Enterprise Password ManagerとSaaS Managerは別々に契約でき、別々のアカウントとして始まります。両方を使う場合、つなぐ方法は3つあり、目的も手続きも違います。混同したまま設定すると、利用者が意図しない権限でSaaS Manager側に作られたり、検出の一覧に個人のアイテムが混ざったりします。どれも後戻りに手間がかかる種類の設定です。このページでは、3つの方法の違い、アカウントのリンクで起きること、アプリ検出の有効化と対象範囲、所有権の移管、停止したときの挙動を説明します。SaaS Manager側の画面の操作は本ガイドでは扱いません。製品の位置付けはSaaS Managerの概要にあります。
3つの接続方法を区別する
| 方法 | 目的 | 手続き |
|---|---|---|
| アカウントのリンク | 利用者を同期し、所有権の移管などの機能を使えるようにする | サポートへの依頼 |
| アプリ検出 | 保管庫のアイテムから業務用のアプリを見つけてSaaS Managerに送る | Enterprise Password Manager側のポリシー |
| SCIM Bridge経由の接続 | SaaS ManagerがEnterprise Password Managerを管理対象のアプリとして扱う | SCIM BridgeのURLとトークン |
3つは独立しています。アプリ検出だけを有効にすることも、リンクだけを行うこともできます。ただし所有権の移管まで進めるなら、リンクとアプリ検出の両方が要ります。
アカウントをリンクする
自分では設定できません。サポートに依頼します。リンクすると、SaaS Manager側の利用者が次のように変わります。
| リンク前の状態 | リンク後 |
|---|---|
| SaaS Managerのアカウントを持つチームメンバー | 変わらない |
| SaaS Managerのアカウントがないチームメンバー | 既定のロールで自動的に招待される |
SaaS Managerのアカウントがない管理者と所有者 | 管理者のロールで自動的に招待される |
| ゲスト | 追加されない |
【注意】
管理者と所有者グループのメンバーは、SaaS Manager側でも管理者になります。しかもSaaS Manager側で管理者のロールだけを外すことはできません。外すには、Enterprise Password Manager側のグループから外すことになります。管理者を多めに置いている組織では、SaaS Manager側の管理者も同じ人数で始まります。リンクを依頼する前にグループの棚卸しを済ませてください。割り当ての見直しは管理権限の一覧と割り当て方で扱います。
既定のロールは、リンクの前に最小のものにしておきます。参加した全員に広い権限が渡ると、あとから1人ずつ絞る作業になります。
リンクの後は、利用者の情報はEnterprise Password Manager側が基準になります。メールアドレス、氏名、有効か無効かの状態は、SaaS Manager側で変えても反映されません。変更は必ず管理コンソール側から行うことになります。
アプリ検出を有効にする
- サイドバーの
ポリシーを開き、共有と許可を選びます。 - 自社で使うメールアドレスのドメインを入力します。
仕事用アイテムを探すの中で、SaaS Managerに検出させる設定を有効にします。- 保存します。
操作できるのは、ポリシーを管理できるグループのメンバーです。ポリシー画面の全体像はポリシー画面の全体像で扱います。
ここで入れたドメインは、SaaS Manager側の一覧に出す対象を決めるものです。検出そのものの範囲を絞るものではありません。ドメインを1つだけ入れておけば安全、とはならない点に注意してください。
【注意】 有効にした直後は件数がほとんど増えません。壊れているわけではなく、有効にしたあとで変更のあったアイテムだけを順に送る作りだからです。全件をそろえたい場合は、入力済みのドメインを1つ削除して保存し、もう一度追加して保存します。これで取り直しが走ります。有効化の翌日に件数を見て判断すると、対象が少ないと誤解します。
検出される範囲
保管庫の種類によって条件が変わります。
共有保管庫
ユーザー名の欄に、承認したドメインのメールアドレスが入っているアイテムが対象です。業務のクレデンシャルは共有保管庫に集まる設計にしておくと、検出の結果もそのまま業務用の一覧になります。保管庫の分け方は保管庫の分割パターンで扱います。
従業員保管庫
条件は同じですが、判定はメールアドレスの形かどうかだけで行われます。口座番号や会員番号をユーザー名にしている個人のアイテムは、業務と無関係でも除外されません。逆に、個人のメールアドレスで保存した業務用のアカウントは対象から外れます。
現実的な対策は、個人のクレデンシャルを個人のアカウントに置くよう周知しておくことです。従業員保管庫の扱いは従業員保管庫の位置付けで扱います。
送られる情報
送られるのは、アイテムの名前、ユーザー名、ウェブサイト、Watchtowerの指摘、保管庫の名前です。パスワードは含まれません。暗号化された状態で送られ、復号と絞り込みは隔離された環境で行われます。
ただしユーザー名は絞り込まれません。ユーザー名の欄に個人を特定できる情報を入れている場合、それも送られます。従業員への説明では、パスワードは送られないことと、ユーザー名は送られることの両方を伝えてください。
アカウントの所有権を移して管理する
アプリ検出を有効にすると、SaaS Manager側の一覧に、自社ドメインのメールアドレスで使われているアカウントが並びます。そこから、個人が管理しているアカウントの所有権を会社に移せます。
初回は、対象のドメインのDNSの設定を変えて所有を確認する作業が要ります。ネットワークの担当部署に依頼することになるので、日程に見込んでおいてください。
所有権を移したアカウントは、専用の保管庫に移ります。利用者はこれまで通りサインインできますが、アイテムの内容を表示したり編集したりコピーしたりはできず、入力だけができる状態になります。Androidでは使えません。iPhoneとiPadではSafariの拡張機能から入力します。利用者に説明するときは、この3点を先に伝えてください。
SaaS Managerを使わずに同じ目的を果たす手順はクレデンシャルの所有権を会社に移すにあります。どちらを採るかは、SaaS Managerの契約があるかどうかで決まります。
停止した後に起きること
アプリ検出を止めても、既に検出済みのアプリは消えません。新しく送るのを止めるだけです。消すにはSaaS Manager側で個別に削除します。
削除した後の挙動は保管庫によって違います。従業員保管庫から検出されたものは、削除すればそのままです。共有保管庫から検出されたものは、その保管庫に人やグループを追加し直すと、再び現れることがあります。一括で削除する手段は用意されていません。
【運用のポイント】 有効にする前に、対象のドメインと従業員への説明の文面を決めておいてください。検出は保管庫の中身を見る仕組みなので、後から説明すると経緯の説明に手間がかかります。あわせて、従業員保管庫の棚卸しを先に促しておくと、個人のアイテムが一覧に混ざる量を減らせます。棚卸しの進め方は保管庫とアクセス権の棚卸しで扱います。
SCIM Bridge経由で接続する場合
SaaS ManagerがEnterprise Password Managerを管理対象のアプリとして扱う構成では、SCIM BridgeのURLとベアラートークンを渡します。利用者の一覧をSaaS Manager側から取得するための接続です。
【注意】 Google Workspace向けに構成したSCIM Bridgeでは、この接続ができません。Google Workspaceの構成ではSCIMのインターフェイスが閉じられ、Google側のAPIを使ってデータを取りに行く方式に切り替わるためです。SCIM Bridgeを使い続けるかどうかはSCIM Bridgeを選ぶ場合の判断基準で扱います。