サイドバーの統合には、外部のサービスと結ぶ設定が並びます。このページで扱うのはSlackとDuoの2つです。名前が並んでいるので同じ種類の設定に見えますが、性格はまったく違います。Slackは管理業務の通知をチャンネルに流すだけで、外すのも簡単です。Duoは組織全体の多要素認証を置き換えるもので、有効にした瞬間に全チームメンバーの2要素認証が入れ替わります。段取りを誤ると、翌朝の問い合わせが一斉に立ち上がります。このページでは、2つの違い、Slackの接続と流れるメッセージ、Slackからの招待、Duoの有効化と事前に決めることを説明します。
2つの統合の違い
| 区分 | Slack | Duo |
|---|---|---|
| 目的 | 管理業務の通知をチャンネルに流す | 組織全体の多要素認証を置き換える |
| 影響が及ぶ範囲 | 管理者の運用 | 全チームメンバーのサインイン |
| 設定できる人 | 所有者、管理者、設定の管理を持つグループ | 所有者、管理者 |
| 別の契約 | 不要 | 必要 |
| 取りやめるとき | 接続を外すだけ | 全員が認証を設定し直す |
Slackは通知の宛先が増えるだけなので、ロールアウトの途中で入れても差し支えありません。Duoは認証の設計そのものなので、Unlock with SSOの仕組みと制約や2要素認証の管理と合わせて、導入前に決めておく領域です。
Slackアプリを接続する
- サイドバーの
統合を開き、Slackを選びます。 - 接続の操作を選ぶと、Slackの認可画面に移ります。
- Slackにサインインしていない場合はサインインし、アクセスを承認します。
Enterprise Gridのワークスペースでは、先にSlack側でアプリをワークスペースに追加し、そのあとで1Password側の画面を更新して選び直します。
プライベートチャンネルに流したい場合も同じで、先にSlack側でそのチャンネルにアプリを追加してから、1Password側の設定画面を開き直します。追加していないチャンネルは選択肢に出てきません。チャンネルへのアプリの追加は<a href="https://slack.com/help/articles/360001537467-Guide-to-apps-in-Slack" target="_blank">Slackのヘルプ</a>で確認できます。
【注意】 この統合はSlack社が提供しているものではありません。接続の画面にもその旨が書かれています。通知が届かなくなったときの問い合わせ先は1Password側であって、Slackのサポートではありません。障害の切り分けを社内の手順書に書くときは、この点を明記しておいてください。
Slackに流れるメッセージ
メッセージは2種類に分かれ、それぞれ別のチャンネルを指定できます。片方だけを有効にすることもできます。
| 種類 | 内容 | 性格 |
|---|---|---|
| 対応が必要なもの | チームメンバーの確認待ち、復旧の承認待ち | 誰かが動かないと止まる |
| 情報として流れるもの | サインイン、新しい端末の認証、トラベルモードの切り替え | 件数が多い |
対応が必要なメッセージは、処理が済むと自動で更新されます。二重に対応することを防げるので、確認と復旧を複数人で回している組織では効果が分かりやすい部分です。復旧の流れは復旧の実行手順で扱います。
情報として流れる方は、人数に比例して件数が増えます。同じチャンネルに混ぜると、対応が必要なメッセージが埋もれます。チャンネルは分けてください。
【注意】 Slackに流れたメッセージは監査の記録ではありません。チャンネルの保持期間はSlack側の契約に従い、1Password側の記録とは別物です。記録として残すのは監査ログの読み方の画面か、Events Reportingの設定で送った先です。Slackは気付くための仕組みと割り切ってください。
Slackからチームメンバーを招待する
Slackのワークスペースにいる人を、1Passwordに招待できます。招待の画面から、全員をまとめて招待するか、チャンネルやグループ、個人を選んで招待するかを選びます。
招待はアプリからのダイレクトメッセージとして届きます。使える条件はワークスペースの人数が1000人未満であることです。それ以上の規模では、通常の招待の手順を使います。
ダイレクトメッセージなので、Slackを日常的に見ていない人には届きません。Slackの利用が部門によって偏っている組織では、招待の経路を1つに統一できないことになります。誰にどの経路で招待したかは自分で記録しておいてください。詳しくは招待と確認の流れで扱います。
Duoを有効にする
Duoの契約は1Passwordのサブスクリプションに含まれません。先に<a href="https://signup.duo.com" target="_blank">Duoのアカウント</a>を用意しておきます。手順は次の通りです。
- Duoにサインインし、<a href="https://admin.duosecurity.com/applications/protect/types" target="_blank">保護するアプリケーションの一覧</a>から1Passwordを選びます。
- 表示されるクライアントID、クライアントシークレット、APIのホスト名を控えます。
- 1Password.comにサインインし、サイドバーの
統合を開きます。ほかに有効な統合がある場合は、ページの上部でディレクトリーの一覧に切り替えます。 Duoを選び、有効にします。- 控えた3つの値を入力して保存します。
Duo側の画面は日本語化されていないため、英語の表記のまま進めることになります。控えた3つの値は、そのまま1Passwordの保管庫にアイテムとして保存しておくと、設定を見直すときに探さずに済みます。
承認を求める間隔は日数で指定でき、あとから変更できます。同じ統合のDuoの画面で日数を変えて保存します。
Duoを入れる前に決めること
有効にすると、次に1Passwordのロックを解除したときから、全チームメンバーにDuoの登録が求められます。順番に切り替えることはできません。
既に2要素認証を設定している人も対象です。多要素認証は1人につき1つしか使えないため、Authenticatorアプリやセキュリティーキーを設定済みの人は、それが置き換えられます。設定済みの人ほど、切り替わったことに気付いて問い合わせてきます。
Safariを使っている人には、1Password.comを使ったサインインを承認するかどうかを尋ねるダイアログが出ます。続行を選ばないと認証に進めません。
Duoは1Password 7以降のアプリを必要とします。現行のデプロイでは満たしている要件ですが、古い端末が残っている環境では先に更新してください。端末に入っているアプリの版はサインイン試行と端末のレポートで確認できます。
【運用のポイント】 有効化は、ヘルプデスクが対応できる時間帯に行ってください。週末や連休の前に有効にすると、登録でつまずいた人が月曜まで1Passwordを開けません。事前に<a href="https://guide.duo.com/enrollment" target="_blank">Duoの登録の案内</a>をもとに日本語の手順を用意し、有効化の当日ではなく数日前に配っておくと、問い合わせの量が変わります。準備の進め方は社内問い合わせへの備えで扱います。