2022 年 6 月まで、Enterprise、Education Standard、Education Plus の各エディションで、パスワードが保管されたアプリをご利用いただけました。2022 年 9 月 21 日にこの機能の廃止が開始されました。廃止の完了は 2023 年 6 月 21 日の予定です。詳細
Google Workspace は、SAML を介した連携を利用するアプリのシングル サインオンをサポートしています。多くのアプリがこの標準に対応していますが、連携をサポートしていないアプリや、ログインに認証情報を必要とするアプリも多数存在します。
管理者は、（パスワード保管機能によって）パスワードが保管されたアプリサービスを使用して、連携をサポートしていない一部のアプリと、ユーザー ダッシュボードで提供される一部のアプリへのアクセスを管理できます。このサービスでは、アプリケーションの一連のログイン認証情報を保存したうえで、この認証情報をグループとの関連付けを介してユーザーに割り当てます。グループを介していずれかのアプリケーションにアクセスできるユーザーは、ユーザー ダッシュボードからログインするか、特定のアプリケーションから直接ログインできます。この機能は、Chrome または Firefox の拡張機能（プラグイン）を利用することで実現されています。
パスワードが保管されたアプリサービスにアプリを追加するときは、アプリ ライブラリ内のウェブベース アプリからアプリを検索、選択するか、カスタムアプリを追加できます。これにより、ユーザー名とパスワードを安全に管理しながら、組織内のユーザーがすでに使用しているすべてのアプリにワンクリックで容易にアクセスできるようにすることが可能です。
1. パスワードが保管されたアプリ用の新しいグループ構造を設定する
パスワードが保管されたアプリを組織で設定する前に、対象となるアプリ専用の新しいグループ構造を Google 管理コンソールで設定することをおすすめします。新しいグループ構造を設定すると、管理者は管理コンソールでの他のワークフローおよび設定に対する影響を避けやすくなり、ユーザーはユーザー ダッシュボードでアプリに容易にアクセスできるようになります。
パスワードが保管されたアプリ専用の新しいグループ構造の設定手順は以下のとおりです。
- パスワードが保管されたアプリサービスに追加する各アプリに対し、アクセス グループを 1 つ以上作成します。これらのグループに対して、後ほどユーザー アクセスの割り当てを設定します。グループを使用してアクセスを制御する方法と詳細については、グループの作成方法をご覧ください。
- アクセス グループにユーザー（または他のグループ）を追加します。
たとえば、次のようにグループ構造を設定できます（pva はパスワードが保管されたアプリを表します）。
| アプリ | アプリグループ（認証情報を保持） | メンバー（グループ、ユーザー、ロール） |
|---|---|---|
| Mixateria | pva_mixateria | セールスチーム |
| pva_twitter | 販売チーム、オペレーション | |
| Slack | pva_slack_pr | 広報、マーケティング |
| Slack | pva_slack_legal | 顧問弁護士 |
パスワードが保管されたアプリサービスにアプリを追加した後は、グループのメンバーシップを管理してアプリへのアクセスを管理できます。
注:
- 場合によっては、アプリの複数のインスタンス（マルチテナント アプリと呼ばれます）をユーザー ダッシュボードに表示し、アプリごとに異なるログイン URL を用意することもあります。たとえば、上記の表に示したとおり、広報とマーケティング用に Slack アプリのインストールを設定し、顧問弁護士用に同じアプリの別のインストールを設定する場合があります。
- このようなグループの作成には、管理コンソール、Directory API、Google Cloud Directory Sync のいずれかを使う必要があります。ビジネス向け Google グループで作成したグループをアクセス グループとして使用することはできません。（グループがビジネス向け Google グループで作成されたかどうかは、管理コンソールには表示されません）。
- パスワードが保管されたアプリサービスでは、アプリへのアクセスはグループの関連付けを通して管理できますが、組織部門の関連付けを通して管理することはできません。
2. パスワードが保管されたアプリを Google 管理コンソールで設定する
パスワードが保管されたアプリを Google 管理コンソールで設定するには:
- パスワードが保管されたアプリサービスにアプリを追加します（既存のアプリリストから選択）。
- ログイン認証情報を追加する
- ユーザーまたはグループにアプリへのアクセス権を付与する
重要なガイドライン:
