1Passwordでアクセスを与える単位は保管庫です。同じ保管庫に入っているアイテムには、その保管庫を開ける人が全員同じ条件で届きます。どう分けるかが、そのまま誰に何が見えるかを決めます。後から分け直すと、移動元に削除済みのアイテムが残り、自動化の接続も作り直しになることがあるため、最初の切り方が長く効きます。このページでは、保管庫を切る前提、6つの軸と重ね方、用途を限った保管庫、名前と説明の付け方、作る人の決め方を説明します。規模ごとの組み合わせは規模別の構成例、失敗の型は避けるべき設計で扱います。
保管庫はアクセスの境界として切る
パーミッションは、保管庫ごとに人とグループへ与えます。保管庫の中でアイテムごとに見せる相手を変える設定はありません。従って、切り方の基準は1つです。見せる相手と扱い方が同じものを1つの保管庫にまとめ、違うものは分けます。
読み取りを与えた時点で、中身は相手の端末に届きます。見せてはいけない人がいるものを、同じ保管庫の中でパーミッションを絞って守ることはできません。理由は権限が強制される仕組みで扱います。
逆に、見せる相手が同じなら分けないでください。保管庫が増えるほど、棚卸しで確かめる組み合わせが増えます。アプリのコレクションは利用者が自分で作る表示のまとまりで、アクセスの境界にはなりません。
切り方の6つの軸
| 軸 | 例 | 向いている中身 | 気を付けること |
|---|---|---|---|
| 部門 | 経理、人事、営業 | 部門の業務で使うクレデンシャル | 部門をまたいで使うものの置き場を別に決める |
| 拠点 | 本社、大阪、工場 | 拠点の設備、来客用のネットワーク | 拠点の統廃合で作り直しになる |
| システム | 本番環境、ネットワーク機器、SaaSの管理者アカウント | 管理用のクレデンシャル | 触れる人を最小限にする |
| 機密度 | 役員、給与、経営企画 | 見せる相手を特に絞るもの | 所有者からは隠せない |
| 外部の相手 | 委託先、取引先 | 相手と共有するもの | 契約の終了で保管庫ごと閉じられる |
| プロジェクト | 期間のある取り組み | 期間中だけ使うもの | 終了時の扱いを作るときに決める |
軸を重ねる順序
1つの軸だけで切れる組織はほとんどありません。次の順で重ねると、保管庫とグループの対応が崩れにくくなります。
- 使う人の単位で切ります。多くは部門か拠点です。保管庫を渡すグループと1対1に対応させると、入社と異動がグループの付け替えだけで済みます。
- その中で、見せる相手が一部の人に限られるものを別の保管庫に出します。経理の中の銀行の管理用アカウントなどです。
- 外部の相手と共有するものは、相手ごとに分けます。ゲストは1つの保管庫にしかアクセスできないため、ゲストに渡す保管庫は相手ごとに1つになります。
- システムとプロジェクトの保管庫は、部門の保管庫と混ぜずに独立させます。担当する人が部門をまたぐためです。
グループの作り方はカスタムグループの設計で扱います。
用途を限った保管庫
軸とは別に、目的が決まった保管庫がいくつか要ります。
全員向けの保管庫
アカウントには、全員で使うものを入れる共有保管庫が最初から用意されています。入れるのは、来客用のネットワークや全社共通のソフトウェアのライセンスのように、全員に見えて困らないものだけです。サービスアカウントはこの保管庫を読めないので、自動化で使う値も置きません。
統合と自動化の保管庫
統合のトークンは、管理者だけがアクセスできる共有保管庫に置きます。自動化から読ませる値は、用途ごとの専用の保管庫にまとめます。サービスアカウントが読める保管庫は作成時に決まり、後から足せません。値が散っていると、足すたびにサービスアカウントを作り直すことになります。サービスアカウントに保管庫を渡せるのは、その保管庫の保管庫の管理を持つ人だけです。
出張に持ち出す保管庫
トラベルモードで端末に残す保管庫は、出張用に1つ作り、その出張で使うものだけを集めます。既存の業務用保管庫を持ち出し可にすると、機能の意味が薄れます。運用はトラベルモードの運用で扱います。
引き継ぎのための保管庫
退職や異動のときに従業員保管庫から業務のアイテムを受け取る保管庫を、1つ用意しておきます。引き継ぐ担当者と情報システム部門だけがアクセスできる形にし、中身を確かめてから配り直します。手順は退職時の手順で扱います。
名前と説明を決める
名前は、一覧で並べたときに軸が読み取れる形にします。「経理・共通」「経理・銀行」「拠点・大阪」「委託・A社」のように先頭に軸を置くと、似た保管庫が並んで表示されます。人の名前は入れません。異動した時点で意味がずれます。
説明には、入れるものの範囲、管理の責任者、見直しの時期を書きます。プロジェクトの保管庫なら終了日も書きます。名前と説明は、保管庫を開いて詳細を編集から後で変えられます。説明は保管庫にアクセスできる人全員に見えるので、クレデンシャルそのものは書かないでください。
アイテムの名前の付け方はアイテムの設計と命名規則で扱います。
作る人と作り方を決める
既定ではチームメンバーが保管庫の作成を持っていて、誰でも共有保管庫を作れます。作った人にはその保管庫の保管庫の管理が付きます。命名の規則を決めたら、チームメンバーから保管庫の作成を外し、部門の責任者を集めたグループに付けてください。規則を伝えてから渡す順序にします。
1Password.comの作成画面には、保管庫を管理するグループの欄があります。管理者のチェックを外して作ると、情報システム部門からはその保管庫を管理できなくなります。作った直後は、所有者と管理者が管理のパーミッションだけを持つ形で入ります。中身を扱うグループには、アイテムのパーミッションを別に与えます。詳しくは保管庫の権限モデルで扱います。
同じ画面には、候補から選んで作るタブもあります。候補を選ぶと、名前を決める手順を経ずにその場で保管庫が作られます。命名の規則を決めている組織では、自分で名前を付けるタブから作ってください。