ドメイン・DNS・決済など ID 管理サービスとつなげない管理画面の ID をどう扱うか

ID 管理サービス(Okta、Microsoft Entra ID など)とつなげない管理画面の ID は、まず公式ヘルプで担当者ごとの ID を作れるかを確かめます。ドメインや DNS(ドメイン名と接続先を結びつける仕組み)、決済の管理画面には、つなげないものが残ります。担当者ごとの ID を作れるなら個人の ID に分けます。1 つしか作れないなら、共有の管理者アカウントとして貸出の記録、二段階認証の宛先、パスワードを変える場面の 3 つを決めます。

公式ヘルプで確かめる 3 つのこと

1. 担当者ごとの ID(メンバー)を追加できるか。「チーム」「メンバー」「ユーザー」の設定のヘルプを見ます。追加できれば、個人の ID に分けられます。
2. 権限の種類を分けられるか。ロール(権限の種類)の一覧を見ます。分けられれば、最上位を少人数にし、作業に応じた権限にできます。
3. 二段階認証を全員に必須にできるか、方式は何か。「セキュリティ」「二段階認証」のヘルプを見ます。認証アプリやセキュリティキーなら担当者のスマホで完結し、メールや SMS なら届く宛先を決める必要があります。

3 つのサービスで確認した結果

公式ヘルプで確認できたものだけを書きます。仕様は変わるため、実際の設定は最新のヘルプで確かめます。

Cloudflare では、メンバーの追加と取り消しを Super Administrator が行います。Super Administrator は支払いとメンバー管理を含むすべての権限を持ち、Administrator はメンバー管理と支払いを除く全体を受け持ちます。二段階認証は Super Administrator が全メンバーに必須にでき、必須にすると招待を受ける前に設定が要ります。

Stripe では、招待が 10 日で失効し、役割は後から変更できます。IAM Administrator はメンバー管理だけの役割で、アカウント所有者は 1 人です。二段階認証を必須にすると、未設定の人は次回のログイン時に設定を求められ、新しく招待する人は設定しないと参加できません。公式ドキュメントは、招待するときに「その仕事に必要な最も低い権限を与える」よう求めています。メンバーを招待できる役割は、乗っ取られると別の利用者を招き入れられるため、注意するようにも書いています。Stripe は過去 180 日のチームメンバーの操作をセキュリティ履歴として残します。

お名前.com Navi の二段階認証は、ログイン、会員情報の変更、パスワードの変更などで求められます。設定は任意で、設定しないことも選べます。

個人の ID を追加できるサービスでは

Cloudflare や Stripe のように担当者ごとの ID を作れるサービスは、Google Workspace や Microsoft 365 と同じ形にできます。最上位の権限(Super Administrator)は少人数に絞り、作業に応じた権限を個人に与えます。二段階認証は全員に必須にし、退職や担当交代のときはメンバーから外します。記録はその人の名前で残ります。1 つの管理者 ID のパスワードを配る形を続ける理由は、この場合はありません。

1 つの ID しか作れないサービスでは

お名前.com Navi のように担当者ごとの ID の記述が公式ガイドにないサービスは、1 組の ID とパスワードを複数人で使うことになります。この場合に決めることは 3 つです。

1. パスワードを知る人を絞り、誰が知っているかと、いつ誰が使ったかを台帳に残す。サービス側の記録には ID の名前しか残らないためです。
2. 二段階認証の届く先を決める。メールや SMS で届く方式は、登録した 1 つの宛先にしか届かないため、担当者個人の宛先だとその人が不在のときに誰も入れません。会社が管理する宛先にするか、受け取る人と手順を決めておきます。共有するときの考え方は共有アカウントの二段階認証を複数人で使うときの問題と選択肢にまとめています。
3. 退職や担当交代のときにパスワードを変える。個人の ID のようにその人だけを外すことができないためです。

台帳と、パスワードを見せずに使わせる仕組みの違いは、管理者用アカウント(特権 ID)の管理の表にあります。

確認できなかったこと

3 つのサービスが ID 管理サービスと SAML(ID 管理サービスとつなぐための規格)でつなげられるかどうかは、この記事では確認していません。つなげられる場合は個人の ID をそのまま使えるため、その確認を先に行います。お名前.com Navi については、複数ユーザーの追加と権限の設定の有無を、公式ガイドのログインの項目では確認できませんでした。そのため、この記事では 1 つの ID しか作れないサービスの例として扱っています。