DrataのAdminのロールは、アプリケーション全体に制限なくアクセスできる最上位のロールです。Adminのロールを持つ人が退職したり担当を外れたりするときは、後任の任命、連携のつなぎ直し、オーナーの割り当て直しを済ませておかないと、連携が止まったり、オーナーのいないコントロールが残ったりします。このページでは、Drataの管理者が交代するときの引き継ぎとして、新しい管理者の任命、連携に使うアカウントの確認、オーナーになっているコントロールや証跡などの割り当て直し、退職の前に済ませる作業を説明します。
Adminのロールの特徴
| 項目 | 内容 |
|---|---|
| アクセスの範囲 | 最上位。アプリケーション全体に制限なくアクセスできる |
| ほかのロールの要否 | 不要。Adminのロールがほかの全てのロールに優先する |
| 自分自身から外せるか | 外せない。Adminは自分をAdminのロールから外せない |
| ワークスペース | 全てのワークスペースに自動でアクセスできる |
| 割り当てられる人 | 既存のAdminだけ |
ロールの割り当て、変更、削除は、Adminだけができます。後任をAdminにする作業も、退職する管理者か、ほかのAdminが行います。ロールの全体像は、ロールと権限の設計で説明しています。
Adminだけが扱えるページ
次のページは、Adminのロールのユーザーだけが扱えます。後任の管理者が、これらのページの設定を引き継げるようにしておきます。
| ページ | 場所 | 内容 |
|---|---|---|
Organization details | Settings → Organization details | 会社の名前、住所、規模、業種などの基本の情報 |
Key Personnelタブ | Settings → Organization details | フレームワークや監査の文書で参照される、主要な担当者 |
Language | Settings → Language（組織の設定） | 組織全体の既定の言語 |
Role administration | Settings → Role administration | 組織の全てのユーザーのロールの割り当て、変更、削除 |
Internal Securityタブ | Settings → Personnel compliance | 要員に求めるセキュリティーの要件 |
Notification rules | Settings → Notification rules | 組織全体の通知のルール |
Ticket automation | Settings → Ticket automation | チケットの自動作成のルール |
API keys | Settings → API keys | 外部のツールや連携がDrataにつなぐためのAPIキー |
Quick Start | 左側のナビゲーション | 初期設定の作業の一覧 |
それぞれの設定は、組織の情報と主要な担当者、通知の設定、チケットの作成と連携、Drata APIとMCP、Quick Startで初期設定を進めるで説明しています。
退職の前に確かめること
ヘルプセンターの「Checklist: Before the Admin Leaves」では、管理者が退職する前に、次の作業を済ませるように示されています。
| 作業 | 内容 |
|---|---|
| 1. 新しい管理者を任命する | ほかに少なくとも1人、Adminのロールを持つユーザーがいるようにする |
| 2. 連携をつなぎ直す | 退職する管理者が設定した連携を、ほかの管理者がつなぎ直す |
| 3. コントロールのオーナーを割り当て直す | 退職者が唯一のオーナーだったコントロールに、新しいオーナーを割り当てる |
| 4. ポリシーのオーナーを割り当て直す | 自動で最初のAdminに移ったポリシーを、適切な担当者に割り当て直す |
| 5. 証跡のオーナーを割り当て直す | 管理者に移った証跡のオーナーが正しいかを確かめる |
| 6. 資産のオーナーを確かめる | 重要な資産に適切なオーナーが付いているかを確かめる |
| 7. 管理者がいない状態を防ぐ | 退職の手続きの前に、有効なAdminが1人以上いることを確かめる |
新しい管理者を任命する
Settings → Role administrationで、ほかに少なくとも1人のユーザーがAdminのロール（または同等のロール）を持っていることを確かめます。
IDプロバイダーのグループとDrataのロールを対応付けている場合は、新しい管理者が正しいグループに入っているかを確かめます。そのうえでAd-Hoc Identity Resyncを実行すると、毎晩の同期を待たずに、新しい管理者がすぐに反映されます。IDプロバイダーとの連携は、IDプロバイダーとの連携で説明しています。
【注意】
Adminが自分にWorkspace Managerのロールを割り当てると、Adminの権限が外れ、それ以上ロールを変えられなくなります。元に戻すには、ほかのAdminがWorkspace Managerのロールを外し、適切なロールを割り当て直します。管理者の交代の作業中は、自分のロールを変えないようにしてください。
連携をつなぎ直す
連携は、連携を設定したユーザーの資格情報で認証されています。そのユーザーが退職すると、連携が切れたり、認証のやり直しに失敗したりすることがあります。
Connectionsを開き、退職する管理者が設定した連携を確かめます。- 現在の管理者が、それぞれの連携をつなぎ直し（認証し直し）ます。
【運用のポイント】 つなぎ直す前に、新しい管理者が、連携先のツール（Google Workspace、Microsoft 365、Oktaなど）でSuper Adminの権限を持っているようにしておきます。連携ごとの設定は、連携の全体像で説明しています。
オーナーを割り当て直す
退職した管理者が担当していた項目は、次のように扱われます。
| 項目 | 退職したときの動き | 行うこと |
|---|---|---|
| コントロール | 要員がFormer Employeeになると、全てのコントロールのオーナーから自動で外れる。唯一のオーナーだった場合はオーナーのいないコントロールになり、割り当てを促す赤いバナーが表示される | 新しいオーナーを割り当てる |
| ポリシー | オーナーは、システムの最初のAdminに自動で移る | Policiesで、適切な担当者に割り当て直す |
| 証跡 | コントロールと同じく、退職者が外れ、管理者に割り当て直される | Evidenceで、オーナーが正しいかを確かめる |
| 資産 | オーナーは、Engineering Lead、CEO、Security Officer、Privacy Officer、Business Lead、最初の有効なAdminの順に引き継がれる（Azureの仮想資産など） | 重要な資産に適切なオーナーが付いているかを確かめる |
ポリシーのオーナーが自動で移る先は、最初のAdminです。後任の担当者に移るわけではないため、退職の前に割り当て直しておくと、移った後に1件ずつ直す手間を省けます。オーナーの割り当て直しの手順は、コントロールオーナーと承認と証跡のオーナーと更新期限の運用、要員の退職の扱いは、雇用状態と入社・退職の管理で説明しています。
ロールを変えたときの割り当て直し
Role administrationでユーザーのロールを変えると、ユーザーのアクセスと権限は直ちに変わります。また、そのユーザーが前のロールで担当していたコントロールやタスクなどは、ロールを変えた人に割り当て直されます。
退職する管理者のロールを変えたり外したりした後は、自分に割り当て直された項目を確かめ、後任の担当者に割り当て直してください。ロールの変え方は、ロールと権限の設計で説明しています。
【注意】 管理者が1人もいない状態にならないように、退職するユーザーの手続きの前に、有効な
Adminが少なくとも1人残っていることを必ず確かめてください。