1Passwordのアプリ、ブラウザー拡張機能、ウェブの管理コンソールは、443番ポートでインターネット上の決まったドメインに接続します。ファイアウォールやプロキシーで外向きの通信を絞っている組織では、導入の前にこれらを許可リストに入れる必要があります。1行でも漏れると、同期は動くのにアイコンが出ない、更新だけが止まる、といった気付きにくい症状になります。このページでは、許可リストに入れる通信先、用途別の通信先、SaaS ManagerとDevice Trustの通信先、プロキシーの環境での設定、TLSの検査、プロキシーのログに残るもの、つながらないときの切り分けを説明します。
許可リストに入れる通信先
使うポートは443番だけです。自社のリージョンの列にあるドメインを全て許可します。
| 1Password.com（米国） | 1Password.eu（EU） | 1Password.ca（カナダ） |
|---|---|---|
*.1password.com | *.1password.eu | *.1password.ca |
*.1passwordservices.com | *.1password.com | *.1password.com |
*.1passwordusercontent.com | *.1passwordservices.com | *.1passwordservices.com |
*.1passwordusercontent.eu | *.1passwordusercontent.ca |
どのドメインにも、用途ごとに複数のサブドメインがあります。サブドメインを1つずつ列挙するのではなく、ワイルドカードかドメイン単位で許可できる機器で設定してください。
【注意】 EUとカナダのアカウントでも、
*.1password.comと*.1passwordservices.comは必要です。自社のリージョンのドメインだけでは足りません。この通信があるからといって、データが米国に置かれるわけではありません。保管場所の考え方はリージョンの選択とデータの保管場所で扱います。
用途別の通信先
上の表のドメインが何に使われるか、また表に入っていない通信先を、用途ごとにまとめます。
中核のサービス
| 通信先 | 用途 |
|---|---|
*.1password.com、*.1password.ca、*.1password.eu | サービス本体 |
*.1passwordservices.com | 補助のサービス。Duoとの統合、テレメトリー、契約の管理など |
*.1passwordusercontent.com、.ca、.eu | 保存したファイルとプロフィールの画像 |
*.1infra.net | 1Passwordのネットワークの中での基盤の識別 |
更新とアイコン
| 通信先 | 用途 |
|---|---|
*.1password.com、app-updates.agilebits.com、app-updates.us.svc.1infra.net | アプリの更新 |
cache.agilebits.com、c.1password.com | ログインとソフトウェアライセンスのアイテムのアイコン。アプリの版によって使い分ける |
globalsign.com | Windowsでのコード署名の有効期限の確認 |
更新の宛先がふさがれていても、アプリはそのまま動くため、誰も気付きません。アプリのバージョンを強制するポリシーを使っている組織では、古い版のまま基準を下回り、ある日サインインできなくなるおそれがあります。ポリシーはアプリのバージョンの強制で扱います。
特定の機能だけが使うもの
| 通信先 | 用途 |
|---|---|
api.pwnedpasswords.com | Watchtowerの漏洩したパスワードの照会 |
lastpass.comなど | LastPassからの取り込み。移行の期間だけ必要で、LastPass側の要件にも従う |
SaaS ManagerとDevice Trustの通信先
2つの製品は、Enterprise Password Managerとは別のドメインを使います。
Device Trustのエージェントは、443番ポートでk2device.kolide.com、k2control.kolide.com、tuf.kolide.com、ingest.kolide.com、notary.kolide.co、dl.kolide.coの6つに接続します。macOSでは、これに加えてAppleのサーバーへのパッケージの署名の確認が走ります。
