保管庫へのアクセスは、保管庫ごとに人かグループを指定し、13のパーミッションの組み合わせで与えます。仕組みそのものは単純です。ただし、個人とグループの両方から与えたときの効き方、保管庫を管理するパーミッションと中身を見るパーミッションの関係、保管庫を作った人に付くパーミッションの3点は、設計を誤りやすいところです。どれも、外したつもりのアクセスが残る、管理できるはずの保管庫に手が出せない、という形で後から表に出ます。このページでは、アクセスの与え方、13のパーミッションの中身、重なったときの効き方、既定値と作成者の扱い、アプリごとの制限を説明します。各パーミッションがどの仕組みで守られているかは権限が強制される仕組みで扱います。
保管庫ごとに人とグループを指定する
サイドバーの保管庫から対象の保管庫を開くと、保管庫アクセスのセクションに人とグループのタブが並びます。管理から相手を選んで保存すると、その保管庫へのアクセスが与えられます。一覧には相手ごとのパーミッションが要約して表示され、全てが付いている相手にはフルアクセスと出ます。
相手は原則としてグループにします。人に直接与えると、異動や退職のたびに保管庫を1つずつ触ることになります。グループの作り方はカスタムグループの設計で扱います。
招待中の人には、招待を受けて確認が済むまで中身が届きません。ゲストは1つの保管庫にしかアクセスできません。ゲストの扱いはゲストアカウントの扱いで扱います。
13のパーミッション
相手ごとのメニューには、13のパーミッションが3つのまとまりで並びます。
| まとまり | パーミッション | できること |
|---|---|---|
パーミッション | アイテムを表示 | 保管庫の中身を読む |
アイテムの作成 | アイテムを追加する | |
アイテムを編集 | アイテムを変更する | |
アイテムをアーカイブする | アイテムをアーカイブに移す | |
アイテムを削除 | アイテムを削除する | |
クライアント設定 | パスワードを表示してコピー | 伏せ字のパスワードを表示し、クリップボードにコピーする |
アイテム履歴を表示 | 過去の版を見て、元に戻す | |
アイテムのインポート | 他の保管庫からアイテムを移動またはコピーして入れる | |
アイテムのエクスポート | 暗号化されていないファイルに書き出す | |
アイテムをコピーして共有 | 他の保管庫へコピーする。1Passwordの外へ共有する | |
アイテムを移動 | 他の保管庫へ移す | |
アイテムの印刷 | アイテムの中身を印刷する | |
| まとまりの外 | 保管庫の管理 | アクセスの付与と取り消し、他の人のパーミッションの変更、保管庫の削除 |
クライアント設定という名前は、弱いパーミッションの集まりを意味しません。どのまとまりにあるかと、どれだけ強く守られるかは別の話です。
管理のパーミッションは閲覧を含まない
保管庫の管理で操作できるのは、アクセス、パーミッション、保管庫の削除だけです。アイテムを見る、作る、編集するパーミッションは含まれません。中身も扱う相手には、別に付ける必要があります。
これを使うと、部門の責任者に保管庫の管理だけを渡し、中身は担当者だけが扱う形が組めます。逆に、保管庫の管理を持つ人は、中身を見られなくてもアクセスの一覧を自由に書き換えられます。付ける相手は、見せる相手より慎重に選んでください。
【注意】
保管庫の管理には保管庫の削除が含まれます。共有保管庫を削除すると、共有していた全員の端末からも消えます。部門の責任者に管理を任せる場合は、削除の前に情報システム部門へ連絡する運用を決めておいてください。
重なったときは強い方が効く
同じ人に、個人とグループの両方からパーミッションが与えられていると、強い方が効きます。経理グループの一員としてアイテムを表示だけを持つ人に、一時的な作業のため個人でアイテムの作成を与えると、その人は作成までできます。
裏返すと、グループで広く与えている相手を、個人の設定で絞ることはできません。保管庫から個人を外しても、その人が入っているグループに保管庫が渡っていれば、アクセスは残ります。異動や退職で外したはずの人がまだ見えている場合は、まずグループ経由のアクセスを疑ってください。点検の手順は異動時の手順で扱います。
個人への直接の付与は一時的な作業に限り、外す日を決めてから与える運用にします。
既定値と保管庫を作った人
共有するときに最初から選ばれているパーミッションは、ポリシーの共有と許可にある保管庫許可で決まります。コアアクセス権とセカンダリ許可の2つに分かれて並びます。既定を広くすると共有のたびに外す手間が生じ、外し忘れが起きます。既定は狭くしておき、必要な保管庫で足す方が安全です。
保管庫を作った人には、その保管庫の保管庫の管理が付きます。チームメンバーは既定で保管庫の作成を持っているので、誰が作ってもこの状態になります。1Password.comで作る画面には保管庫を管理するグループの欄があり、所有者は外せませんが、管理者は外せます。管理者を外して作られた保管庫は、作った人と所有者だけが管理できる保管庫になります。
情報システム部門の担当者が管理者グループにいても、この保管庫のアクセスは変えられません。利用者が自由に保管庫を作れる状態のまま運用を始めると、管理の手が届かない保管庫が残ります。誰に保管庫を作らせるかは組み込みグループの役割で扱います。
アプリごとにアクセスを絞る
保管庫のアプリアクセスのタブでは、その保管庫を開けるアプリを選べます。対象は1Password.com、Mac、Windows、iOS、Linux、Androidの各アプリ、ブラウザー拡張機能、コマンドラインツールです。
端末にデータを残したくない保管庫は、1Password.comだけに絞ります。アプリが端末に中身を保存しなくなります。ブラウザー拡張機能を外すと、その保管庫のアイテムは自動入力に使えなくなる点に注意してください。
同じ画面で、トラベルモードの間も端末に残す保管庫の指定と、サービスアカウントからのアクセスの可否も切り替えます。前者はトラベルモードの運用で、後者は開発者向け機能の位置付けで扱います。
