2要素認証を有効にすると、新しい端末でサインインするときに、アカウントパスワードとSecret Keyに加えて第2の要素を求められます。組織としては、使える方式を決め、全員に強制するかどうかを決めます。強制には前提条件があり、段取りを誤ると設定できないまま止まります。また、第2要素を失った人の手当ては必ず発生します。その道筋を決めないまま強制すると、ヘルプデスクに問い合わせが集まります。このページでは、管理者が決められること、強制するための前提、使い始める順序、利用状況の確認、第2要素を失ったときの対応、社員への案内を説明します。DuoはSlackとDuoの統合で扱います。
管理者が決められること
設定は、サイドバーのポリシーから認証ポリシーの管理の画面を開いて行います。変えられるのは、所有者、管理者、設定の管理を持つグループのメンバーです。決めることは3つあります。
使える方式
1Passwordの2要素認証で使える方式は、Authenticator アプリとセキュリティーキーです。セキュリティーキーは、管理者が認めた場合にだけ社員が登録できます。どちらも、社員が自分で設定します。これとは別に、管理者が組織全体に設定するDuoもあります。Duoを有効にすると全員に強制され、既に設定していた2要素認証はDuoに置き換わります。1人が同時に使えるのは、どちらか一方だけです。
全員への強制
2要素認証を強制するをオンにすると、全員に設定を求めます。オフのままでは、設定するかどうかは本人に任されます。
無効化
組織として2要素認証を使わない設定もできます。無効にすると、Unlock with SSOを使わない人は、アカウントパスワードとSecret Keyだけで守られることになります。所有者は常にこの形でサインインするので、所有者の保護をどう補うかを決めてから判断してください。
強制するための前提
2要素認証を強制するをオンにするには、アカウントパスワードのポリシーを厳しい条件かカスタムポリシーにしておく必要があります。最小要件と中程度の要件のままでは選べません。先にパスワードのポリシーを変えてください。設定はアカウントパスワードポリシーで扱います。
【注意】 パスワードのポリシーは遡って効きません。ポリシーを厳しくしても、既に参加している人は、パスワードを変えるか復旧を受けるまで古いパスワードのままです。2要素認証を強制する条件を満たしても、組織の中の弱いパスワードがなくなるわけではありません。気になる場合は、パスワードの変更を別に呼びかけます。
強制すると、社員は参加するとき、新しい端末でサインインするとき、または次にロックを解除するときに、設定を求められます。
使い始める順序
設定を求める画面が一斉に出ると、その日の問い合わせが集中します。次の順で進めます。
- アカウントパスワードのポリシーを
厳しい条件かカスタムポリシーにします。 - 方式と、第2要素を失ったときの連絡先を社内に知らせます。
- 2〜3週間ほど、本人の判断で設定してもらう期間を置きます。
- 利用状況を確かめ、設定していない人に個別に声を掛けます。
2要素認証を強制するをオンにします。
方式は、役割で分けるのが扱いやすくなります。所有者と管理者は、セキュリティーキーと認証アプリの両方を登録します。一般の社員は認証アプリだけで足ります。セキュリティーキーを使うには、FIDO U2Fに対応したキーが要ります。対応していないブラウザーでサインインする場面に備えて、キーを使う人にも認証アプリを登録させてください。
利用状況を確かめる
レポートのチームレポートに、1人ずつ2要素認証を設定しているかどうかが出ます。強制の前には未設定の人を探すために、強制の後は例外が残っていないかを確かめるために使います。読み方は利用状況と定着のレポートで扱います。
第2要素を求められるのは、新しい端末でのサインインと再承認のときだけです。毎回のロック解除では求められません。次の操作をした後は、改めて求められます。
- その端末でサインアウトした
- メールアドレスかアカウントパスワードを変えた
- Secret Keyを再生成した、または復旧を受けた
第2要素を失ったとき
スマートフォンの機種変更や紛失で、認証アプリのコードが使えなくなる問い合わせは必ずきます。本人の状況で対応が分かれます。
| 本人の状況 | 対応 |
|---|---|
| セキュリティーキーを失ったが、認証アプリも登録している | キーを求められたところで取り消し、認証アプリのコードでサインインする |
| 承認済みの端末かブラウザーが1つ残っている | そこから2要素認証をオフにし、新しい端末で設定し直す |
| 承認済みの端末が1つも残っていない | 管理者が復旧する。復旧すると2要素認証もリセットされる |
2要素認証をオフにする操作は、承認済みのアプリか、1Password.comのアカウントを管理のその他のアクションから2要素認証の管理を開いて行います。強制している組織では、改めて設定を求められる前提で案内します。復旧の手順は復旧の実行手順で扱います。
社員への案内
社員には、次の3点を必ず伝えます。
- 設定は1Password.comの
アカウントを管理で、その他のアクションから2要素認証の管理を開いて行う - 1Passwordにサインインするためのコードを、1Password自身に保存しない。金庫の鍵を金庫の中にしまうのと同じで、1Passwordを開けないときにコードも取り出せなくなる。Microsoft AuthenticatorやOkta Verifyのような別の認証アプリを使う
- 認証アプリを設定するときにQRコードの横に表示される16文字のシークレットを書き写し、Emergency Kitと一緒に保管する。認証アプリを失ったときの予備になる
【運用のポイント】 認証アプリのコードが受け付けられない問い合わせの多くは、スマートフォンの日付と時刻のずれが原因です。ヘルプデスクで最初に確かめる点にしておくと、切り分けが早くなります。