Unlock with SSOを使うと、チームメンバーはアカウントパスワードとSecret Keyの代わりに、IDプロバイダーのサインインで1Passwordを開けるようになります。覚えるパスワードが1つ減り、パスワードを忘れたことによる復旧の依頼も減らせます。その代わり、利用がIDプロバイダーと紐づけた端末に依存するようになり、使えない人と機能も出てきます。全員に広げた後で方針を変えると、社内への説明と切り替えをやり直すことになります。このページでは、何が変わるか、使えない人と機能、向いている条件と慎重に判断する条件、リスクの比べ方、決めるまでの手順を説明します。仕組みはUnlock with SSOの仕組みと制約、段階的な導入は導入前の確認とロールアウト設計で扱います。
何が変わるのか
サインインとロックの解除を、IDプロバイダーに任せます。1Passwordは、IDプロバイダーでの認証を確かめたうえで、暗号化されたクレデンシャルを端末に渡します。端末はそれを自分のデバイスキーで復号して開きます。
新しい端末で使い始めるときは、既に紐づけてあるアプリかブラウザーで承認し、表示された確認コードを新しい端末に入力します。紐づけた端末を全て失うと自分では戻れず、アカウントの復旧が必要です。
変わるのはサインインだけです。人の追加や一時停止はプロビジョニングの役割で、別に判断します。組み合わせはIDプロバイダー別の対応状況で扱います。
使えない人と機能
| 対象 | 扱い |
|---|---|
所有者 | 常にアカウントパスワードとSecret Keyで開く。締め出しを防ぐための仕様で、変えられない |
| ゲスト | SSOを使う範囲に含めるかどうかを選べる |
| MSPの技術者 | 管理対象企業の中では使えない |
| データのエクスポート | SSOを使っている間はできない。管理者がSSOをオフにする必要がある |
| 1Password 7 | 使えない。1Password 8が前提 |
接続できるIDプロバイダーは1つだけです。会社ごとに別のIDプロバイダーを使うグループ会社を1つのアカウントに収めると、全社をSSOにはそろえられません。構成の考え方はテナント構成の選択（単独、親子、グループ会社、MSP）で扱います。
導入の条件を見極める
組織の状況を3つに分けて確かめます。
向いている条件
IDプロバイダーを全社で1つにまとめ、多要素認証と条件付きアクセスをそこで管理している組織です。退職時にIDプロバイダーのアカウントを止めれば、1Passwordも開けなくなります。パスワードを忘れたことによる復旧の依頼が多い組織でも効果が出ます。
慎重に判断する条件
電波の届かない現場や工場で使う人がいる場合は、オフラインで開けない問題が出ます。IDプロバイダーか1Passwordのサーバーが止まったときも開けません。Apple siliconとT2チップのないMacやChromeOSでは、デバイスキーをハードウェアで守れません。移行や監査のためにデータをエクスポートする予定がある場合も、その間はSSOを使えません。
先に解消しておく条件
ブラウザーを閉じると閲覧データを消すポリシーがあると、紐づけたブラウザーの情報も消えます。対象からサインインアドレスを除外してください。既存のメンバーは、切り替える前にアカウントパスワードとSecret Keyで一度サインインする必要があります。Emergency Kitを使わない運用にしている組織では、一斉に復旧が必要になるおそれがあります。
リスクの比べ方
生体認証を使わない場合、端末を盗まれたときのリスクはアカウントパスワードより高くなります。端末に残るデバイスキーと、ブラウザーに残るIDプロバイダーのサインイン情報を組み合わせると、1Passwordを開ける可能性があるためです。生体認証を使えば、端末の生体認証が守りになり、リスクはアカウントパスワードと同程度になります。
逆に、IDプロバイダーのクレデンシャルだけを盗まれても、1Passwordは開けません。開くにはその人の端末のデバイスキーが要るためです。
生体認証を有効にすると、オフラインでも管理者が決めた期間は開けるようになります。SSOを採用するなら、生体認証を有効にし、オフラインで開ける期間を業務に合わせて決めるのが基本になります。
【運用のポイント】 SSOの守りはIDプロバイダー側の設定で決まります。1Passwordのアプリについても、多要素認証と条件付きアクセスの対象に含めてください。
決めるまでの手順
- 使っているIDプロバイダーが対応しているかを確かめます。
- SSOを使えない人を洗い出します。
所有者の人数と、その人たちのEmergency Kitの保管を確かめます。所有者の人選は所有者と管理者の設計で扱います。 - 利用者の環境を確かめます。1Password 8への更新、ブラウザーの閲覧データを消すポリシー、共有の端末の有無です。
- オフラインで使う業務があるかを確かめ、生体認証とオフラインの期間を決めます。
- SSOを使う範囲を決めます。全員にするか、特定のグループから始めるかです。
- 決めた内容と理由を構成の記録に残します。
画面では、サイドバーのポリシーからシングルサインオン（SSO）を開くと、IDプロバイダでロック解除するの設定に進めます。範囲は最初は誰も対象にしない状態で、ここから少しずつ広げられます。まず情報システム部門などで試してから広げる進め方を勧めます。