Unlock with SSOでは、IDプロバイダーにサインインできるだけでは新しい端末で1Passwordを開けません。既に紐づけてある端末で確認コードを表示し、それを新しい端末に入力して初めて使えるようになります。社員から見ると手間が1つ増えますが、これがエンドツーエンドの暗号化を保つ仕組みです。紐づけた端末を全て失うと本人では戻れないため、2台目の紐づけを早めに済ませることが運用の要になります。このページでは、紐づけの意味、新しい端末で使い始める流れ、確認コードの在りか、紐づけの一覧と解除、紐づけを失いやすい環境、全て失ったときの扱いを説明します。
紐づけとは何か
紐づけたアプリとブラウザーは、そのアカウント用のデバイスキーを持っている端末のことです。Unlock with SSOに切り替えたときに使ったアプリかブラウザーが、最初の1台になります。
新しい端末を加えるとき、既存の端末から新しい端末へクレデンシャルの束が安全に渡されます。新しい端末は、それを自分のデバイスキーで暗号化し直して保存します。確認コードは、この受け渡しの相手が本人の端末であることを確かめるためのものです。仕組みはUnlock with SSOの仕組みと制約で扱います。
紐づけは多要素認証の代わりではなく、端末管理の代わりでもありません。どの端末で使っていいかを組織として統制したい場合は、別の仕組みで行います。
新しい端末で使い始める
使い始める場所によって、入口が3つあります。どの場合も、途中で紐づけ済みの端末のロックを解除して確認コードを取り出します。
アプリ
新しい端末で1Passwordのアプリを開き、サインインを選びます。モバイルの端末で既にサインインしている場合は、画面の案内に従ってQRコードを読み取る方法が使えます。手入力の場合は、仕事用のメールアドレスとサインインアドレスを入れ、IDプロバイダーでサインインするボタンを選びます。ブラウザーでIDプロバイダーにサインインすると、確認コードの入力を求められます。
ブラウザー拡張機能
新しいブラウザーで1Password.comにサインインし、確認コードを入力します。続けて、アカウントを1Passwordに追加するかを尋ねる表示で追加を選びます。通知の許可も求められるので許可します。
1Password.com
新しいブラウザーで1Password.comにサインインすると、確認コードの入力を求められます。共用のパソコンや公共の端末であることを示してサインインした場合、そのブラウザーは紐づけた端末として残りません。
確認コードの在りか
確認コードは、紐づけ済みの端末に表示されます。デスクトップのアプリでは、新しいアプリかブラウザーが見つかったことを知らせる表示で、キーを転送する操作を選ぶと英数字のコードが出ます。モバイルでは1Passwordの通知を開き、アプリのロックを解除します。
紐づけ済みのブラウザーしかない場合は、1Password.comのアカウントを管理を開き、保留中のサインインの一覧から対象を選んでコードを表示します。
確認コードの表示が出ない場合は、新しい端末でサインインしようとしているアカウントが、紐づけ済みの端末の側でロックを解除されているかを確かめます。解除して数分待ち、新しい端末の手順を最初からやり直します。
【注意】 Safariだけで使っている人は、7日に一度は1Password.comにサインインしないと、確認コードを見つけられなくなります。Safariを主に使う社員には、アプリを入れて紐づけておくよう案内してください。
紐づけの一覧と解除
社員は、1Password.comのアカウントを管理にあるアカウントに紐付けられていますで、紐づけた端末の一覧を見られます。今使っている端末には現在のデバイスと表示されます。
使わなくなった端末は、右側の歯車から紐づけを解除します。使っていない端末をまとめて外すすべての非アクティブをリンク解除するもあります。認証を取り消された端末のアプリは、次にサインインしようとした時点でデバイスキーを削除します。
紐づけを失いやすい環境
次の環境では、デバイスキーが知らないうちに消え、確認コードを出せる端末がなくなることがあります。
| 環境 | 起きること | 手当て |
|---|---|---|
| ブラウザーを閉じると閲覧データを消すポリシー | 紐づけたブラウザーの情報が毎回消える | サインインアドレスをポリシーの対象外にする。デスクトップのアプリも紐づける |
| 仮想デスクトップ | セッションごとにブラウザーの保存領域が消える | ブラウザーのプロファイルの保存先を永続化する。仮想デスクトップの利用者は、切り替える前からSSOの対象外のグループに入れておく |
| モバイルのブラウザー | その端末だけでは承認できない | 別の端末の1Passwordアプリで承認する |
全社でSSOを使う必要があり、仮想デスクトップの利用者も対象にする場合は、モバイルの端末にも1Passwordを入れて2台目として紐づけておきます。ブラウザー拡張機能のデバイスキーが消えても、モバイルのアプリで確認コードを出して紐づけ直せます。仮想デスクトップへの配り方はVDI環境でのデプロイで扱います。
紐づけた端末を全て失ったとき
紐づけた端末が1台もなくなると、本人ではアカウントに戻れません。唯一の紐づけた端末でサインアウトした場合も同じです。管理者の復旧が必要になり、復旧に使ったブラウザーが新しい最初の紐づけた端末になります。手順は復旧の実行手順で扱います。
【運用のポイント】 切り替えの案内に、パソコンとスマートフォンの両方を紐づけるところまでを含めてください。2台あれば、どちらかを失っても残りの1台で紐づけ直せます。問い合わせを受けたときは、まず紐づけた端末が何台あるかを聞くと切り分けが早くなります。