GMO トラスト・ログインと Junify の違い、共有アカウントの管理での使い分け

社員全員がトラスト・ログインの ID を持ち、SSO(一度のログインで複数のサービスに入れる仕組み)とパスワードの代わりの入力でログインをまとめられる会社なら、トラスト・ログインで足ります。Junify が補うのは、ブラウザーにパスワードを残さずに使わせたい共有アカウント、メールアドレスのない人が使うアカウント、ログインした後のセッション(サービスに入ったままの状態)やダウンロード、画面の録画まで管理したいアカウントです。

GMO トラスト・ログインが担うこと

GMO トラスト・ログインは、GMO グローバルサインの、社員の ID とログインをまとめて管理するクラウドのサービスです。ログインは、SAML など 2 つの規格(ID 管理サービスとサービスをつなぐ決まり)、ID とパスワードを入れる「フォームベース認証」、Basic 認証の 4 方式でまとめます。フォームベース認証では、Chrome・Firefox・Edge の拡張機能が、登録した ID とパスワードを入力します。トラスト・ログイン自体へのログインは、使い捨てのコードやスマホへの通知、IP アドレスによる制限などで固められます。

管理者がサービスの ID とパスワードを登録してメンバーやグループに共有すると、受け取った人はクリックでログインできます。管理者がパスワードを「代理設定」すれば、メンバーにパスワードを知らせずに使わせられます。プロプランでは、割り当てたアプリのパスワードを一括で更新できます(共有機能で共有したアプリなどは対象外)。SSO プロを含むプランにある「パスワード入力アシスト」(Chrome だけ)では、管理者が使える範囲とコピーの可否を決められます。

管理画面のレポートには、誰がどのサービスをいつ使ったかを含め、操作の記録が残ります。最低保存期間はプロプランで 5 年です。辞めた人は、管理画面でその人の状態を「停止」にします。Active Directory で無効にすると自動で停止する連携もあります。社外の取引先やパートナー企業の人の ID をまとめて管理する「サプライチェーン ID プロテクト」というプランもあります。

公式資料で確かめたトラスト・ログインの範囲

ブラウザーに保存させないには、ブラウザーの設定を別に配る

パスワードの代理設定の公式ヘルプは、ブラウザーにパスワードを保存させないには、各ブラウザーのポリシー(設定)で保存の機能を止めるよう案内しています。トラスト・ログインとは別に、その設定を端末に配ることになります。

使う人は、メールアドレスで登録する

公式ヘルプでは、メンバーを登録するときの必須項目は名前、メールアドレス、権限です。社外の人にも、その人の ID を作ります。会社のアドレスのないパートやアルバイトには、登録用のアドレスを別に用意します。

ログインした後と二段階認証

ログインした後のダウンロードを止める、アップロードや印刷を検知する、画面を録画する、登録したサービスで認証アプリに出るコードを入力する、といった機能は公式資料では確かめられませんでした。

ログインした後のセッション

公式ヘルプは、入った先のサービスのセッションの長さはサービスの仕様によるとし、「トラスト・ログイン側での制御は行えません」と書いています。メンバーの停止・削除の手順にも、入った先のセッションを終わらせる記述はありません。

Junify が担うこと

Junify では、管理者がアカウントごとに使ってよい人を決めます(割り当て)。担当者は自分のスマホの Junify アプリで本人確認をするので、メールアドレスのない人も使えます。

パスワードは Chrome の拡張機能が入力し、担当者には見せません。担当者はパスワードを受け取らないので、ブラウザーにもパスワードマネージャーにも保存されず、保存を止める設定を配る必要もありません。

担当者がいまパスワードを知っているアカウントは、導入時に変えて Junify だけが持ちます。その後は割り当てを外せば入れず、退職のたびにパスワードを変えて配り直す作業がなくなります。誰が・いつ・どのアカウントを使ったかは一人ずつ残ります。

ログインは拡張機能が管理する Chrome のシークレットウィンドウで開き、パスワードを保存するかの確認も出ません。業務のサービスのクッキーは普段の Chrome に入りません。管理者が遠隔でセッションを終えると、シークレットウィンドウがすべて閉じ、そのパソコンのログイン状態も消えます。位置や IP の条件から外れれば、ログインした後でも、そのアカウントのタブを閉じ、そのサービスのクッキーを消します。SAML などに対応していないサービスでも同じです。

ダウンロードはアカウントごとに許可・禁止でき、アップロードと印刷は検知して管理者に知らせます。録画と AI による要約も設定できます。認証アプリ方式の二段階認証のコードも Junify が入力します(SMS やメールのコードは対象外)。

トラスト・ログインと Junify を併用するとき

社員の ID と SSO につながるサービスはトラスト・ログインのままにします。社員一人ずつに ID があり、本人がパスワードを知ってよいサービスも、フォームベース認証で足ります。

Junify に移すのは、共有アカウントのうち、ブラウザーに写しを残したくないもの、トラスト・ログインに ID のない人が使うもの、ログイン後のセッションや録画、認証アプリのコードの管理が要るものです。移すときは、サービス側でパスワードを変えて Junify にだけ登録し、トラスト・ログインの共有から外します。変えずに移すと、控えたり保存したりしたパスワードで入れる人が残ります(ブラウザーのパスワード保存を業務で使ってよいか)。

どちらが合うか

トラスト・ログインの欄は公式サイトと公式ヘルプに書かれていることだけで、書かれていないことは「確かめられなかった」としています(できないという意味ではありません)。

トラスト・ログインだけで足りるのは、使う人が全員メールアドレスを持つ社員で、ログインの多くを SSO でまとめられる会社です。共有アカウントが少なく、保存を止めるブラウザーの設定を配れている場合や、Firefox や Edge で使いたい場合もそうです。

Junify が合うのは、担当者にパスワードを渡さずに使わせたい共有アカウントがある会社です。メールアドレスのない人も使う、人の入れ替わりにパスワードの変更が追いつかない、ログイン後のセッションや操作まで管理したい、という場合も当てはまります。