SaaS Managerは、組織で使われているSaaSとAIのツールを洗い出し、誰が使っているか、いくら払っているか、使われていないライセンスはどれかを1つの台帳にまとめる製品です。台帳をもとに、入社と退職に合わせたアカウントの付与と削除、定期的なアクセスの見直し、契約の更新の管理までを自動化できます。Enterprise Password Managerとは別に契約でき、管理画面も別です。このページでは、製品の位置付け、データを集める統合の種類、できること、2つのブラウザー拡張機能の違い、日本の組織で確かめること、Enterprise Password Managerとの関係を説明します。
製品の位置付け
SaaSは部署や個人が直接申し込めるため、情報システム部門が把握していない契約が増えがちです。退職した人のアカウントが残る、同じ用途のツールを複数の部署が別々に契約している、更新日を過ぎて自動で契約が延びている、といった問題はここから生まれます。
SaaS Managerは、こうした状態を「台帳がない」ことに起因する問題として扱います。IDプロバイダー、会計や経費のシステム、人事システム、個々のSaaSから情報を集めて突き合わせ、アプリごとに利用者、費用、ライセンス、利用状況を並べた台帳を作ります。台帳ができてから、アクセスの統制とコストの見直しに進む、という順序の製品です。
データを集める6種類の統合
台帳の精度は、どの情報源をつなぐかで決まります。統合は目的によって6種類に分かれます。
| 統合の種類 | 集める情報 | 主な用途 |
|---|---|---|
| IDプロバイダー | 人の一覧と、SSOでつながっているアプリ | 台帳の土台。最初につなぐ |
| 支出 | 会計や経費のシステムの取引 | 会社のカードや立替で払われているSaaSを見つける |
| 利用 | 個々のSaaSのアカウントとログインの記録 | 利用状況の把握とアカウントの付与、削除 |
| 契約 | 発注書の情報 | ライセンス数と更新日の管理 |
| 人事 | 入社日、退職日、所属 | 入退社の自動化と部署別の集計 |
| 端末 | PCの所在、使用年数、割り当て先 | 退職時の端末の回収 |
最初に決めておきたいのは、在籍状況の情報源です。入社日と退職日をどのシステムから取るかの設定で、既定では最初につないだIDプロバイダーになります。人事システムに退職日が先に入る組織では、人事システムに切り替えておかないと、退職の処理が遅れます。
できること
台帳ができた後に使う主な機能です。
発見と台帳
IDプロバイダー、支出、ブラウザー拡張機能から見つかったアプリを台帳に集め、業務用か私用か、管理の対象にするかを仕分けます。GoogleやMicrosoftのアカウントでサインインするアプリには、許可された範囲の広さから危険度が付きます。私用のアプリで危険度が高いものから確かめると、優先順位を付けやすくなります。
アクセスの統制と入退社
退職日を合図に、IDプロバイダーと各SaaSからアカウントを外すワークフローを組めます。削除の操作ができないSaaSは、アプリの担当者に作業を割り当てる形にできます。アクセスの見直しは、アプリごとの担当者に定期的に確認を依頼し、結果を監査の資料として出力できます。社員はアプリカタログから、承認済みのアプリへの利用を申請できます。
ライセンスとAIの利用料
既定では、90日間ログインのないアカウントを未使用として扱い、有償のライセンスを回収する候補にします。AIのツールは、トークンの消費と費用を部署や担当者ごとに集計し、予算を超えそうなときに通知できます。
2つのブラウザー拡張機能の違い
SaaS Managerは、ブラウザーでのログインを手掛かりにアプリを見つけます。手段は2つあり、集める範囲が違います。
| 観点 | SaaS Manager専用の拡張機能 | 1Passwordのブラウザー拡張機能 |
|---|---|---|
| 前提 | 単独で配布できる | Enterprise Password Managerとのアカウントのリンク |
| 報告する範囲 | ページのURL。設定によって検証していないドメインのログインや閲覧も | アプリのドメインとサインインの時刻だけ |
| 対象のアドレス | 設定による | 検証済みのドメインのアドレスでのサインインだけ |
両方を入れると、どちらが見つけたかは区別できません。Enterprise Password Managerを全社に配っている組織は、まず1Passwordの拡張機能での検出から始め、足りない部分だけ専用の拡張機能で補う形にすると、社員に入れる拡張機能が増えません。
【注意】 SaaS Manager専用の拡張機能は、ログインのボタンの操作、ログインの際に入力されたメールアドレス、多要素認証のコードが使われたかどうかを読み取ります。配布の前に、何を集めて何に使うのかを社員に説明してください。費用を適切に使うために利用中のソフトウェアを把握する、という目的を伝えると理解を得やすくなります。
日本の組織で確かめること
統合先の一覧には海外のSaaSが中心に並んでいます。国内のSaaSを多く使う組織は、契約の前に自社のSaaSの一覧と統合先を突き合わせてください。専用の統合がないSaaSは、ブラウザー拡張機能での検出、支出データ、CSVでのアカウントの取り込みで補うことになり、アカウントの自動の付与と削除は担当者への作業の割り当てに置き換わります。人事システムの統合がない場合は、IDプロバイダーに退職日を持たせて在籍状況の情報源にする方法があります。
ブラウザー拡張機能で社員を識別する方法の1つは、PCのサインイン名をメールアドレスの前半と突き合わせます。社員番号でPCにサインインする組織では一致しないため、ブラウザーへのサインインや、管理画面への直接のサインインで識別する方法を選ぶ必要があります。
SaaS Managerのデータは、米国とEUの2つの環境に置かれ、Enterprise Password Managerのリージョンとは別に決まります。詳しくはリージョンの選択とデータの保管場所で扱います。
Enterprise Password Managerとの関係
2つの製品は別々のアカウントとして始まり、リンクすると1Password.comの画面で製品を切り替えられるようになります。リンクすると、Enterprise Password Managerの管理者と所有者のメンバーがSaaS Managerでも管理者になり、ゲストは対象になりません。保管庫に保存されたログインを検出に使う機能や、個人が持つSaaSのアカウントの所有権を会社に移す機能もあります。接続の3つの方法と、それぞれで起きることはSaaS Managerとの統合で扱います。
