Unlock with SSOは、IDプロバイダーとの接続を保存しただけでは誰にも効きません。対象にする人を選んだ時点で、切り替えの期限が動き始めます。準備が足りないまま広い範囲を対象にすると、アカウントパスワードを覚えていない人の復旧依頼が一度に集まります。また、いったん対象にした人を外すと、その人は復旧の手続きを経ないと使えません。このページでは、始める前に解消する条件、対象範囲の選び方、自動プロビジョニングとの組み合わせ、猶予期間、段階の刻み方、生体認証とオフラインの期間、対象から外すときの扱いを説明します。導入するかどうかはUnlock with SSOを使うかどうかの判断で決めてある前提です。
始める前に解消する条件
次の条件は、対象を決める前に片付けておきます。残したまま始めると、切り替えの段階で止まる人が出ます。
| 条件 | 起きること | 事前の手当て |
|---|---|---|
| アカウントパスワードかSecret Keyが分からない人がいる | 切り替えの最初に両方を求められ、先に進めない | Emergency Kitの所在を確かめる。見つからない人は切り替え前に復旧する |
| Emergency Kitを配らない設定にしている | 上の該当者が大量に出やすい | 対象にする前に、各自が別の端末でサインインできるかを確かめる |
| ブラウザーを閉じると閲覧データを消すポリシーがある | 紐づけたブラウザーの情報が消え、毎回サインインし直しになる | サインインアドレスをポリシーの対象外にする |
| 1Password 7を使っている人がいる | 対象にするとデータが同期しなくなる | 1Password 8へ更新してから対象にする |
| 仮想デスクトップで使う人がいる | セッションごとにデバイスキーを失いやすい | 最初から対象外のグループに入れておく |
切り替えの作業は、プライベートブラウズでは行わないよう社員に伝えます。一時的にアカウントに入れなくなり、復旧が必要になることがあります。
対象範囲の選び方
IDプロバイダーとの接続を保存すると、対象者を決める設定の画面に移ります。既定では誰も対象になっていません。選べる範囲は次の5つです。
| 範囲 | 既存のメンバー | 新しく参加する人 | 向いている場面 |
|---|---|---|---|
| 誰も対象にしない | 切り替えない | アカウントパスワードで参加 | 接続だけ済ませておく。SSOを止めるときもこれを選ぶ |
| 選んだグループだけ | そのグループの人だけ切り替える | 参加時に選んだグループにいればSSO | 試験運用と段階的なロールアウト |
| 除外したグループ以外の全員 | 除外グループ以外が切り替える | 除外グループ以外はSSO | 例外の部署や仮想デスクトップの利用者がいる場合 |
| ゲスト以外の全員 | ゲスト以外が切り替える | ゲスト以外はSSO | 社外のゲストがいる組織の最終形 |
| ゲストを含む全員 | 全員が切り替える | 全員SSO | ゲストも自社のIDプロバイダーにいる場合 |
どの範囲でも所有者は対象になりません。社外のゲストは自社のIDプロバイダーにいないのが普通なので、最終形はゲストを除く形になります。試験運用のために作ったグループは、全社に広げた後で整理して構いません。
自動プロビジョニングと組み合わせるとき
範囲の選び方によって、新しく参加する人の扱いが自動プロビジョニングに左右されます。
選んだグループだけを対象にした場合、新しい人をSSOで参加させるには、参加する前にそのグループに入っている必要があります。これは自動プロビジョニングでしか実現できません。所属の変更がアカウントの有効化と同時に起きることもできないので、IDプロバイダー側で先にグループへ入れる運用にします。
除外したグループ以外の全員を対象にした場合、新しい人は原則SSOで参加します。例外にしたい人は、参加する前に自動プロビジョニングで除外グループに入れておきます。
同じIDプロバイダーでプロビジョニングとSSOを使うときは、両方のアプリでメールアドレスの属性をそろえてください。プロビジョニングで送るアドレスと、OIDCで返すアドレスが違うと、SSOでサインインできません。
猶予期間の決め方
既存のメンバーには、切り替えを終えるまでの猶予期間を設けます。既定は5日で、1〜30日の範囲で決められます。
猶予期間は、グループを対象に加えた時点で数え始めます。全員を対象にする範囲を選んだ場合も同じです。複数のグループに属する人は、最初にSSOの対象になったグループの期間が適用されます。期間の長さを後から変えても、起点は最初に対象にした日のまま動きません。
期間を過ぎても、アカウントが消えるわけではありません。まだ切り替えていない人は、次にサインインしたときに切り替えの手順へ案内され、IDプロバイダーでサインインすれば使えるようになります。期間は、社員への案内を出してから1週間程度を目安にし、長期休暇の人は個別に声をかける運用が現実的です。
段階の刻み方
一度に全社を対象にせず、4つの段階に分けます。
試験
情報システム部門の数人で接続を試します。ヘルプデスクの担当者が、切り替えの画面と新しい端末の紐づけを自分で経験しておくことが目的です。
限定ロールアウト
1〜2のグループで始めます。情報システム部門や開発部門など、問い合わせを自己解決しやすい人が向いています。このためのカスタムグループを作っても構いません。
様子見
対象にしたグループで1〜2週間使ってもらい、意見を集めます。条件付きアクセスポリシーなど、IDプロバイダー側の設定もこの段階で調整します。
拡大
残りのグループを少しずつ加えます。ヘルプデスクが問い合わせに追い付ける速さで進めます。
生体認証とオフラインの期間
同じ設定の画面で、生体認証でのロック解除を許可するかどうかと、IDプロバイダーでのサインインを改めて求めるまでの日数か週数を決めます。許可すると、その期間内はオフラインでも開けます。値はアカウント全体に一律で効きます。電波の届かない現場で使う人がいる場合は、その人たちの業務で最も長くオフラインになる期間を基準に決めます。
対象から外すときの扱い
SSOの対象から外れた人は、アカウントパスワードでのサインインに自動では戻りません。復旧の手続きに入り、本人がアカウントパスワードを作ってEmergency Kitを保存した後、管理者が復旧を完了させます。
【注意】 IDプロバイダーの障害時に、所有者が範囲を誰も対象にしない設定に戻せば全員がアカウントパスワードで入れる、とは考えないでください。範囲から外した全員が復旧の手続きに入ります。障害への備えは、生体認証によるオフラインの期間と、アカウントパスワードで入れる所有者の2つで組み立てます。