- 管理者は、サードパーティ製アプリのパスワードを変更するとき、Google 管理コンソールの [アプリ] > [パスワードが保管されたアプリ] でパスワードを必ず更新してください。
- 従業員の離職時は、複数のアプリで使われている認証情報を、サードパーティ製アプリと Google 管理コンソールの両方で変更した方がよい場合があります。さらに、個人アカウントについてはアプリ内から削除することも検討してください。管理コンソールで対象のアプリを選択し、[認証情報] に移動すると設定できます。この操作は、まずサードパーティ製アプリのパスワードを変更してから行うようにしてください。
- アプリケーションに 2 段階認証プロセスが含まれており、そのアプリケーションをパスワード保管アプリ サービスに追加すると、Chrome 拡張機能は通常どおり動作します。つまり、拡張機能はユーザーのアカウントのユーザー名とパスワードを入力しますが、ユーザーがパスワード保管アプリにアクセスしようとすると、2 つ目の要素の入力を求められます。
- パスワード保管機能により、認証情報とアプリへのアクセスを制御できます。パスワードが誤って漏洩しないようにするため、他のパスワード管理アプリケーションまたはログイン時にパスワードを保存するアプリケーションをユーザーに対して有効にしないでください。
- パスワードが保管されたアプリは Chrome と Firefox でのみサポートされており、モバイル デバイスには現在のところ対応していません。
- 他のパスワード管理アプリケーションと同様に、ユーザーがウェブサイトにログインするためのパスワードは、Chrome Developers Console などの開発ツールを使用しているユーザーによってアクセスされる可能性もあります。認証情報が機密情報であり、他のユーザーによってパスワードが取得されるリスクを負うことができない場合は、パスワードが保管されたアプリの代わりに SAML 認証を使用してください。
3. ユーザーの準備を行う
パスワードが保管されたアプリサービスからアプリケーションにアクセスするためには、以下の手順に沿って、ブラウザ拡張機能 Cloud Identity Account Manager を Chrome にインストールする必要があります。
また、Chrome ブラウザ クラウド管理を使用している場合は、ユーザーの代わりに拡張機能をインストールすることも可能です。ユーザーの代わりに拡張機能をインストールする方法についての詳細は、Chrome ブラウザ拡張機能を管理コンソールで管理するとアプリや拡張機能を自動的にインストールするをご覧ください。この拡張機能をインストールする際は、必ず次の拡張機能 ID を使用してください。
bepedphhpelcmjancenhicofcbepgmpk
パスワードが保管されたアプリにユーザーがアクセスできるようにするため、ユーザーに以下の手順を行ってもらいます。
- 個人の Gmail アカウントではなく企業アカウントにログインします。
- Chrome にブラウザ拡張機能 Cloud Identity Account Manager をインストールします。次の URL にアクセスします。
https://chrome.google.com/webstore/detail/cloud-identity-account-ma/bepedphhpelcmjancenhicofcbepgmpk - [Chrome に追加] をクリックします。
省略可: Cloud Identity Account Manager ブラウザ拡張機能をまだインストールしていない場合、パスワードが保管されたアプリをユーザー ダッシュボード内でクリックすると、拡張機能をインストールするよう求められます。その場合は、ポップアップ ウィンドウの [拡張機能をインストール] をクリックします。表示される手順に沿って拡張機能を追加できます。
注:
- Cloud Identity Account Manager ブラウザ拡張機能のインストール中に Chrome プロファイルにログインしていない場合は、続行する前に同期を有効にするよう求められます。企業アカウントでログインし、[データをリンク] をクリックして、[同期を有効にする] ウィンドウで [有効にする] をクリックします。
- 拡張機能をインストールすると、IT 管理者からアクセス権を付与されている、パスワードが保管された任意のアプリをダッシュボードから使用できます。また、サードパーティのサイト（box.com や twitter.com など）にアクセスすることで、パスワードが保管されたアプリに自動的にログインできる場合もあります。
- Firefox のブラウザ拡張機能は Chrome と同一のものですが、Firefox とのプロファイル同期は必要ありません。
- ダッシュボードの詳細については、Google Workspace ステータス ダッシュボードを使ってみるをご覧ください。