自動プロビジョニングを稼働させた後も、1Password側で手を入れる設定が2つ残ります。どのメールドメインの人を作っていいかを決める許可ドメインと、IDプロバイダーから管理するグループの範囲です。どちらも初期設定のまま放っておくと、子会社の人が作られない、外部の人が作られる、グループの付け替えで人が一時停止される、といった事故につながります。このページでは、許可ドメインの役割と決め方、ドメインを加えるときの手順、管理対象のグループの決め方、グループを同期する前の準備、グループの付け替えと削除で起きること、定期的に見直す点を説明します。許可ドメインの画面そのものはドメインの検証とアカウント作成の制御で扱います。
許可ドメインが自動プロビジョニングで果たす役割
自動プロビジョニングは、許可ドメインのメールアドレスを持つ人だけを1Passwordに作ります。メールアドレスを変えるときも、新しいアドレスのドメインが許可ドメインにあるかを確かめます。許可ドメインが空欄だと、どのドメインの人でも作られます。
空欄のまま運用しないでください。Entra IDのゲストのように、社外のアドレスを持つユーザーがディレクトリーには混ざっています。そうした人を含むグループを誤って割り当てると、社外の人に組織の招待が届きます。許可ドメインを自社のドメインに絞っておけば、割り当ての誤りがあっても作られません。
登録する対象は次の通りです。
- 社員のメインのメールドメイン
- 子会社やグループ会社のドメインで、同じアカウントを使うもの
- 社名の変更や統合で移行中の、新旧両方のドメイン
gmail.comのような公開ドメインは登録できません。個人のアドレスで参加している人がいれば、稼働の前に会社のアドレスへ変えてもらいます。
ドメインを加えるときの手順
許可ドメインを変えられるのは、所有者、管理者、人を招待/削除のパーミッションを持つグループのメンバーです。
- 1Password.comのサイドバーで
招待を選びます。 - 許可ドメインの欄に新しいドメインを加えるか、既存のドメインを直します。
- ドメインの一覧を保存します。
- IDプロバイダーで、対象の人のメールアドレスを変えます。
- 本人に、届いたメールから変更を確かめてもらいます。
1Password側を先に変えることが欠かせません。IDプロバイダーのアドレスを先に変えると、本人は新しいアドレスで組織のアカウントを使えなくなります。本人が行う確認の操作はメールアドレスの変更で扱います。
管理対象のグループを決める
1Passwordのグループは、IDプロバイダーから管理するものと、1Password側で管理するものに分かれます。
IDプロバイダーから作るグループ
IDプロバイダーで割り当てたグループは、1Passwordにも同じ名前で作られ、所属も同期されます。保管庫を渡すグループは、この形に寄せると所属の管理がIDプロバイダーに一本化されます。
1Passwordに既にあるグループ
稼働前から使っていたグループを引き続き使う場合は、管理対象に加えます。サイドバーの統合からホスト型プロビジョニングを開き、管理対象のグループのセクションで対象を選びます。加えたグループの所属は、以後IDプロバイダーの側で変えます。
管理対象にできないグループ
アカウントの復旧かすべてのグループの管理を持つグループは、管理対象から自動的に外れます。所有者と管理者もこれに当たります。所属は1Password側で手動で変え、IDプロバイダーの異動や退職の処理では動きません。Provision Managersはプロビジョニングが使うグループで、原則として誰も入れません。
グループを同期する前の準備
グループを同期する前に、そのグループが使う保管庫を作っておきます。同期してから保管庫を用意すると、参加した人は共有の保管庫が1つも見えない状態で使い始めることになります。
ディレクトリーのサービスアカウントのように、1Passwordに作りたくないユーザーがグループに含まれている場合は、IDプロバイダーの側で除外の条件を設定します。1Passwordに渡る前に外しておく形です。
入れ子のグループとロールの割り当てには対応していません。IDプロバイダーで部署の階層を組んでいる場合は、1Passwordに渡す時点で平坦なグループに整理します。Oktaでは、アプリの割り当てに使うグループと、グループの同期に使うグループを分ける必要もあります。
グループの付け替えと削除で起きること
自動プロビジョニングでは、同期するどのグループにも属さなくなった人は一時停止されます。異動で古いグループから外す処理が先に反映されると、新しいグループに入るまでの間に一時停止を通ります。全員が入るグループを1つ作って業務別のグループと併せて同期すれば、常にどこかに属する形になり、この問題は起きません。
Google Workspaceでは、同期しているグループを削除すると1Passwordのグループも消えます。そのグループに渡していた保管庫のアクセス権もなくなるので、グループの整理は1Password側の影響を確かめてから行います。
【注意】 グループの名前を変える前後や、組織の再編でグループを作り直すときは、先に新しいグループへ保管庫のアクセス権を渡してから古いグループを外します。順序を逆にすると、切り替えの間だけ保管庫が見えなくなり、問い合わせが一度に集まります。
定期的に見直すこと
稼働後は、次の4点を四半期に1回ほど確かめます。
| 対象 | 確かめること |
|---|---|
| 許可ドメイン | 使わなくなったドメインが残っていないか。新しい子会社のドメインが漏れていないか |
| 管理対象のグループ | 使われていないグループや、保管庫のないグループがないか |
Provision Managers | 誰も入っていないか |
| 手動で管理するグループ | 所有者、管理者、復旧を担うグループに、退職者や異動者が残っていないか |
手動で管理するグループは、IDプロバイダーの人事の処理から漏れます。退職の手順に、この3つのグループを確かめる工程を入れてください。流れは退職時の手順で扱います。