アカウントパスワードやSecret Keyを失った人が戻る道は、誰かに復旧してもらうことだけです。1Password側では、誰のパスワードもリセットできません。復旧を担う人がいなければ、その人のデータには二度と届きません。一方で、復旧は他人のアカウントに入る手段にもなります。任せる相手を誤ると、乗っ取りの経路を社内に作ることになります。このページでは、復旧を担える3つの形、規模ごとの割り当て、受信箱に手が届く人との分け方、本人確認の手順、通知の宛先、自動プロビジョニング環境での復旧のグループの管理を説明します。画面の操作は復旧の実行手順で扱います。
復旧を担える3つの形
他人のアカウントを復旧できるのは、次の3つのいずれかに入っている人です。誰であっても、自分のアカウントは自分では復旧できません。人の詳細の画面でも、自分を開いたときには復旧を開始が表示されません。
所有者
所有者は、組織全体の削除と支払いの管理まで持つグループです。復旧もできますが、日常の依頼をここで受けるのは避けます。所有者のアカウントを使う場面を増やすほど、乗っ取られたときの被害が大きくなるためです。所有者の役割は、ほかの所有者と管理者を戻すことに絞ります。人選は所有者と管理者の設計で扱います。
管理者
管理者には、人、グループ、保管庫の管理と一緒にアカウントの復旧が最初から付いています。情報システム部門の担当者が日常の管理と復旧を兼ねる場合は、この形になります。
復旧のカスタムグループ
アカウントの復旧を付けたカスタムグループを作れば、ほかの管理の操作を渡さずに復旧だけを任せられます。ヘルプデスクに任せる場合の基本の形です。付け合わせる管理パーミッションは管理権限の一覧と割り当て方で扱います。
規模ごとの割り当て
どの規模でも、復旧できる人は2人以上にします。1人だと、その人が不在の日や、その人自身が締め出された日に誰も手当てができません。
| 規模 | 日常の復旧を担う人 | 所有者と管理者を戻す人 |
|---|---|---|
| 50人未満 | 所有者2人、または管理者1〜2人 | もう1人の所有者 |
| 50〜300人 | 復旧のカスタムグループに2〜3人 | 所有者 |
| 300人以上 | ヘルプデスクのカスタムグループ | 所有者 |
カスタムグループに付けたパーミッションは、アカウント全体に効きます。拠点ごとにグループを分けても、それぞれの担当者は全ての拠点の人を復旧できます。拠点で分けるのは依頼の受付の単位と考え、担当者の人数は全社で数えてください。
受信箱に手が届く人と分ける
復旧のリンクは、本人の受信箱に届きます。復旧できる人が本人の受信箱も開けると、1人でそのアカウントに入れます。メールシステムの管理者を外すことは所有者と管理者の設計で書きましたが、受信箱に手が届く立場はほかにもあります。
| 立場 | 受信箱に届く理由 |
|---|---|
| メールシステムの管理者 | メールボックスを直接開ける |
| IDプロバイダーでパスワードをリセットできる担当 | 本人としてメールにサインインできる |
| 転送や代理アクセスを設定できる担当 | 復旧のメールを自分へ回せる |
| メールのアーカイブを閲覧できる担当 | 届いたメールの複製を読める |
復旧のカスタムグループに入れる前に、この4つに当たらないかを確かめます。ヘルプデスクは、IDプロバイダーのパスワードのリセットを担っていることが多い立場です。当たる場合は、担当を分けるか、復旧の操作を監査ログとアラートで追います。アラートの考え方はログの保管とアラートの設計で扱います。
本人確認の手順を決める
復旧の依頼はメールやチャットで届きます。依頼そのものが、なりすましかもしれません。復旧を始める前に、メール以外の経路で本人に確かめます。担当者によって手順が違わないよう、次の3点を文書にしておきます。
- 確かめる方法を決めます。対面か、社員名簿に載っている番号への折り返しの電話です。依頼の中で伝えられた番号にはかけません。
- 記録を残します。誰から、いつ、どの方法で確かめたかを、問い合わせの管理の記録に書きます。
- 完了を本人から聞きます。復旧は、本人が新しいパスワードを作り、復旧した人が完了させて終わります。途中で止まっていないかを、本人に直接確かめます。
所有者と管理者の復旧は、2人で確かめる運用が向いています。
通知の宛先を決める
本人が新しいパスワードを作ると、復旧を完了させるよう求めるメールが届きます。既定では、アカウントの復旧を持つ全員に届きます。人数が増えると、誰かが対応するだろうと全員が思い、完了が遅れます。
宛先は設定のメールの通知の設定で、特定の人に絞れます。人の画面にあるManage email preferencesは、英語のまま表示される入り口です。選べる名前は所有者と管理者だけで、カスタムグループのメンバーは名前では選べません。代わりに、検証済みのドメインのメールアドレスであれば、組織のメンバーでなくても宛先に加えられます。ヘルプデスクに任せる場合は、問い合わせの受付のアドレスを加えます。
Slackの統合を使っていれば、完了を待つ復旧をチャンネルに流すこともできます。設定はSlackとDuoの統合で扱います。
自動プロビジョニング環境での復旧のグループ
アカウントの復旧を持つグループは、自動プロビジョニングの管理対象から外れます。IDプロバイダーで異動や退職を処理しても、このグループの所属は変わりません。
【注意】 見落としやすいのは異動です。ヘルプデスクから別の部署へ移った人は、アカウントが有効なまま残り、復旧のグループからも外れません。他人を復旧できる状態がそのまま続きます。異動と退職の手順に、復旧のグループから外す作業を独立した項として入れてください。手順は異動時の手順と退職時の手順で扱います。
四半期ごとの棚卸しでも、このグループの所属を確かめます。進め方は保管庫とアクセス権の棚卸しで扱います。