1Passwordのアカウントは、人、グループ、保管庫、ポリシーをまとめる単位です。1社で1つのアカウントを使うのが基本ですが、グループ会社を抱える組織では、全社を1つのアカウントに収めるか、親アカウントの下に会社ごとの子アカウントを並べるかを選ぶことになります。後から構成を変えると、人の移行、保管庫のコピー、IDプロバイダーとの統合のやり直しが伴います。管理の力がどこまで届くかも構成によって変わるため、導入の最初に決めてください。このページでは、4つの構成、1つに収める場合と親子にする場合の条件、選ぶ基準、後から変えるときの手順を説明します。MSPとして顧客企業を管理する場合はMSPアカウントと管理対象企業の構成で扱います。
4つの構成
| 構成 | 形 | 向いている組織 |
|---|---|---|
| 単独のアカウント | 1社で1つのアカウントを使う | 1社で完結している |
| 1つのアカウントにグループ会社を収める | 会社ごとに保管庫とグループを分ける | 親会社の情報システム部門が全社を一括で管理している |
| 親子の構成 | 親アカウントが会社ごとの子アカウントを管理する | 会社ごとに管理者、IDプロバイダー、ポリシーを分けたい |
| MSPアカウント | サービス提供者が顧客企業のアカウントを管理する | 顧客に1Passwordを提供する事業者 |
グループ内の情報システム会社が各社を管理する形は、顧客に提供する事業とは性格が違います。まず親子の構成で検討してください。
1つのアカウントに収める場合
管理の単位がアカウント全体になる点を前提にします。カスタムグループに付ける管理パーミッションは、会社ごとに範囲を絞れません。A社の担当者に人を招待/削除を渡すと、B社の人も削除できます。会社ごとに分けられるのは、保管庫ごとに与える保管庫の管理までです。
ポリシーも、多くはアカウント全体にかかります。Unlock with SSOに設定できるIDプロバイダーは1つだけです。会社ごとに別のMicrosoft Entra IDのテナントを使っている場合、全社をSSOにそろえることはできません。
それでも、情報システム部門が1つでIDプロバイダーも共通なら、この形が最も管理しやすくなります。保管庫とグループの名前の先頭に会社名を置き、一覧で会社ごとに並ぶようにしてください。切り方は保管庫の分割パターンで扱います。
親子の構成にする場合
親アカウントの下に、子アカウントを新しく作るか、既存のアカウントを紐づけます。子の数に上限はありません。親と子は同じリージョンに置く必要があり、紐づけられるのは親と同じリージョンのアカウントだけです。
親の管理者が持つ力
親の所有者と管理者は、既定で子アカウントの一覧、追加と切り離し、子へのサインインと管理ができます。子の中では、共有保管庫に自分のアクセスを与えて中身を見ることもできます。子アカウントには親アカウント管理者のグループができ、グループの詳細に所有者と親アカウント管理者の両方がこのアカウントを管理できます。と表示されます。子の中で親の管理者が行った操作は、誰が行ったかが記録されます。
親の管理者の力は全ての子に及ぶため、SSOを使う場合はIDプロバイダー側で守りを固めます。サインインの状態を保持しない、再認証を頻繁に求める、多要素認証を必須にする、の3点です。子を一覧で見るだけの担当者には、子へのサインインを外したカスタムグループを使います。
子アカウントごとに設定するもの
自動プロビジョニングは子ごとに設定し、親からは管理できません。子でUnlock with SSOを設定するには、親の管理者が自分を子にチームメンバーとして招待し、管理者に入る必要があります。子の中では、親の管理者は1Password CLI、サービスアカウント、Connectを使えません。子の利用者は通常通り使えるので、自動化は子の中の担当者が受け持ちます。復旧の体制、グループ、保管庫も子で作ります。
親から配れるもの
1つ目はポリシーテンプレートです。親で作った雛形を子に適用すると、その内容が子の既定値になります。ポリシーごとに子での上書きを許すかどうかを選べます。1つの子に適用できるテンプレートは1つです。
2つ目は保管庫のコピーです。親の共有保管庫を子に複製できますが、同期はされません。パスキー、SSOでサインインするログイン、管理対象のアプリ、関連アイテムのリンクはコピーに含まれません。コピーした後は、子でアクセスを与え直します。
構成を決める基準
次のどれかに当てはまる会社があれば、親子の構成を選びます。
- 会社ごとに別のIDプロバイダー、または別のテナントを使っている
- 会社ごとに管理者を置き、他社の人や保管庫に手が届かないようにしたい
- 売却や分社の可能性がある。子アカウントなら、切り離してそのまま独立させられる
どれにも当てはまらなければ、1つのアカウントに収めます。親子にすると、ポリシー、復旧、プロビジョニングを子の数だけ管理することになるためです。
子会社の側に、親の管理者から中身を見られる前提を説明できるかも確かめてください。人事や役員の情報を子会社の中だけで閉じたいという要望は、親子の構成でも満たせません。リージョンが違う会社は親子にできないため、先にリージョンをそろえるか、別の構成にします。
後から構成を変えるとき
既存のアカウントを親にするには、契約の窓口を通じて1Passwordに変換を依頼します。既存のアカウントを子として紐づける場合は、子になる側の所有者が手続きを進めます。紐づけの確認には、親アカウントのサインインアドレスを使います。
親から子へ人を移す手順は、次の通りです。
- 子に保管庫とグループを用意し、ポリシーテンプレートを適用します。SSOの強制は、移行が終わるまで待ちます。
- 移す人をまとめたグループを親に作り、移行の2週間前までに本人へ知らせます。
- 親から移行を実行します。グループを選んでも移るのは人だけで、グループは子で作り直します。
- 子にサインインし、移ってきた人を確認します。確認するまで、共有保管庫には届きません。
移った人は、親では移行済みの状態になり、サインインできなくなります。アカウントは自動では削除されません。
【注意】 子を切り離すと、その子は14日間の試用期間に入ります。期間中に
所有者が契約するか、別の親に紐づけないと使えなくなります。切り離す前に、子の中の所有者に子会社の人を1人以上入れておいてください。
MSPアカウントとの違い
MSPアカウントは、サービス提供者が顧客企業のアカウントを管理するための形です。紐づけの仕組みは親子の構成と共通ですが、技術者のロール、顧客ごとの契約とライセンス数の管理が加わります。グループ会社の管理には使いません。構成はMSPアカウントと管理対象企業の構成で扱います。