2022 年 6 月まで、Enterprise、Education Standard、Education Plus の各エディションで、パスワードが保管されたアプリをご利用いただけました。2022 年 9 月 21 日にこの機能の廃止が開始されました。廃止の完了は 2023 年 6 月 21 日の予定です。詳細
Google Workspace は、SAML を介した連携を利用するアプリのシングルサインオンをサポートしています。多くのアプリがこの標準に対応していますが、連携をサポートしていないアプリや、ログインに認証情報を必要とするアプリも多数存在します。
管理者は、（パスワード保管機能によって）パスワードが保管されたアプリサービスを使用して、連携をサポートしていない一部のアプリと、ユーザー ダッシュボードで提供される一部のアプリへのアクセスを管理できます。このパスワード保管機能付きアプリサービスでは、アプリケーションの一連のログイン認証情報を保存したうえで、この認証情報をグループとの関連付けを介してユーザーに割り当てます。グループを介していずれかのアプリケーションにアクセスできるユーザーは、ユーザー ダッシュボードからログインするか、特定のアプリケーションから直接ログインできます。この機能は、Chrome または Firefox の拡張機能/プラグインを利用することで実現できます。
パスワードが保管されたアプリサービスにアプリを追加するときは、利用できる ウェブベースのアプリケーションをアプリのライブラリから探して選ぶことも、カスタムアプリを指定することもできます。こうすることで、ユーザー名とパスワードを安全に管理しながら、組織内のユーザーは普段使っているアプリにワンクリックでアクセスできるようになります。
1. パスワードが保管されたアプリ用の新しいグループ構造を設定する
パスワードが保管されたアプリを組織で設定する前に、対象となるアプリ専用の新しいグループ構造を Google 管理コンソールで設定することをおすすめします。新しいグループ構造を設定すると、管理者は管理コンソールでの他のワークフローおよび設定に対する影響を避けやすくなり、ユーザーはユーザー ダッシュボードでアプリに容易にアクセスできるようになります。
パスワードが保管されたアプリ専用の新しいグループ構造の設定手順は以下のとおりです。
- パスワードが保管されたアプリサービスに追加する各アプリに対し、アクセス グループを 1 つ以上作成します。これらのグループに対して、後ほどユーザー アクセスの割り当てを設定します。グループを利用したアクセス制御について詳しくは、グループを作成するをご覧ください。
- アクセス グループにユーザーまたは他のグループを追加します。
たとえば、次のようにグループ構造を設定できます（ pva はパスワードが保管されたアプリを表します）。
| アプリ | アプリグループ（認証情報を保持） | メンバー（グループ、ユーザー、役割） |
|---|---|---|
| Mixateria | pva_mixateria | 販売チーム |
| pva_twitter | 販売チーム、オペレーション | |
| Slack | pva_slack_pr | 広報、マーケティング |
| Slack | pva_slack_legal | 顧問弁護士 |
パスワードが保管されたアプリサービスにアプリを追加した後は、グループのメンバーシップを管理してアプリへのアクセスを管理できます。
注:
- 場合によっては、アプリの複数のインスタンス（別称「マルチテナント アプリ」）をユーザー ダッシュボードに表示し、アプリごとに異なるログイン URL を用意することもあります。上の表を例にすると、Slack アプリのインストールを広報およびマーケティング用と顧問弁護士用とで別個に設定する、といったやり方です。
- このようなグループの作成には、管理コンソール、Directory API、Google Cloud Directory Sync のいずれかを使う必要があります。ビジネス向け Google グループで作成したグループをアクセス グループとして使用することはできません（グループがビジネス向け Google グループで作成されたかどうかは、管理コンソールには表示されません）。
- パスワードが保管されたアプリサービスでは、アプリへのアクセスはグループの関連付けを通して管理できますが、組織部門の関連付けを通して管理することはできません。
2. パスワードが保管されたアプリを Google 管理コンソールで設定する
パスワードが保管されたアプリを Google 管理コンソールで設定するには:
- パスワードが保管されたアプリサービスにアプリを追加します（既存のアプリリストから選択）。
- ログイン認証情報を追加します。
- ユーザーまたはグループにアプリへのアクセス権を付与します。
重要なガイドライン:
