Airwallex、1PasswordとOktaで1,300名超の社員の職場を実質的にパスワードレスに

国境を越えて成長する企業向けに金融テクノロジーのプラットフォームを提供するAirwallexは、1PasswordをOktaでロック解除できるようにし、19の拠点で働く1,300名を超える社員が1Password用の別のパスワードを覚えなくてよい環境を作りました。オフィスでは生体認証だけで1Passwordを開けるため、実質的にパスワードレスの環境が実現しています。開発のワークフローもSSH AgentとSecrets Automationで守っています。同社の決済・銀行インフラストラクチャーは世界でも有数の強力さを誇り、あらゆる規模の企業が1つのプラットフォームで決済の受け付け、世界への送金、財務業務の簡素化を行えるようにしています。

導入前：パスワードレス認証を目指す第一歩

同社のサービスでは、多くの通貨で国内外の銀行口座を簡単に開設でき、世界中で決済を受け付け、銀行を通さずに安く海外送金し、国境のない法人カードを作れます。シニアITエンジニアのDavid Baverstock氏は、決済、社内の資金と支出、組み込み型の金融まで、全てを1つのプラットフォームで管理できると説明しています。

急成長する同社には大きな目標があります。その1つが、19の拠点に散らばる1,300名を超える社員のために、完全にパスワードレスの職場を作ることです。その第一歩が、既存のSSOであるOktaでロック解除できる1Passwordの導入でした。同氏は、1Passwordの導入をパスワードレスへの道のりの一部と捉えており、パスワードの世界とパスワードレスの世界をつなぐ橋のようなものだと述べています。

一方で、以前は別の企業向けパスワードマネージャーで一部のログイン情報を守っていましたが、同社の要件を全ては満たしていませんでした。開発者のコードやインフラストラクチャーのシークレットを守る仕組みも足りず、開発者はChromeのパスワードマネージャーや独自のツールでシークレットを保管していました。同氏は、優秀なエンジニアである開発者が自分たちの問題を自力で解決しようとしていたと振り返ります。

選定：パスワードマネージャーを超える機能

同社が1Passwordを選んだ理由の1つは、パスワードマネージャーにとどまらず、SSHキー、APIトークン、そのほかのインフラストラクチャーのシークレットの管理を安全かつ効率的にできることでした。同氏は、開発者向けの機能に力を入れる1Passwordの方向性を高く評価しています。保管したデータに確信を持てるよう、監査ログとセキュリティーの管理機能が優れていることも条件でした。

導入効果：Oktaとの組み合わせと開発者のワークフロー

Unlock with Oktaで覚えるパスワードを1つに

当初は1PasswordとOktaをほぼ別々のツールとして使っていました。同氏によると、それもうまくいっており、社員は1Password用の別のパスワードに慣れ、本人しか知らないSecret Keyによって、ほかの誰も自分のプライベート保管庫に入れないことを理解していました。しかし同社はまもなく、Unlock with Oktaで全員の1Passwordのアカウントを管理・保護する方式に移りました。社員は1PasswordのアカウントパスワードとSecret Keyの代わりに、Oktaのユーザー名とパスワードでサインインします。全社でこの方式を採用したため、1Password用に別のパスワードを覚える必要のある社員はいません。同氏は、社員はOktaでのロック解除に慣れ、余分なパスワードを覚えなくてよいことを確実に喜んでいると述べています。

オフィスでは実質的にパスワードレス

同社は次に、オフィスにいる間は生体認証だけで1Passwordのロックを解除できるよう、Oktaの認証ポリシーを設定しました。同氏によると、パスワードを入力する必要はありません。社員は出社すれば、1Passwordに保管したあらゆるものに、実質的にパスワードレスでアクセスできます。

SSOで守れないアカウントも強力なパスワードで

同社はOktaで企業向けアプリを保護・管理し、社員は厳格に確認された1つのアイデンティティーでサインインして必要なサービスを使います。しかし、Oktaが対応していないサービスや、現時点ではSSOで守るのに適さないサービスもあります。同社はこうしたアカウントを1Passwordで強力で固有のパスワードで守っています。同氏は、覚えやすいという理由で安全でないパスワードを使う人がいないよう、1Passwordの機能を最大限に活用することに力を入れてきたと話しています。チームの保管庫には共有のクレデンシャルを置き、新しいメンバーが加わると、入社時の手順の一部として自動でアクセスできるようにしています。同氏は、こうした管理が非常に円滑で快適になったと評価しています。

SSH AgentとSecrets Automationで開発を守る

同氏が特に気に入っているのが、1PasswordのSSH Agentです。新しいSSHキーを作り、整理し、必要な場所で安全に使えます。同氏は、1Passwordの保管庫と統合されたSSH AgentでSSHキーを扱い、gitのコミットに署名できる点が素晴らしいと述べています。Secrets Automationにより、インフラストラクチャーのシークレットも1Passwordで保護・管理できます。同社はこの機能を使って、CI/CDのパイプラインやスクリプトにハードコーディングされたクレデンシャルを一掃する計画です。同氏は、これまでなかった機能を手にしたエンジニアがどんな使い方を生み出すか楽しみだと話しています。

今後：真のパスワードレス認証へ

1Passwordによって、同社は将来パスワードレス認証に移行するための土台を築きました。1Passwordは、パスワードの代わりにパスキーで1Passwordのアカウントを作成し、ロックを解除できる選択肢を提供する予定です。オンラインのアカウントをパスキーで作成・保護できるよう、パスキーへの幅広い対応も約束しています。パスワードマネージャーに保管すれば、端末間での同期や同僚との安全な共有も簡単になります。同氏は、世界が完全にパスワードレスへ移行するなか、それを既に深く実現しつつある会社と製品とともに取り組めることにわくわくしていると述べています。

この導入事例からの学び

同社は、1Passwordを既存のSSOと組み合わせることで、パスワードレスへ移行する前の段階でも社員が覚えるパスワードを減らしています。パスワードレス認証を目指す組織が確認すべきは2点です。1つは、SSOで守れないアカウントを、移行が終わるまでどう守るかという点です。同社では、Oktaが対応しないサービスを1Passwordの強力で固有のパスワードで守り、その橋渡しをしています。もう1つは、開発者のシークレットまで同じ仕組みで扱えるかどうかです。同社でも、以前は開発者がChromeのパスワードマネージャーや独自のツールを使っており、仕組みが分散していました。

出典：1Password