共有アカウントの管理

共有アカウントがある限り、退職のたびにパスワードを変えて配り直す手間と、誰が使ったかを説明できない状態の両方が残ります。

共有アカウントとは何か

共有アカウントとは、1 つのサービス上の 1 つのアカウント(ID とパスワードの組)を複数の人が使う状態です。定義と法令上の位置づけは 共有アカウントとは にまとめています。

なぜ生まれ、なぜなくならないか

生まれる理由はサービス側の設計にあります。Microsoft Entra ID の公式ドキュメントは、1 組のユーザー名とパスワードを複数人で使う場面を 2 つ挙げています。企業の SNS アカウントのようなアプリケーションと、Microsoft 365 の管理者アカウントのような、強い権限を持つ 1 つだけのアカウントです。人数分のアカウントを作れないサービスでは、共有が唯一の使い方になります。

なくならない理由も同じところにあります。サービス側の仕組みは、利用者側では変えられません。そのため、個人アカウントに分けられるのは、サービス側にその仕組みがあるものに限られます。SNS の公式アカウントや、一度のログインで複数のサービスに入れる仕組み(SSO)に載らない部門ツールの管理者アカウントは、分けたくても分けられないまま残ります。

何が困るか

困りごとは 5 つに分かれます。

• 退職や異動のあとも、辞めた人がログインできる状態が続きます。パスワードを知っている人は、変えて配り直すまで誰でも入れます。
• 誰が操作したかを説明できません。サービス側の記録には、アカウントの名前しか残らないからです。
• 担当者が不在の日にログインできません。確認コードは、登録した 1 台のスマホに表示されるか、登録した電話番号にしか届きません。
• 私物端末にパスワードや履歴が残ります。ブラウザーの保存機能やメモに、共有パスワードがそのまま入るためです。
• 使っていないアカウントに気づけません。誰が使っているかが、台帳にも記録にも残っていないからです。

このうち退職と記録は、法令やガイドラインの要求と直接ぶつかります。個人情報保護委員会のガイドライン(通則編)は、個人データを扱う情報システムの利用者を「識別した結果に基づいて認証する」ことを求めています。誰かを確かめたうえでログインさせる、という意味です。IPA の「中小企業の情報セキュリティ対策ガイドライン」第 4.0 版は、共有 ID をやむを得ず使う場合に、利用した人を特定できる仕組みを求めています。どちらも共有そのものを禁じてはいません。しかし、誰が使ったかを特定する手段を用意する責任は、利用者側に残ります。

管理の選択肢

複数人で使う方法は 4 つに分けられます。ID 管理サービス(Okta、Microsoft Entra ID など。社員のアカウントをまとめて管理し、一度のログインで複数のサービスに入れるようにするサービス)を使っているかどうかで、選べる方法が変わります。

誰が使ったかの記録は、表の上 2 行と下 2 行で分かれます。手作業とパスワードマネージャーでは、サービス側の記録は共有アカウントの名前のままです。ID 管理サービスとアクセス管理ツールは、その手前で本人単位の記録を残します。パスワードマネージャーには、見られる範囲を絞れる製品もあります。端末の条件も方法ごとに違い、手作業は端末を問わず、パスワードマネージャーは保管庫を開ける端末で使い、ID 管理サービスはそのサービス側の設定で決まります。Entra ID の代わりの入力は、共有アカウントを使う利用者ごとに EMS または Entra ID P1 / P2 の契約プランが前提です。

管理者用アカウント(強い権限を持つ ID)の利用申請・承認と操作の記録を仕組みで行う特権 ID 管理(PAM)は、管理者用アカウント(特権 ID)の管理で扱います。パスワード自体を担当者に配る道具(共有機能つきのパスワードマネージャーなど)は、上のパスワードマネージャーの行に含めます。

Okta の Secure Web Authentication(SWA)は、Okta にログインするだけで、ほかの Web アプリにも入れるようにする Okta の機能です。ID 管理サービスに認証を任せる方式(SAML などの規格でつなぐ方式)に対応していないアプリが対象です。管理者がアプリの ID とパスワードを設定でき、レポートでは誰がいつどのアプリにアクセスしたかを確認できます(公式ヘルプ)。Entra ID の password-based SSO は、Entra ID にパスワードを預けて代わりに入力させる機能です。共有アカウントを使う権限を持つ利用者は、パスワードを見ずに、ログインの手続きの中で使います。管理者はアクセスの付与と取り消しを行い、誰がいつアクセスしたかをサインインの記録(サインインログ)で確認できます(公式ドキュメント)。見られる範囲を絞れるパスワードマネージャーのうち、Bitwarden は、隠したパスワードも自動入力では使えると公式ヘルプに明記しています。詳しくは パスワードマネージャーとは で扱います。

何から始めるか

最初にするのは棚卸しです。サービス名、アカウントの ID、パスワードの保管場所、使っている人、管理者、二段階認証の受け取り先、最後に確認した日を一覧にします(最小の 7 項目。全項目は棚卸しの記事に)。この一覧がないと、次の 2 つの判断ができません。

次に、個人アカウントに分けられるものを分けます。利用者の枠を追加できるサービス、管理者権限を複数人に与えられるサービス、部門の代表アドレスは共有をやめられます。Microsoft 365 の共有メールボックスは、各自が自分のアカウントでアクセスする前提で作られています。公式ドキュメントには、共有メールボックス自体のアカウントではサインインしないようにと書かれています。代表アドレスをこの形にすれば、メールの共有と個人単位の認証を両立できます。

最後に、残るものの扱いを決めます。上の表から、使う人の範囲(ID 管理サービスにアカウントがあるか)、要る記録の細かさ(アカウント単位で足りるか、本人単位が要るか)、端末の条件(会社支給か私物か)で選びます。定期変更を続けるかどうかは、NIST SP 800-63B Revision 4の考え方が判断材料になります。同文書は、サービスを提供する側は利用者に定期的なパスワード変更を求めてはならず、パスワードが盗まれたなどの証拠がある場合は必ず変更させる、としています。共有アカウントで二段階認証を複数人が使うときの問題は 二段階認証(二要素認証)とは で扱います。