Device Trustは、社員の端末が組織の求める状態にあるかを確かめ、満たさない端末から業務のアプリへの入口を閉じる製品です。端末に入れたエージェントが定期的にチェックを走らせ、問題があれば社員自身に直し方を示します。IDプロバイダーのサインインの流れに組み込む使い方と、1Passwordのブラウザー拡張機能を入口にする使い方があります。このページでは、製品が確かめるもの、チェックと是正の流れ、端末の登録、社員から見えるもの、止まったときの備え、本ガイドでの扱いを説明します。
何を確かめる製品か
MDMは会社が管理する端末に設定を配る仕組みですが、Device Trustはサインインの時点で端末の状態を確かめる仕組みです。私物の端末や、MDMに入っていない端末も対象にできます。
確かめる中身はチェックとして定義します。OSの更新、ブラウザーのバージョン、ディスクの暗号化、MDMへの登録のような基本的なものから、端末に暗号化されていないSSHキーや機密のファイルが残っていないか、といったものまで既製のチェックが用意されています。osqueryのSQLで独自のチェックも書けます。チェックは定期的に走るほか、サインインの時点でも評価されます。
エージェントが対応するのはmacOS 11以降、Windows 10以降、DebianとRPMの系統のLinuxです。iOSとAndroidは専用のモバイルアプリで登録します。
.envファイルとSSHキーを集計する（画像は英語表示）管理は1Password.comから開くDevice Trustの管理コンソールで行い、Enterprise Password Managerとは画面も管理者も別です。CoreとConnectの2つの版の違いはDevice Trustと組み合わせると何ができるかで扱います。
チェックと是正の流れ
チェックに通らない端末が見つかると、その端末に問題が記録され、設定した是正の方式に従って社員に知らされます。運用で決めることは3つあります。
チェックを選ぶ
新しく加えたチェックは、結果を記録するだけの状態で始まります。いきなり遮断にせず、まず全社の端末がどれだけ通るかを見てから方式を決められます。Enterprise Password Managerも使っている組織では、1Passwordのグループを対象にしてチェックを当てる範囲を絞れます。
是正の方式を決める
記録だけ、通知だけ、猶予の日数を置いてから遮断、すぐに遮断、から選びます。社員が自分で直せるチェックは猶予つきの遮断、直すのに管理者の作業が要るチェックは通知だけ、という分け方が始めやすい形です。
例外を扱う
社員が自分では直せない問題は、管理者に例外を申請できます。承認された問題は遮断の判定から外れます。単に直す時間が欲しいだけなら、社員は通知を先送りにできます。例外の申請は放置すると社員がサインインできないままになるため、誰がいつまでに判断するかを決めておきます。
端末の登録と2台目以降
1台目の端末は、IDプロバイダーでのサインインで本人を確かめるだけで登録できます。2台目以降は、登録済みの端末を持っていることを示すか、管理者の承認が要ります。
【注意】 PCの入れ替えの時期には、古い端末を先に手放した社員が新しい端末を自分で登録できず、管理者の承認を待つことになります。入れ替えの手順に「新しい端末の登録を済ませてから古い端末を返す」を入れておくと、窓口への依頼が集中しません。
PCのエージェントは、1台を1つの組織にしか登録できません。複数の取引先で作業する委託先やMSPの技術者が、自分のPCを取引先ごとのDevice Trustに登録することはできない前提で、作業用の端末の扱いを決めてください。仮想デスクトップでは、マスターのイメージにエージェントを入れたままにすると、新しい仮想マシンが別の端末として扱われず、既存の端末の重複になります。イメージの作り方はVDI環境でのデプロイの考え方と合わせて、パイロットで確かめてください。
社員から見えるもの
社員は、自分の端末の状態と問題の直し方を、メニューバーのアイコンとブラウザーの画面で確かめます。加えて、プライバシーの画面で、誰が自分の端末の情報を見られるか、どんな情報が集められるか、どのチェックが有効か、最近どのような照会が行われたかを確かめられます。
管理者が特定の端末に照会をかけると、その内容と結果は本人の画面に記録されます。端末を見る仕組みは、社内で説明をしないまま入れると反発を招きやすい領域です。この画面を周知の材料に使い、何を見て何を見ないかを導入の前に説明してください。
止まったときの備え
IDプロバイダーのサインインの流れにDevice Trustを組み込むと、Device Trustが応答しない間は、その流れを通るサインインが成功しません。端末の状態の報告だけが滞った場合も、正しい状態の端末が止められることがあります。
備えは2段階で用意します。報告が滞ったときは、遮断にしているチェックを記録だけの方式へ一時的に切り替えます。元に戻せるよう、本来の方式をタグなどで残しておきます。Device Trust自体が止まったときは、IDプロバイダーの側にDevice Trustを求めない緊急用のルールを無効の状態で作っておき、障害時に有効にします。
【運用のポイント】 緊急用のルールを有効にする管理者が、Device Trustを通らずにIDプロバイダーの管理画面へ入れることを確かめておいてください。緊急用の管理者のアカウントをEnterprise Password Managerの共有保管庫で管理し、ワンタイムパスワードも同じアイテムに入れておくと、誰が開いたかを使用状況レポートで追えます。
本ガイドでの扱い
Device Trustの設定の手順は、このガイドでは扱いません。Enterprise Password Managerの拡張機能を入口にする使い方と、1Password自体を守る使い方はDevice Trustと組み合わせると何ができるかで、通信先はネットワーク要件とプロキシー環境で扱います。