パスワードマネージャーから別の仕組みに移るとき、何を確かめるか

パスワードマネージャーを替えるきっかけには、費用や使い勝手への不満のほか、共有のしかたへの不満もあります。ただ、保管庫には共有アカウントのほかに、社員個人の ID、メモ、カード情報、パスキーまで入っています。どれをどこへ移し、何を残すかを決めずに書き出すと、移らなかったものに後から気づきます。

移りたい理由を分ける

理由は 2 つに分かれます。1 つは、費用や画面の使いやすさ、対応する端末など、製品への不満です。同じ種類の別の製品に移れば解決することがあります。

もう 1 つは、共有のしかたから来る困りごとです。担当者がパスワードを見られることと、人が辞めるたびにパスワードを変えて配り直すことが、これに当たります。保管庫で共有した項目は、見せない設定にしても自動入力で使えます。Bitwarden の公式ヘルプも、隠したパスワードはほかの共有したパスワードと同じに扱うよう求めています(パスワードを見せない共有設定で、パスワードは守れるか)。そのため、同じ種類の製品に移っても、この 2 つは残ります。なくすには、担当者にパスワードを見せずにログインさせる仕組みが要ります。

移すときにパスワードを変えるかも、どの項目を新しい仕組みに入れずに別の場所へ置くかも、この理由で決まります。

保管庫の中身を種類ごとに分ける

• 複数人で使う業務のアカウント(共有アカウント)
• 社員一人ひとりの業務の ID
• 社員の私用のパスワード
• メモ、カード情報、住所などの項目
• パスキー(パスワードの代わりに、端末の指紋認証などでログインする仕組み)
• 認証アプリにコードを出すための設定と、二段階認証の予備のコード
• 添付ファイル

私用のパスワードは会社の移行の対象にせず、本人の個人のアカウントへ移してもらいます。扱いは個人で使っているパスワードマネージャーに会社のパスワードを入れてよいかにまとめています。

移り先がパスワードマネージャーでない場合は、共有アカウント以外の置き場所を別に決めます。共有アカウントへのログインを受け持つ仕組みは、メモやカード情報、社員個人のパスキーの置き場所にはならないからです。

書き出す前に確かめること

誰が書き出せるか

法人向けプランでは、管理者の設定で書き出しが止められていることがあります。LastPass の Teams・Business には、管理者が書き出しを禁じる設定(画面では「Prohibit export」)があります。Keeper の法人向けプランでは、権限の設定で書き出しが許されている必要があります。Bitwarden の Enterprise には、メンバーが自分の保管庫を書き出せなくする設定(「Remove export」)があります。所有者と管理者には効きません。1Password では、会社の ID 管理サービスのログインで保管庫を開く設定(画面では「Unlock with SSO」)の人は書き出せません。管理者がその人の設定を外すと、書き出せるようになります。

共有の項目は、管理者がまとめて書き出すものと考えます。Bitwarden では、個人の保管庫を書き出しても組織の項目は含まれません。組織の項目を書き出せるのは所有者、管理者、一部の独自の権限を持つ人です。コレクション(Bitwarden の共有の単位)の管理の権限を持つメンバーは、自分が使えるコレクションの分だけ書き出せます。

形式によって移らないもの

CSV(表計算ソフトで開ける形式)は、移せる項目が少ない形式です。1Password の CSV に入るのはログインとパスワードの項目だけで、二段階認証の予備のコードのような独自の欄は入りません。それらが要るときは、1Password 独自の 1PUX 形式を選びます。Bitwarden では、カード、個人情報の項目、パスキーなどは、JSON(Bitwarden で選べる書き出しの形式の 1 つ)にだけ入ります。ゴミ箱の項目はどの形式にも入りません。LastPass の CSV では、添付ファイルと、保管庫で作る認証コードが書き出されません。

パスキーは別に確かめます。1Password の公式ヘルプでは、パソコンのアプリからはパスキーを書き出せません。移すには、スマホのアプリから Credential Exchange に対応したアプリへ渡すか、各サイトでパスキーを作り直します。Credential Exchange は、パスキーなどをアプリどうしで直接受け渡す規格です。Bitwarden は JSON の書き出しにパスキーを含め、スマホのアプリでは同じ規格での受け渡しにも対応しています。

取り込む側の制限もあります。1Password が CSV から取り込むのは、ログイン、クレジットカード、メモの 3 種類です。Bitwarden は取り込みのときに重複を確かめないので、同じファイルを 2 回取り込むと項目が二重になります。添付ファイルは 1 件ずつ入れ直します。1Password の法人のアカウントで保管庫を作る権限がない人は、1PUX ファイルから個人用の保管庫(Employee など)の項目しか取り込めません。

書き出したファイルの扱い

CSV や 1PUX のファイルは暗号化されず、手にした人は誰でも中のパスワードを読めます。1Password と Bitwarden の公式ヘルプは、メールで送らず、使い終えたら消すよう求めています(1Password はオンラインに置かないことも)。暗号化して書き出す方法もあります。Bitwarden はパスワードをかけた JSON で、Keeper は KeePass(別のパスワード管理ソフト)の形式で書き出せます。

誰がどのパソコンで書き出し、いつ消すかは、作業の前に決めておきます。共有のフォルダーやクラウドに置くと、そこを開ける人全員がパスワードを読めるからです。

移したあと、パスワードを変えるか

担当者にパスワードを見せない仕組みへ移すなら、移すときに変えます。変えなければ、これまで保管庫でパスワードを見られた人は、新しい仕組みを通らずにログインできるままだからです。保管庫に認証コードの設定を入れていたアカウントは、二段階認証の登録もやり直します。古い保管庫や書き出したファイルに残る設定から、同じコードを作れるからです。

同じ種類の製品に移るだけなら、パスワードを知っている人は移しても変わりません。人が辞めるたびに変える作業は移った先でも続き、その手順はパスワードマネージャーで共有していた人が辞めるとき、何を止めて何を変えるかにまとめています。

並べて使う期間と拡張機能の切り替え

ブラウザー自身のパスワード保存は、止めるよう 1Password と Bitwarden の公式ヘルプが案内しています。自社の拡張機能(ブラウザーに追加する小さなプログラム)の入力の邪魔になるからです。古い製品と新しい仕組みを並べる間も、同じログイン画面に 2 つの入力の機能が並びます。アカウントごとに、どちらで入るかを決めて切り替えます。

並べる期間は短くします。新しい仕組みの側でパスワードを変えると、古い保管庫から入ろうとした人はログインできないからです。

終えるときは、次の 3 つを片付けます。

1. 各パソコンのブラウザーから、古い製品の拡張機能を外す。保管庫を消すまでは、古い項目を入力し続けるからです。
2. ブラウザーに保存されたパスワードを消し、保存の提案を止める。Chrome での止め方は、Bitwarden の公式ヘルプに載っています。
3. 古い保管庫を消す。1Password では、契約が切れたアカウントは消えずに凍結され、項目を見ることもパスワードをコピーすることもできます。Business のアカウントはサポートに連絡して消し、Teams のアカウントは所有者が消せます。どちらも削除から 30 日で情報が消えます。