復旧の実行手順

復旧は、管理者が始め、本人が新しいアカウントパスワードを作り、管理者が完了させる3段階で進みます。本人の操作の後に管理者が完了させるまで、本人はアカウントに入れません。始めた人が完了を忘れると、依頼した人は最初より悪い状態で待たされることになります。このページでは、復旧で何が変わるか、始め方、本人への案内、完了のさせ方、復旧の後に本人が行うこと、パスワードの変更では足りない場面を説明します。誰に復旧を任せるかは復旧の設計（誰が復旧できるか）で扱います。

復旧の流れと変わること

流れは次の通りです。

段階	行う人	内容
1	管理者	人の詳細から復旧を始める
2	本人	届いたメールから、新しいSecret Keyを受け取り、新しいアカウントパスワードを作る
3	管理者	届いた通知から、復旧を完了させる
4	本人	各端末のアプリにサインインし直す

復旧した後も、本人は以前のデータに全てアクセスできます。変わるのは次の4点です。

• Secret Keyが新しくなります
• 全ての端末でサインインし直す必要があります
• 2要素認証がリセットされます。設定し直してもらいます
• Unlock with SSOを使っている組織では、アプリとブラウザーの紐づけをやり直します

新しいアカウントパスワードには、その時点のアカウントパスワードポリシーが効きます。ポリシーを後から厳しくした組織では、古い条件で作っていた人も、ここで新しい条件に合わせることになります。

復旧を始める

始める前に、メール以外の経路で本人からの依頼であることを確かめます。手順は復旧の設計（誰が復旧できるか）で決めておきます。

1. サイドバーの人を選びます。
2. 対象の人の名前を選び、詳細を開きます。
3. 名前の下にある復旧を開始を選びます。

本人の受信箱にメールが届きます。復旧はいつでも始められますが、本人が新しいパスワードを作った後は、完了するまで本人が使えなくなります。完了させる人が対応できる時間帯に始めてください。

大勢を一度に復旧する必要がある場合は、1Password CLIでまとめて始められます。手順は<a href="https://1password.dev/cli/recover-users" target="_blank">1Password CLIでのアカウントの復旧</a>にあります。

本人への案内

本人には、次の順に進むよう伝えます。

1. 1Passwordから届いたメールを開き、アカウントを復旧するボタンを選びます。
2. ブラウザーで開いたページで、メールアドレスを確かめます。
3. 新しいSecret Keyを受け取り、新しいアカウントパスワードを作ります。
4. Unlock with SSOを使っている場合は、案内に従ってアプリとブラウザーを紐づけ直します。

【注意】 Emergency Kitを配らない設定にしている組織では、本人は復旧の後に新しいEmergency Kitを保存できません。復旧を始めたときと同じブラウザーで、同じセッションのまま完了まで進めてもらいます。プライベートブラウズは使わせないでください。管理者も、本人が復旧に使った端末を人の詳細から外さないでください。設定は参加から削除までのアカウントポリシーで扱います。

復旧を完了する

本人がパスワードを作ると、復旧を完了させるよう求めるメールが届きます。メールのリンクから開いたページで本人の情報を確かめ、完了の操作を選びます。

完了を待つ復旧が複数ある場合は、まとめて完了させられます。

1. サイドバーの人を選びます。
2. 検索欄の右のフィルターから、復旧の完了を待つ状態を選びます。
3. 完了させる人のチェックボックスを選びます。
4. 操作のメニューから、復旧を完了する操作を選びます。

完了させる前に、本当に本人が操作したものかをもう一度考えます。依頼の記録がないのに完了待ちになっている人がいれば、完了させずに本人に確かめてください。

復旧の後に本人が行うこと

新しいSecret Keyは、復旧に使ったブラウザーに保存されています。本人には次のように伝えます。

• Emergency Kitを配っている組織では、新しいEmergency Kitを保存します
• 復旧に使ったブラウザーでは、新しいパスワードだけでサインインできます
• 別の端末では、復旧に使ったブラウザーでアカウントを管理を開いたままにしておき、Secret Keyを確かめて手で入力します
• パソコンとスマートフォンの両方で使う場合は、先にパソコンのアプリにサインインし、スマートフォンのアプリからQRコードを読み取ります
• Unlock with SSOでは、復旧に使ったブラウザーが最初に紐づいたブラウザーになり、ほかの端末の承認に使います

サインインし直してもロックを解除できない場合は、その端末のアプリを初期状態に戻してからサインインします。アプリの設定もやり直しになります。

パスワードの変更では足りない場面

ロックが解除された端末を他人に触られた、Emergency Kitを見られた、パスワードを推測された、キーロガーのようなマルウェアに感染した、といった場合は、パスワードを変えてもらうだけでは足りません。パスワードやSecret Keyを変えても、その人のキーセットは入れ替わらないためです。古いキーセットを手に入れた攻撃者は、変更後に作られたデータまで読めます。

次の順で進めます。

1. 対象の人を一時停止します。
2. その人のメールアカウントのパスワードをリセットします。
3. 一時停止を解除し、復旧を始めます。

復旧はキーセットを作り直し、その人が持つ保管庫の鍵を全て暗号化し直します。端末が盗まれてオフラインのまま持たれている場合は、その人の利用状況レポートの作成でアクセスしていたアイテムを洗い出し、パスワードをすぐに変えます。読み方は利用状況と定着のレポートで扱います。