製品の検討は、製品の一覧からではなく、組織が抱えている課題から始める方が失敗しません。製品の機能表を見比べると全部が必要に見えますが、実際にはEnterprise Password Managerだけで片付く課題も多く、既に使っている仕組みと重なる領域もあります。逆に、パスワードの管理を入れても解決しない課題を、別の製品で補う必要がある場合もあります。このページでは、課題から製品を引く表、Enterprise Password Managerだけで足りる課題、既存の仕組みと重なる領域の考え方、日本の組織に多い組み合わせ、検討の段階で確かめる制約を説明します。
課題から製品を引く
よくある課題と、受け持つ製品を並べます。複数の製品に印がある課題は、最初に入れる製品を左の列にしています。
| 課題 | 最初に入れる製品 | 組み合わせる製品 |
|---|---|---|
| 共有のパスワードを表計算の台帳やチャットで回している | Enterprise Password Manager | なし |
| SSOに入っていない業務のサイトが多い | Enterprise Password Manager | SaaS Manager（どのサイトがあるかを把握する） |
| 退職した人が業務のアカウントに入れるかもしれない | Enterprise Password Manager | SaaS Manager（SaaS側のアカウントの削除） |
| IT部門の知らないSaaSやAIのツールが使われている | SaaS Manager | Enterprise Password Manager（保管庫と拡張機能を検出の情報源にする） |
| SaaSのライセンスとAIの利用料が膨らんでいる | SaaS Manager | なし |
| 私物の端末や委託先の端末から業務のシステムに入っている | Device Trust | Enterprise Password Manager（Device Trust Coreの前提） |
開発者の端末に鍵や.envファイルが平文で置かれている | Enterprise Password Manager | Device Trust（端末に入ったAIのツールの把握） |
| CI/CDのパイプラインに長く使うトークンが埋め込まれている | Credential Broker | Enterprise Password Manager（クレデンシャルの保管元） |
| クラウド基盤の管理者の特権が常に付いたままになっている | Privileged Access | なし |
| 誰がどのクレデンシャルを使ったかを監査で説明できない | Enterprise Password Manager | 使う製品の全て（それぞれの記録） |
表の上半分は、ほとんどの組織に当てはまる課題です。ここから手を付けると、どの組織でもEnterprise Password Managerが最初の製品になります。
Enterprise Password Managerだけで足りる課題
Enterprise Password Managerには、名前から想像されるより広い機能があります。別の製品を検討する前に、次の機能で足りないかを確かめてください。
| 課題 | Enterprise Password Managerの機能 | 本ガイドのページ |
|---|---|---|
| 端末に平文で置かれたシークレット | 端末を走査して見つけ、本人に直してもらう | 開発者のシークレットを見つけて是正する |
| 本人が辞めると入れなくなるログイン | 会社が所有するアイテムとして引き取る | クレデンシャルの所有権を会社に移す |
| 弱いパスワードと使い回し | ビジネスWatchtowerとインサイト | インサイトの使い方 |
| 不審なサインインの検知と記録 | 監査ログとSIEMへの送信 | Events Reportingの設定 |
| 自動で動く処理からの保管庫の利用 | サービスアカウント | 開発者向け機能の位置付け |
開発者の端末の鍵は、Device Trustを入れなくてもEnterprise Password Managerの走査で見つけられます。Device Trustが必要になるのは、端末の状態を見て入口で止めたいときです。見つけることと止めることを分けて考えると、製品の重なりで迷わなくなります。
既存の仕組みと重なる領域
多くの組織は、既に同じ目的の仕組みを持っています。置き換えるのか、組み合わせるのかを領域ごとに決めます。
IDプロバイダーとSSO
置き換えません。IDプロバイダーはサインインを一元化し、1Passwordはその外に残るクレデンシャルを守ります。社員の追加と削除をIDプロバイダーから受け取る形にすると、両方の管理が一致します。
MDM
MDM（モバイルデバイス管理）は会社の端末を設定し、紛失したときに消去する仕組みです。Device Trustは端末の状態を確かめてアクセスを止める仕組みで、私物の端末や委託先の端末も対象にできます。役割が違うため、併用が基本です。MDMは1Passwordのアプリと設定を配る経路としても使います。
従来型の特権アクセス管理
既に特権アクセス管理（PAM）の製品を使っている組織は、方式の違いを先に確かめます。Privileged Accessは、接続を中継して記録する方式ではなく、対象のシステムにその場で権限を作り、作業が終われば消す方式です。セッションの録画を監査の証跡にしている組織では、要件が満たせるかの確認が要ります。
SaaS管理
SaaSの契約と費用を表計算で管理している組織は多くあります。SaaS Managerに移すと、検出、入社と退職の自動化、アクセスの見直しまでが1つの仕組みになります。既にSaaS管理の製品がある場合は、検出の情報源にEnterprise Password Managerの保管庫と拡張機能を使える点が比べるときの材料になります。
日本の組織に多い組み合わせ
日本の組織では、次の3つの形が多くなります。
1つ目は、Enterprise Password Managerだけの形です。共有のパスワードの台帳をなくし、SSOに入っていないサイトを守り、退職時のアカウントの整理を確実にする、という課題はこれで足ります。規模を問わず、多くの組織がここから始めます。
2つ目は、Enterprise Password ManagerとSaaS Managerの形です。SaaSが増えて、どの部署が何を契約しているか分からなくなった組織に向きます。最近はAIのツールの利用料の管理がきっかけになることも増えています。
3つ目は、Enterprise Password ManagerとDevice Trustの形です。テレワークの端末や委託先の端末を業務に使っていて、端末の状態を入口の条件にしたい組織に向きます。
検討の段階で確かめる制約
製品の組み合わせによっては、契約した後では変えにくい制約があります。
| 制約 | 影響 |
|---|---|
| リージョン | 拡張機能で端末を判定する機能は米国のリージョンでだけ使える。SaaS Managerにはカナダの環境がない |
| IDプロバイダーのライセンス | Device Trust ConnectでEntra IDを使うにはP1以上が要る |
| プロビジョニングの方式 | 自動プロビジョニングを使うとSecurity Automationを使えない |
リージョンはリージョンの選択とデータの保管場所で扱います。後から製品を足す前提で検討するなら、Enterprise Password Managerを契約する前にこの3つを確かめてください。