この一覧は2023年11月の時点のものです。導入の前に、正規販売代理店（デジタルアクセルズ）を通じて最新の一覧を確かめてください。Chromeの新しい版では、認証の画面から端末のエージェントへの接続に、ローカルネットワークへのアクセスの許可が要ります。MDMで配るChromeのポリシーLocalNetworkAccessAllowedForUrlsに、https://auth.kolide.comを入れておきます。
SaaS Managerは、米国の環境がtrelica.app、EUの環境がtrelica.euです。SaaS Managerと統合するSaaSの側で、APIを接続元のIPアドレスで制限している場合は、SaaS Managerの送信元のアドレスを許可する必要があります。アドレスは環境ごとに決まっており、過去に基盤の移転で変わったことがあります。製品の全体像はSaaS Managerの概要とDevice Trustの概要で扱います。
プロキシーの環境で設定すること
Windowsのアプリには、ネットワークの設定を自動で検出してプロキシーを使う設定があります。プロキシーを通さず直接つなぐ必要がある環境では、アプリの設定の詳細の項目にある、ネットワークの設定を自動で検出する選択肢をオフにします。
社員の端末にまとめて設定するときは、MDMのキーproxy.autoDetectNetworkSettingsを使います。このキーでオフにすると、アプリは直接の接続に固定されます。MDMでの配り方はMDMによる設定の配布で扱います。
TLSの検査を行っている場合
プロキシーでTLSの通信を復号して検査している組織でも、1Passwordの通信の中身は読めません。アイテムは端末の中で暗号化されたまま送られます。サインインはSRPという方式でパスワードを送らずに行われ、その後の通信は、SRPで合意した鍵でもう一段暗号化されます。仕組みは認証と鍵の設計で扱います。
つまり、検査しても得られるものはほとんどありません。一方で、通信の途中に機器が入る分、つながらないときの切り分けが難しくなります。1Passwordの通信先は、検査の対象から外すことを勧めます。外さない場合は、試験用の端末でサインイン、同期、ファイルの保存、アプリの更新まで確かめてから、社員に広げてください。
【運用のポイント】 検査から外す一覧は、許可リストと同じドメインで作れます。2つの一覧を別々に管理すると、リージョンを追加したときなどに片方だけ直し忘れます。1つの一覧を両方の設定に使ってください。
プロキシーのログに残るもの
アプリは、ログインなどのアイテムに表示するアイコンを自動で取得します。このとき、保存しているサイトのドメインがキャッシュサーバーに問い合わせられ、アイコンのファイル名も暗号化されていません。キャッシュサーバーには、接続元のIPアドレス、問い合わせたドメイン、ブラウザーやアプリの識別の情報が届きます。
【注意】 通信の宛先を記録するプロキシーでは、このアイコンの取得がログに残ります。ログを読める人には、社員がどのサイトのアカウントを1Passwordに保存しているかが分かります。ログの保管期間と閲覧できる人を決めておくか、アイコンの取得そのものを止めてください。
アイコンの取得は、MDMのキーprivacy.downloadRichIconsでまとめて止められます。社員が自分で止めるときは、アプリの設定のプライバシーの項目から切り替えます。
漏洩したパスワードの照会は、MDMのキーprivacy.checkHibpで止められます。ただし、この照会で外に出るのはパスワードのハッシュの先頭5文字だけです。止めると弱いパスワードの検出も失うため、止めずに残すことを勧めます。
つながらないときの切り分け
社内のネットワークが原因かどうかを、次の順で切り分けます。
- スマートフォンのテザリングなど、社内のネットワークを通らない回線で同じ操作を試します。つながれば、社内のネットワークに原因があります。
- 許可リストを、自社のリージョンの列と照らし合わせます。EUやカナダのアカウントで
*.1password.comが抜けていないかを特に確かめます。 - プロキシーやファイアウォールのログで、遮断された宛先がないかを見ます。
- ウェブの管理コンソールで起きている場合は、VPN、ウイルス対策のソフトウェア、広告を止める拡張機能を順に止めて試します。
- TLSの検査をしている場合は、1Passwordの通信先を検査から外して試します。
【注意】 社内のファイアウォールとは別に、1Password自身にもサインインを場所で制限するファイアウォールのルールがあります。特定の拠点や回線からだけサインインできない場合は、こちらのルールで止められていないかも確かめてください。設定はファイアウォールルールによる制限で扱います。