# Junify for クラウド運用・特権 ID — 管理コンソールのパスワードを、使う人が誰も知らない状態に　IP 制限も、管理画面の設定も、そのまま > ID とパスワードは管理者が Junify に登録し、担当者は自分のスマホで本人確認をしてクリックするだけ。コンソールには Junify が代わりに入力するので、パスワードは知らないまま、共有 ID でも記録は一人ひとり残ります。 必要なのは、担当者のスマホの Junify アプリと、ブラウザーの Junify 拡張機能だけ。会社支給でないパソコンでも使えます。 ## いまは、こうなっていませんか 多くの運用チームでは、まだこうなっています。パスワードを教える以外に、方法がなかったからです。 - 管理者用 ID を複数人で共有。ログは共有 ID の名前だけで、誰の操作か分からない。 - パスワードを台帳(Kintone 等)で管理。見た人は全員が知り、取り消せない。 - 退職・異動のたびに、パスワードを変えて全員に周知。変え忘れれば、そのまま入れる。 - 二段階認証の認証アプリは、特定の人のスマホに。その人がいないと、誰も入れない。 - IP 制限はかけているが、許可した IP の中の「誰か」までは分からない。 > - 一度教えたパスワードは、取り戻せない > - 共有の管理者用 ID では、誰の操作かが残らない > - 辞めた人を止めるには、変えて全員に配り直すしかない ## 仕組み(3 ステップ) はじめに、管理者がコンソールの ID とパスワードを Junify に登録し、誰に使わせるかを決めます(割り当て)。パスワードは担当者に渡さず、コンソールの設定もそのまま。 1. **スマホで本人確認** — パソコンの画面に出る QR を、自分のスマホの Junify アプリで読んでログイン。これが本人確認です。Okta や Entra ID のログインでも入れます。 2. **カードをクリックしてログイン** — 使ってよいコンソールが「カード」として並びます。クリックすると、ブラウザーの Junify 拡張機能が ID とパスワードを入力。本人は見ません。 3. **誰が使ったかが自動で残る** — 本人確認してから使うので、共有の管理者用 ID でも記録は一人ひとり(証跡)。必要なコンソールには録画も。本人に事前表示、見るのは本人と管理者だけ。 準備は、スマホのアプリとブラウザーの拡張機能の 2 つ。日々の操作は「QR を読んで、クリック」だけ。 ## 導入後、あなたの運用はこうなります 新しい管理者を任せる日、担当が外れる日、記録を求められる日。それぞれ、運用チームはこう動けます。 - **退職・異動の日** — 管理者が割り当てを外すだけ。その瞬間から入れません。パスワードは本人に渡していないので、変更も周知も要りません。 - **監査の日** — 誰が・いつ・どのコンソールに入ったかを、一人ひとり出せます。本人確認をしてから使うので、共有 ID のままで答えられます。CSV で提出できます。 - **誤操作・事故の日** — 録画を付けたコンソールなら、再生してその日のうちに報告できます。録画のないコンソールでも、誰がいつ入ったかは残っています。 - **新しい管理者を任せる日** — 管理者がカードを割り当てるだけで、初日から始められます。パスワードは教えません。本人は QR を読んでクリックするだけ。 ## 運用の現場で効くこと - **パスワードだけの管理画面にも** — ドメイン・決済・DNS の管理画面には、SAML 非対応のものが残ります。そこでもパスワードを見せずにログインでき、記録は一人ひとりです。 - **二段階認証のコードも Junify が入力** — 認証アプリにコードが表示される方式なら、コードも Junify が入力します。一人のスマホに縛られません。本人のスマホはコンソールの手前に残ります。 - **ログインの後にも、手が届く** — 困るのは、入った後の操作です。カードで開いた画面は Junify が管理する窓の中で動くので、管理者が終了でき、アップロード検知・ダウンロード制御も。 - **端末にパスワードを残さない** — 出先や自宅の端末から入ると、パスワードや履歴が残ります。カードから開いた画面は履歴を残さないモードの窓で動き、閉じればどちらも残りません。 ## IP 制限は、外すことになりませんか IP 制限は、外しません。通信は担当者のブラウザーと管理画面の間で行われ、送信元の IP は変わりません。Junify はログインの瞬間に ID とパスワードを入力するだけです。Junify 側でも IP と位置情報で制限できます。 ## 既存の IdP との共存 Okta や Entra ID はそのまま。Junify は、その外に残るアカウントを引き受けます。 SAML や OIDC でログインできるアプリと、社員一人ひとりの ID は、これまでどおり IdP に。それでも残るもの(SAML に対応していない管理画面と、IdP に載せられない管理者用 ID)を、Junify が同じ水準に引き上げます。 **IdP がこれまでどおり担うこと** — 社員の本人認証と、SAML・OIDC 対応アプリへの SSO。SCIM 対応アプリの入退社連動。端末や場所による条件付きアクセス。 **IdP の外に残り、Junify が引き受けること** - **複数人で使う管理者用 ID・部門の共有アカウント。