うちの会社では、1Password Teamsを使ってパスワードを管理しているので、その運用を紹介したいと思います。
ヴェルクにおけるパスワードの運用ルール
まずはじめに、うちの会社でのパスワードの運用ルールについて。
6年前の起業当初から、以下のようなルールで運用しています。
・パスワードは14桁以上のランダムなもの（当初は桁数は10桁以上でしたが途中から14桁に変更）
・パスワードの使い回しは禁止で全てにおいて異なるものを使用
・パスワードの生成・管理は全て1Passwordで
・2段階認証が使えるものはすべて2段階認証をON
パスワードの使い回し禁止は、最近はよく言われるようになってきましたが、それでも一般的にはまだまだなのかなあという印象なので、この記事などをご参考に。
なお、これを守らず、こっそり簡単なパスワードを設定する、といった事はできてしまうため、そこは日々のセキュリティに対する意識付けが重要かなと思います。
また、基本的に1Passwordを使ったパスワード管理が快適すぎるので、むしろ1Passwordを使わない方が面倒な気はします・・・。
1Password Teamsとは
1Passwordというパスワード管理ツールに、チーム機能が備わったものです。主に企業利用を想定した機能になっていて、管理者がアクセス権の管理などができます。
管理したい単位（例：プロジェクトごと）にVault（パスワード保管庫）を作成し、それごとにアクセスできるユーザを設定することでパスワードを共有することができます。また、退職した場合はアカウントを停止したり、担当が変わったケースなどでアクセスを止めたい場合は、Vaultへのアクセス権を外すといった管理ができます。
個人ごとのアカウントがあるようなサービスはパスワード共有はしませんが、1ユーザしか登録できないようなサービスや、サーバのパスワードなどを共有するのに使用しています。
1Password Teamsを使った運用
受託案件ごとにVaultを作成し、関係するメンバーのみアクセスできるように設定しています。AWSのアカウントなどは個人ごとにユーザを追加するので、それは「個人」Vaultでそれぞれで管理し共有はしません。共有する情報はサーバ関連のパスワードなどがメインです。
このように案件ごとにVaultを分けることで、アクセスできる範囲を限定できますし、途中から入ったメンバーへの共有も安全でスムーズです。
場合によっては1案件で複数のVaultを作ることもあります。
例えば自社サービスのboardの場合は、「管理者用」「開発者用」「サポート用」に分かれており、本番環境など重要な情報へのアクセス情報は、「管理者用」のVaultにしか登録していません。
ちなみに1点だけ課題があって、まだWindows版が基本的に対応が遅れていて、少し前にベータ版がようやく出たという状況です。
その他のメリット
「Activity Log」で誰が何を更新したといったことが記録されています。
使ったことはないのですが、「Guests」という機能で、外部の人にセキュアに情報を共有できるみたいです。
この記事を書くのに管理画面を見ていて気づきました。これ結構便利なのでは。
1Passwordのマスタパスワードを忘れたら・・・
ユーザに「Recovery」権限というものを付けることができるので、この機能を持っているユーザは緊急時に他のユーザのパスワードをリセットすることができます。
また、管理者ユーザのパスワードがわからなくなった場合、「Emergency Kit」というのがあります。緊急時の解除用のコード等のリカバリ方法が書かれているものなのですが、なんと、「紙で安全な場所に保存していく」ことを推奨されています。
物理的にPCや1Passwordとは全く別の場所で保管することで、リスクを分散する仕組みのようです。
ということで、うちの会社では、この機会に、ちゃんとした金庫を買いました。
もともと買おうかなと思っていたのですが、安全にしまっておけて、かつ火事でも燃えない。
参考：1Password Teams以前の運用
1Password Teamsは、わりと最近出たサービスで、以前は、1Password単体で使用していました。その時は、Dropboxを使って共有していました。
1PasswordはVaultファイルをDropbox上に置くことができるので、社内で共有するためのDropboxのディレクトリを用意し、Valut作成時に保存先をDropboxに保存します。
Vaultにはパスワードを設定できるので、そのパスワードをVaultを共有したいメンバーのみに共有していました。
この運用をやり始めた頃（5〜6年前）はかなり不安定で、パスワードを追加しても、他の人の1Passwordには反映されないという状況でしたが、途中からは安定して運用できていました。
ただ、Teamsが出たため、ベータ版の頃からすぐにそちらに切り替えました。
まとめ
昨今のセキュリティリスクの増大に伴って、パスワード管理の重要性はどんどんと高くなってきています。
パスワード管理ツールはぜひともオススメしたいのですが、企業利用の場合は、Teamsを使った運用かなりオススメです。
ちなみに、パスワード管理ツールは、LastPassなど他にも色々とありますが、昔から1Passwordを使っていたためその流れで1Password Teamsを使っています。他との比較をしているわけではないです。