- 管理者は、サードパーティ製アプリのパスワードを変更するとき、Google 管理コンソールの [アプリ > パスワードが保管されたアプリ] でパスワードを必ず更新してください。
- 従業員の離職時は、複数のアプリで使われている認証情報を、サードパーティ製アプリと Google 管理コンソールの両方で変更した方がよい場合があります。さらに、個人アカウントについてはアプリ内から削除することも検討してください。管理コンソールで対象のアプリを選択し、[認証情報] に移動すると設定できます。この操作は、サードパーティ製アプリのパスワードを変更した後でのみ行ってください。
- 2 段階認証プロセスが設定されているアプリをパスワードが保管されたアプリサービスに追加した場合、Chrome 拡張機能は通常どおり動作します。つまり、ユーザーに代わって拡張機能によってアカウントのユーザー名とパスワードは入力されますが、ユーザーが該当のアプリにアクセスしようとすると、第二の要素の入力を求められます。
- パスワード保管機能により、認証情報とアプリへのアクセスを制御できます。パスワードが誤って漏洩しないようにするため、他のパスワード管理アプリケーションまたはログイン時にパスワードを保存するアプリケーションをユーザーに対して有効にしないでください。
- パスワード保管機能によってパスワードが保管されたアプリは Chrome と Firefox でのみサポートされており、モバイル デバイスには現在のところ対応していません。
- 他のパスワード管理アプリケーションと同様に、ユーザーがウェブサイトにログインするためのパスワードは、Chrome Developers Console などの開発ツールを使用しているユーザーによってアクセスされる可能性もあります。認証情報が機密情報であり、他のユーザーによってパスワードが取得されるリスクを負うことができない場合は、パスワードが保管されたアプリの代わりに SAML 認証 を使用してください。
3. ユーザーの準備を行う
パスワードが保管されたアプリサービスからアプリケーションにアクセスするためには、ブラウザ拡張機能 Cloud Identity Account Manager を Chrome にインストールする必要があります。手順は以下のとおりです。
Chrome ブラウザ クラウド管理を使用している場合は、ユーザーの代わりに拡張機能をインストールすることも可能です。ユーザーの代わりに拡張機能をインストールする方法についての詳細は、Chrome ブラウザ拡張機能を管理コンソールで管理するとアプリや拡張機能を自動的にインストールするをご覧ください。この拡張機能をインストールする際は、必ず次の拡張機能 ID を使用してください:
bepedphhpelcmjancenhicofcbepgmpk
パスワードが保管されたアプリにユーザーがアクセスできるようにするため、ユーザーに以下の手順を行ってもらいます。
- 個人の Gmail アカウントではなく企業アカウントにログインします。
- ブラウザ拡張機能 Cloud Identity Account Manager を Chrome にインストールします。次の URL にアクセスします。
https://chrome.google.com/webstore/detail/cloud-identity-account-ma/bepedphhpelcmjancenhicofcbepgmpk - [Chrome に追加] をクリックします。
省略可: Cloud Identity Account Manager ブラウザ拡張機能をまだインストールしていない場合、パスワードが保管されたアプリをユーザー ダッシュボード内でクリックすると、拡張機能をインストールするよう求められます。その場合は、ポップアップ ウィンドウの [拡張機能をインストール] をクリックします。表示される手順に沿って拡張機能を追加できます。
注:
- Cloud Identity Account Manager ブラウザ拡張機能のインストール中に Chrome プロファイルにログインしていない場合は、続行する前に同期を有効にするよう求められます。企業アカウントでログインし、[データをリンク] をクリックして、[同期を有効にする] ウィンドウで [有効にする] をクリックします。
- 拡張機能をインストールすると、IT 管理者からアクセス権を付与されている、パスワードが保管された任意のアプリをダッシュボードから使用できます。また、サードパーティのサイト（ box.com や twitter.com など）にアクセスすることで、（パスワード保管機能によって）パスワードが保管されたアプリに自動的にログインできる場合もあります。
- Firefox のブラウザ拡張機能は Chrome と同一のものですが、Firefox とのプロファイル同期は必要ありません。
- ダッシュボードの詳細については、Google Workspace ステータス ダッシュボードを使ってみるをご覧ください。