Google Workspace・Microsoft 365 の特権管理者アカウントの管理

Google Workspace と Microsoft 365 の管理者用アカウントは、個人の ID に管理者権限を付ける作りなので、共有せずに管理できます。公式ドキュメントが勧めることは 4 つに整理できます。最上位の管理者を少なくする、役割に応じた権限に分ける、二段階認証を必須にする、緊急用のアカウントを分ける、です。

最上位の管理者を少なくする

Google Workspace の最上位は特権管理者(Super Admin)です。管理コンソールのすべての機能を使え、組織のアカウントのあらゆる面を管理できます。公式ヘルプは、特権管理者アカウントを 2 つ以上置き、それぞれ別の個人が管理するよう勧めています。1 人が締め出されたときに戻せる人がいなくなるためです。同時に、特権管理者アカウントを日常の作業に使わないことと、管理者アカウントを複数人で共有しないことを求めています。共有しない理由として、管理者の操作の記録からどの管理者が行ったかを特定するためだと書かれています。

Microsoft 365 の最上位はグローバル管理者で、組織の設定とデータの大半にほぼ無制限にアクセスできます。公式ドキュメントは、グローバル管理者をできるだけ少なくするよう求め、Microsoft Entra ID のベストプラクティスでは 5 人未満を勧めています。5 人以上になると管理画面に警告が出ます。グローバル管理者が締め出されたときに戻せるよう、特権認証管理者を置くことも勧めています。

役割に応じた管理者権限に分ける

どちらのサービスにも、あらかじめ用意された管理者の権限の種類(ロール)があり、作業に必要な最小の権限を与えられます。名前は公式ドキュメントの英語表記で示します。

Microsoft の公式ドキュメントは、パスワードの再設定を頼みたいだけならグローバル管理者にしない、という例を挙げています。代わりに Password Administrator や Helpdesk Administrator を与えます。Entra ID には、必要なときだけ一定時間、承認つきで権限を有効にする Privileged Identity Management(PIM)もあります。権限が今も必要かを定期的に確認するアクセスレビューもあります。PIM は Entra ID P2 またはガバナンス、アクセスレビューはガバナンスの契約プラン(一部は P2)が要ります。

管理者に二段階認証を必須にする

Google の公式ヘルプは、管理者アカウントに二段階認証を必須にするよう求め、セキュリティキー(手元の小さな鍵型の機器)を最も安全な方式としています。方式は、セキュリティキー、Google からの確認、認証アプリのコード、バックアップコード、SMS・音声通話です。管理者は、利用者に対して任意にも必須にもできます。公式ヘルプは、Google が管理者アカウントに二段階認証を強制していることにも触れています。二段階認証そのものの説明は二段階認証(二要素認証)とはにあります。

Microsoft は、管理者を含むすべての利用者に MFA(多要素認証)を必須にするよう求めています。それに加えて、Azure ポータルや Microsoft Entra 管理センターなどは 2024 年 10 月から、順次 MFA が必須になりました。Microsoft 365 管理センターは 2025 年 2 月からです。除外の設定はできず、緊急用のアカウントも MFA が要ります(パスキーか証明書が推奨)。

緊急用のアカウントを分ける

日常の管理者アカウントとは別に、締め出されたときのためのアカウントを用意します。Microsoft は、2 つ以上の緊急用アカウントを、社内の認証の仕組みに頼らないクラウドだけのアカウントとして作るよう求めています。特定の個人に結びつけず、場所や端末の条件でログインを制限する設定から除外し、少なくとも 90 日ごとに使えることを確かめます。詳しくは緊急用アカウント(ブレークグラス)とはにまとめています。Google は、別々の個人が管理する複数の特権管理者アカウントを置くことに加えて、予備のセキュリティキーの登録を勧めています。バックアップコードをあらかじめ安全な場所に保存しておくことも勧めています。

使った記録を確かめる

Google の公式ヘルプは、管理者の操作の記録(管理ログイベント)を確認するよう勧めています。不審なログインや設定変更のときに管理者へメールで知らせる設定も勧めています。Microsoft のグローバル管理者はディレクトリの操作の記録を見られ、Entra ID にはサインインの記録があります。どちらも管理者が個人の ID なので、記録はその人の名前で残ります。

共有のまま残るのは何か

管理者権限を個人の ID に付けられるこの 2 つのサービスでは、共有が要るのは主に緊急用アカウントです。緊急用アカウントは日常には使わず、使ったら記録を見直します。ほかに共有が残る場合の扱いと、ほかの管理画面も含めた全体の考え方は管理者用アカウント(特権 ID)の管理にあります。