1Passwordがいつロックされ、どの方法でロックを解除できるかは、既定では社員が端末ごとに決めます。設定は端末の間で同期されないため、同じ社員でもパソコンとスマートフォンで守りの強さが違うことがあります。組織として線を引くには、ロックのポリシーを使います。社員に選ばせるプリセットを用意する方法と、特定の設定を固定する方法の2段構えです。固定しすぎると生体認証が使えなくなり、開発者の道具が使われなくなるなど、逆効果もあります。このページでは、2つの仕組み、固定できる設定、設定の手順、効かないときに確かめること、どこまで固定するかの目安を説明します。
プリセットと固定の2段構え
設定は、認証ポリシーのロック解除と自動ロックの欄にあります。
1つ目はチームメンバーのセキュリティレビューを有効にするです。オンにすると、社員はアプリの設定から、あらかじめ用意された組み合わせを選べるようになります。アプリの画面ではアプリのロック解除プリセットと表示され、プリセットを選択から次の3つを選びます。
| プリセット | 動き |
|---|---|
高い利便性 | 端末のロックと解除に合わせて、1Passwordもロックされ、開く |
バランス | 1日に1回ロックを解除すれば、その後は端末のロック解除に合わせて開く |
厳格 | 使っていないときはロックされ、毎回ロックの解除が要る |
社員は変更のプレビューで中身を確かめてから設定をアップデートするを選びます。既存の設定を維持するを選べば今の設定のままです。プリセットは選ぶかどうかも社員に任せる仕組みで、強制ではありません。
2つ目は特定の設定を適用する。のボタンから開く画面です。ここで固定した設定は、社員が選んだプリセットより優先されます。社員は固定された設定を変えられず、固定しなかった設定だけを自分で調整できます。
固定できる設定
固定の画面は、Desktop、Mobile、1Password.com、Browser extensionの4つのタブに分かれています。設定の名前は英語で表示されます。どの設定も、最初はUser can customizeで、社員に任された状態です。
デスクトップアプリ
Mac、Windows、Linuxのアプリが対象です。ロック解除では、Unlock using biometrics、MacだけのUnlock desktop app with desktop system password、端末のロック解除に合わせて開くUnlock with device、アカウントパスワードを求める間隔のRequire account passwordを固定できます。自動ロックでは、Lock when device locks or sleepsとLock after device is idle forです。Linuxのアプリで固定が効くのは、自動ロックの設定だけです。
モバイルアプリ
iPhone、iPad、Androidのアプリが対象です。デスクトップとほぼ同じ構成ですが、Unlock mobile app with device passcodeで端末のパスコードでのロック解除を決め、自動ロックはLock when device locksとアプリを離れた後のAuto-lock on exitになります。
1Password.comとブラウザー拡張機能
1Password.comで固定できるのは、ブラウザーを操作しない時間でロックするLock after browser is idle forの1つだけです。ブラウザー拡張機能では、SafariだけのUnlock using Touch ID、Lock when device goes to sleep、Lock after system is idle forの3つです。拡張機能をデスクトップアプリと接続している場合は、拡張機能のタブではなくアプリの設定が効きます。
Require account passwordとSafariのUnlock using Touch IDは、Unlock with SSOでサインインする人には効きません。
設定する手順
- サイドバーの
ポリシーから、認証のカードのポリシーの管理を選びます。 ロック解除と自動ロックで、プリセットを使わせるならチームメンバーのセキュリティレビューを有効にするをオンにします。- 固定する場合は
特定の設定を適用する。を選びます。 - タブを選び、固定する設定の値を
User can customizeから変えます。 Doneを選んで元の画面に戻り、画面の下の保存を選びます。
Doneを選んだだけでは保存されません。必ず保存まで進めてください。固定をまとめて外すには、タブごとにあるRemove all desktop overridesのようなボタンを使います。
効かないときに確かめること
固定が効くのは、デスクトップアプリ、モバイルアプリ、ブラウザー拡張機能のどれもバージョン8.11.18以降です。古いアプリには反映されません。更新しても社員の画面に反映されない場合は、アプリをいったん終了してから開き直してもらいます。
MDMでもロックの設定を配っている場合は、このポリシーが優先されます。MDMの設定はMDMによる設定の配布で扱います。
Unlock with SSOを使っている組織では、先にシングルサインオンのポリシーで生体認証でのロック解除を許可しておく必要があります。許可していないと、ロック解除の方法を固定できません。
どこまで固定するか
固定すべきなのは、端末を離れたときに開いたままになる設定です。ロック解除の方法は、なるべく社員に任せます。
| 設定 | 推奨 | 理由 |
|---|---|---|
| 端末のロックやスリープでのロック | オンに固定 | 離席時に開いたままになるのを防ぐ |
| 操作しない時間でのロック | 短い時間に固定 | 画面をロックしない社員への備え |
| 生体認証でのロック解除 | 固定しない | 禁止すると入力が増え、開発者の道具も使われなくなる |
| 端末のロック解除に合わせて開く | 端末のパスワードの規程が弱ければオフに固定 | 1Passwordの守りが端末のパスワードと同じ強さになる |
| アカウントパスワードを求める間隔 | 固定しない | 短くしすぎると生体認証の利点がなくなる |
1Password.comのLock after browser is idle forは、管理者の作業にも効きます。管理コンソールを開いたまま席を離れる人がいる組織では、短めに固定してください。開発者の道具と生体認証の関係は開発者向け機能の位置付けで扱います。
【運用のポイント】 固定した設定は、社員のアプリでは変更できません。「設定が変えられない」という問い合わせに備えて、固定した設定と理由をヘルプデスクの手順書に載せておいてください。社員向けのロックの説明はロックの解除方法と生体認証で扱います。