** Okta の SWA や Entra ID の password-based SSO でも自動入力はでき、「誰がいつ開いたか」は残ります。違いはログインした後。録画・アップロード検知・ダウンロード制御・遠隔終了を設定できます。 - **IdP に載せていない人。** 兼務や短期の担当者、社外のエンジニアなど、IdP にアカウントを作るほどではない人にも、本人のスマホの本人確認で、必要なカードだけを割り当てられます。記録は同じ個人単位です。 - **会社が管理していない端末。** MDM の入っていない端末から入る必要が出ても、Junify が開くブラウザーの窓の中だけを統制し、パスワードや閲覧の痕跡を端末に残しません。 - **同じ SaaS の複数テナント・複数アカウント。** 本番・検証・部門ごとに分かれたアカウントを、それぞれのカードとして整理し、取り違えを防ぎます。 **共存の形** - 本人確認は IdP に任せる — ステップ 1 の本人確認を、IdP からの SAML ログインで行えます。 - ユーザーは IdP と同期 — Entra ID・Active Directory・SCIM から、入退社に追随させます。 - IdP に載せない人は、スマホの Junify アプリで本人確認 — メールアドレスがなくても QR からログインできます。 全員に個人アカウントを発行でき、SAML・OIDC と SCIM で管理しきれるなら、IdP だけで十分です。Junify の出番は、その前提から外れるアカウントが残るときです。 ## 実際の導入から - **AWS 運用(特権 ID)** — コンソールのパスワードを台帳で管理していました。Junify に移し、担当者はカードからログインする形に。誰が・いつ入ったかが、一人ひとり残ります。 ## よくある質問 1. **管理コンソールのパスワードを Junify に預けて大丈夫ですか?** — 2016 年設立。金融機関・上場企業を含む導入実績。米国の公的なセキュリティ基準(NIST CSF)に準拠した体制。審査時は BCP・セキュリティ文書をご提供。稼働状況は status.junify.com で公開。 2. **二段階認証が必須のコンソールは?** — 認証アプリにコードが表示される方式なら、コードも Junify が入力します。SMS やメールで届くコードは対象外です。カードを開けるのはスマホで本人確認した人だけなので、本人のスマホはコンソールの手前に残ります。 3. **IP 制限を外す必要がありますか?** — ありません。通信は担当者のブラウザーと管理画面の間で行われます。Junify はログインの瞬間に ID とパスワードを入力するだけで、経路の途中には入りません。 4. **担当外の人が、急に入る必要が出たら?** — 管理者がその人にカードを割り当てるだけで、その場で入れます。パスワードを共有し直す必要はありません。必要なのは本人のスマホの Junify アプリとブラウザーの拡張機能だけで、会社支給でない端末でも使えます。 5. **画面の録画は、誰が設定して、誰が見るのですか?** — 管理者が、必要なコンソールにだけ設定します。始まる前に本人へ表示され、見られるのは本人と管理者だけ。画面の変化だけを記録する軽い方式です。誰が・いつ入ったかの記録(証跡)は、録画とは別に CSV で出せます。 6. **Okta などの IdP を使っています。** — IdP はそのままです。Junify への本人確認を IdP のログインに任せ、IdP に載らない管理画面と共有の管理者用 ID を Junify で管理する構成にできます。置き換えではありません。 7. **PAM 製品やパスワードマネージャーとの違いは?** — PAM は踏み台に通信を通します。Junify は経路を変えず、ログインの瞬間に入力するだけ。サーバー・OS の特権管理は対象外です。パスワードマネージャーは本人にパスワードを見せますが、Junify は見せません。 8. **料金は?** — 使う人数の上限が決まったプランで、その範囲なら何名で使っても料金は同じです。円建ての固定額で、運用チームの規模に合わせてデモの際にご案内します。 ## 核心 本人をスマホで特定し、パスワードは渡さず、記録は軽い仕組みで残り、端末を選ばない。この 4 つを 1 つの仕組みで満たします。 ## 会社 Junify Corporation。2016 年設立、米国 Palo Alto(470 Ramona St, Palo Alto, CA 94301)。 - 金融機関・上場企業を含む導入実績 - 米国の公的なセキュリティ基準(NIST CSF)に準拠した体制。審査時は BCP・セキュリティ文書をご提供 - 稼働状況を常時公開(https://status.junify.com) ## 次の一歩 - 登録不要で、実際に触ってみる(約 5 分): https://www.junify.jp/bpo/try?scenario=privileged-access - 30 分デモを予約する: https://www.junify.jp/bpo/demo - 資料をダウンロードする: https://www.junify.jp/bpo/download - メール: info@junify.com