ID 管理サービスで退職者を止めた後も SaaS に残るログイン状態

退職者を ID 管理サービス(Okta、Microsoft Entra ID など)で止めると、その人は次から会社の ID でログインできなくなります。しかし、それまでに開いていた SaaS(Web で使う業務サービス)のログイン状態は、止める操作だけでは終わらないことがあります。仕組みの基本は IdP(ID 管理サービス)とは にまとめています。

止める操作で終わるものと終わらないもの

多くのサービスでは、SSO(一度のログインで複数のサービスに入れる仕組み)で入ると、ブラウザーに 2 つのログイン状態ができます。Microsoft の公式資料が Entra ID について書くとおり、1 つは ID 管理サービス自身のもの、もう 1 つはサービスが自分で発行したものです。

ID 管理サービスで人を止めて終わるのは、前者と、これからの新しいログインです。後者はサービスが自分で管理しているので、その期限が来るか、サービスが取り消すまで続きます。同じ資料は、サービスが ID 管理サービスに確認を戻す頻度はサービスの設定しだいで、ログイン状態が有効な間は一度も戻らないこともありうると書いています。

ID 管理サービス各社の公式資料が書いていること

各社の違いは、サービス側のログイン状態に届く仕組みがあるかと、それが届く範囲です。

Microsoft Entra ID

公式資料は「Microsoft Entra ID can’t directly revoke a session token issued by an application.」と書いています(サービスが発行したログイン状態を、Entra ID は直接取り消せない)。アカウントを無効にして「Revoke sessions」を選んでも、サービス側のログイン状態はその期限まで続きます。無効化がサービスに伝わり、サービスが自分で取り消す設定になっている場合は別です。

例外は継続的アクセス評価(ログインした後も、Entra ID からの知らせを受けて判断し直す仕組み)に対応したサービスです。アカウントの無効化・削除やパスワードの変更を受けて、Exchange Online(メール)、SharePoint Online、Teams は、Microsoft 365 のアプリからのアクセスを数分で止めます。知らせが届くまで最大 15 分かかることがあります。

Okta

Okta の開発者向け資料は、ID 管理サービスで人を停止・無効化・削除しても、「this doesn’t affect a user’s existing sessions or tokens within an app」(サービスの中にある既存のログイン状態には影響しない)と書いています。

サービス側まで終わらせる仕組みが Universal Logout です。Okta が対応したサービスにログアウトを求め、サービスが自分のログイン状態を取り消します。公式ヘルプの一覧で完全な対応とされるのは、Box、Google Workspace、Salesforce、Slack(Enterprise の場合)、Zoom などです。Microsoft 365 などは一部の対応にとどまります。いまのログイン状態は、期限が切れるか本人がサインアウトするまで続きます。

HENNGE One と GMO トラスト・ログイン

国内の 2 社のヘルプは、ログイン先のサービスでログイン状態が続く長さはサービスの仕様しだいだと書いています。HENNGE One のよくある質問は、Microsoft 365 と Google Workspace について「Access Control 側で制御することはできません」と答えています。サービスによっては Access Control の「セッション有効時間」で長さを決められるが、サービス側の期限が優先されるものもある、とも書いています。強制的に切る方法として案内しているのは、Microsoft 365 と Google Workspace の側での操作です。

GMO トラスト・ログインのヘルプは、Microsoft 365 について「トラスト・ログイン側での制御は行えません」とし、これは Microsoft 365 以外のサービスにも当てはまると注記しています。

パスワードで入るサービスと共有アカウントで残るもの

SSO につながらないサービスでは、パスワードを代わりに入力してログインさせる ID 管理サービスやパスワードマネージャーもあります。ただ、入った先のログイン状態を人を止める操作で終わらせるという記述は、参考資料に挙げた各社の公式資料では確かめられませんでした(会社が管理する Chrome での方法は後で書きます)。

この種のサービスでは、パスワードを知っていることのほうが長く残ります。LastPass と 1Password の公式ヘルプは、辞めた人に共有していたパスワードを変えるよう案内しています。LastPass は、見える形で共有されたパスワードを本人が控えていれば、変えない限り社外からも使えると書いています。複数人で 1 つの ID を使う共有アカウントは、残る人が使い続けるので止められません。そのため、パスワードを変えるまでは、辞めた人も別のブラウザーから入り直せることがあります。

退職の日にやること

退職時のチェックリストのうち、ログイン状態に関わる手段を各社の公式資料から並べます。

1. Okta では、止める前に「Clear user sessions」で、ログアウトに対応したアプリも含める指定をします。Universal Logout が起動し、対応したサービスのログイン状態を期限を待たずに終わらせます。サービスごとに事前の設定が要り、Adaptive MFA だけの組織ではこの手動の操作でだけ起動できます。
2. ID 管理サービスでアカウントを止め、ID 管理サービス自身のログイン状態を取り消します。Entra ID なら無効化と「Revoke sessions」、Okta なら無効化です。
3. Microsoft 365 や Google Workspace のように、管理画面に強制ログアウトの操作があるサービスでは、それを使います。Microsoft 365 管理センターの退職者向けの手順は、パスワードの再設定と「Sign out of all sessions」を挙げ、1 時間以内に再ログインを求めるとしています。Google Workspace のヘルプによると、ユーザーを停止した時点でブラウザーに残るログインの印(クッキー)は消えますが、Gmail などのアプリのログインは続きます。
4. 各サービスのアカウントを削除するか止めます。Microsoft の資料は、ログイン状態を自分で持つサービスや直接ログインできるサービスでは、サービス側からアカウントを外すことが有効な取り消し方だとしています。
5. 辞めた人が知っていたパスワードを変えます。共有アカウントや、パスワードで入るサービスへの入り直しを防ぐためです。

手順を終えても残る穴

1 つ目は、Universal Logout にも継続的アクセス評価にも対応せず、管理画面に強制ログアウトの操作もないサービスです。ログイン状態はサービスの期限まで続きます。ただし、辞めた人が会社の管理する Chrome で使っていたなら、Okta の Identity Threat Protection や Google 管理コンソールから、そのクッキーを消せます。Okta はその製品の契約と設定が要り、会社が管理するプロフィールだけが対象で、Google の操作は Google のサービスのクッキーを除きます。

2 つ目は、誰がパスワードを知っているか分からない共有アカウントです。変えるべきパスワードの一覧がなければ、手順 5 に漏れが出て、漏れたアカウントには辞めた人が入り直せることがあります。