自動プロビジョニングは、接続した日から入社、異動、退職の処理をIDプロバイダーに任せる仕組みです。便利な反面、IDプロバイダー側の操作の誤りがそのまま1Passwordに届きます。グループを1つ外しただけで部署の全員が一時停止される、といったことが起きます。また、IDプロバイダーが扱わない範囲は手動の運用として残ります。このページでは、対象を広げる順序、グループの設計の型、人事の流れのどこまでをIDプロバイダーに寄せるか、一時停止から削除までの期間、メールアドレスの変更の扱い、障害への備えと見直しの体制を説明します。接続の手順はIDプロバイダーごとのページで扱います。
対象を広げる順序
設定しただけでは、誰にも影響しません。IDプロバイダーで1Passwordを割り当てた時点で、招待と確認が動き始めます。組織全体をいきなり割り当てず、次の順で広げます。
| 段階 | 対象 | 確かめること |
|---|---|---|
| 1 | 情報システム部門のテスト用のユーザー1人 | 招待が届くか、名前とアドレスが正しく入るか |
| 2 | 情報システム部門のグループ | グループと所属が同期されるか、保管庫が見えるか |
| 3 | 協力的な部署を1つか2つ | 社員向けの案内で自力で参加できるか |
| 4 | 残りの部署を週ごとに | 問い合わせの件数と内容 |
既にメンバーがいる組織では、段階1の前に、1Passwordのメールアドレスとディレクトリーのアドレスが一致しているかを突き合わせます。一致しない人には招待が改めて届き、別のアカウントとして扱われるおそれがあります。
グループの設計の型
IDプロバイダーに渡すグループは、次の3つの考え方で組みます。
全員グループと業務グループを併用する
全員が入るグループを1つ作り、業務別のグループと併せて同期します。どのグループにも属さない人は一時停止されるので、全員グループがあれば異動のたびに一時停止を通ることがなくなります。全員向けの共有保管庫の受け皿にも使えます。
保管庫の単位でグループを切る
IDプロバイダーのグループは、人事の組織図に沿って作られていることが多く、1Passwordの保管庫の単位とは合いません。1Password用のグループを別に作り、保管庫の単位にそろえます。名前の頭に1P-のような共通の接頭辞を付けると、IDプロバイダー側で用途が分かります。
管理者と復旧担当は1Password側に残す
所有者、管理者、復旧を担うグループは、自動プロビジョニングの管理対象になりません。IDプロバイダーが侵害されても、アカウント全体の鍵に届かないための仕組みです。これらのグループの出入りは、IDプロバイダーの処理とは別の承認の手順で行います。
人事の流れをどこまでIDプロバイダーに寄せるか
IDプロバイダーに任せられる範囲と、手動で残る範囲を分けて運用の手順に書きます。
| 場面 | IDプロバイダーで済むこと | 手動で残ること |
|---|---|---|
| 入社 | 招待、確認、グループの所属 | 初日の案内、Emergency Kitの保存の案内 |
| 異動 | グループの付け替え | 個別に渡した保管庫のアクセス権、共有リンク |
| 退職 | 一時停止 | 完全な削除、手動で管理するグループからの削除、共有のクレデンシャルの変更 |
退職の処理では、一時停止だけで終わらせないことが大事です。本人が知っていた共有のクレデンシャルは、アカウントを止めても本人の記憶に残ります。場面ごとの流れは入社時の手順、異動時の手順、退職時の手順で扱います。
一時停止から削除までの期間
IDプロバイダーでデプロビジョニングすると、1Passwordのアカウントは一時停止になります。削除ではないので、従業員保管庫のデータは残ります。1Password側で削除できるのは、デプロビジョニングが済んだ人だけです。
削除までは1カ月ほど置くのが目安です。引き継ぎの漏れに気付いてから、一時停止を解除して中身を移せます。一時停止ユーザーのポリシーで自動削除を使う場合は、日数をこの期間とそろえます。自動削除は保存した時点で条件を満たす人を消すので、設定する前に一時停止中の人の一覧を確かめてください。設定は参加から削除までのアカウントポリシーで扱います。
【注意】 一時停止中の人のメールアドレスは変えないでください。IDプロバイダーによっては、一時停止中の人の変更を同期しません。アドレスを変えてから解除すると、1Passwordが別の人として扱います。休職から戻る人は、解除してからアドレスを変えます。
メールアドレスの変更の扱い
自動プロビジョニングの環境では、本人がメールアドレスを変えられません。IDプロバイダーで変え、本人が1Password.comで確認する2段階になります。暗号の鍵がアドレスと結びついているため、管理者の操作だけでは終わりません。
IDプロバイダーでアドレスを変える前に、新しいドメインが許可ドメインにあることを確かめます。IDプロバイダーの管理下にない人のアドレスを変えるときは、プロビジョニングを一時的に止め、本人に変えてもらってから戻します。本人の操作はメールアドレスの変更で扱います。
障害への備えと見直しの体制
発行したSCIMのURLとベアラートークン、Google Workspaceのサービスアカウントの鍵は、管理者だけが入れる保管庫に保存します。接続を作り直すときに要るほか、漏れると第三者が人の追加や一時停止を行えるためです。
反映されないという問い合わせを受けたら、次の順に確かめます。
- 1Password側の
統合からホスト型プロビジョニングを開き、IDプロバイダーとの同期のスイッチがオンか - IDプロバイダーの同期の周期を過ぎているか。Entra IDは約40分、Google Workspaceは1時間ごと
- その人のアドレスのドメインが許可ドメインにあるか
- その人が同期するグループに入っているか
【運用のポイント】 自動プロビジョニングを使うアカウントでは、Security Automationを使えません。IDプロバイダーの側で自動化を組む前提で、対応の手順を決めておきます。判定はSecurity Automationと外部サービスの統合で扱います。
四半期に1回、許可ドメイン、管理対象のグループ、手動で管理するグループの所属を見直します。見直す点は許可ドメインとグループの運用にまとめています。