した人は、パスワードを変えるまで古い条件のまま |
| 保存済みのものは残る | ファイルストレージ、パスキーとWebAuthnの保存 | 止めても既存のデータは消えない |
| 他の管理ツールより優先される | ロック解除と自動ロック、リリースチャンネル | MDMで配った設定を上書きする |
| 保存してすぐ人に作用する | 一時停止ユーザー | 条件を満たす一時停止中の人が1時間以内に削除される |
特に注意が要るのは最後の2行です。MDMでアプリの更新時期を管理している組織がリリースチャンネルを絞ると、自動更新が強制され、MDM側の更新の設定が効かなくなります。一時停止ユーザーは、退職者を一時停止のまま保留している組織で設定すると、その場で削除が走ります。
導入時に見直す順序
全ての設定を一度に決める必要はありません。遡らない設定と、人に作用する設定から先に決めます。
- 最初の招待の前に、
アカウントのパスワード、Emergency Kitダウンロード、アイテムの共有を決めます。パスワードの条件は後から変えても既存の人に効きません。 - ドメインを検証したら、
アカウント作成を確かめます。 - パイロットの段階で、自動入力に関わる設定と
ロック解除と自動ロックを調整します。社員の使い勝手に直結するため、実際に使ってもらってから固定します。 - 全社に広げた後で、
2要素認証の強制と1Passwordアップデートを有効にします。利用状況とアプリのバージョンを確かめてから進めます。 - 最初の退職者が出る前に、
一時停止ユーザーの扱いを退職の手順とそろえます。
【運用のポイント】 ポリシーを変えたら、日付、設定、理由を社内の記録に残してください。サインイン試行の件数が急に増えたときや、社員から「急に使えなくなった」と問い合わせがきたときに、原因をたどる手掛かりになります。