アクセス承認: Google スタッフがサポート データを閲覧するにあたり、承認のリクエストを求めます

アクセス承認を使用するには、Google Workspace の Assured Controls または Assured Controls Plus のアドオンが必要です。詳しくは、営業担当者にお問い合わせください。

Google Workspace のアクセス承認を使用すると、Google スタッフに対して、サポート操作に関連するデータを閲覧する前に組織に承認をリクエストするよう求めることができます。アクセス承認ポリシーは、組織内のすべてのユーザーに適用することも、部門やグループごとに異なるポリシーを設定することもできます。また、Assured Controls ルールを使用して、分類ラベルに基づいてデータに承認要件を適用することもできます。

Google スタッフによるアクセスについて

  • Google スタッフがお客様のデータにアクセスできるのは、サポート サービスを提供するのに必要な場合、契約上の義務および法的義務を果たすのに必要な場合、システムを保護または維持する場合に限られます。
  • アクセス承認は、アクセス管理とアクセス承認の対象となるデータで説明されている特定のコアサービスのデータに対応しています。

アクセス承認を利用するための要件

アクセス承認を使用するには、Google Workspace の Assured Controls または Assured Controls Plus アドオンが必要です。アクセス承認のメリットを最大限に活かすため、Assured Controls に割り当てるユーザーは、Workspace Frontline Plus または Enterprise Plus を使用している組織（Assured Controls または Assured Controls Plus アドオンを利用）のメンバーである必要があります。アクセス承認イベントは、アクセスの透明性ログに表示されます。

注: Frontline Plus または Enterprise Plus の管理者の場合、同じ組織部門に複数のサブスクリプション レベルのユーザーが含まれていることがあります。アクセス承認を使用して特定の組織部門に対してポリシーを設定した場合、そのポリシーは組織部門内の Assured Controls ライセンスを持つユーザーにのみ適用されます。詳しくは、複数の Google Workspace エディションを使用している場合をご覧ください。

特定の部門またはグループにアクセス承認ポリシーを適用する

  1. Google 管理コンソールで、メニュー アイコン 次に [データ] 次に [コンプライアンス] 次に [アクセス承認] に移動します。

    この操作を実施するには、特権管理者としてログインする必要があります。

  2. [ユーザーベースの適用範囲の設定] をクリックします。
  3. （省略可）設定を一部のユーザーにのみ適用するには、横にある [組織部門]（主に部署に使用）または [グループ]（高度な設定）を選択します。

    グループの設定は組織部門の設定をオーバーライドします。詳細

  4. [Google スタッフが対象となるデータにアクセスする前に、明示的な承認を得ることを必須にする] チェックボックスをオンにします。
  5. [保存] をクリックします。または、組織部門の [オーバーライド] をクリックします。

    後で継承値を復元するには、[継承]（グループの場合は [設定解除]）をクリックします。

部門、グループ、データ分類ラベルに基づいてアクセス承認ポリシーを適用する

  1. Google 管理コンソールで、メニュー アイコン 次に [データ] 次に [コンプライアンス] 次に [アクセス承認] に移動します。

    この操作を実施するには、特権管理者としてログインする必要があります。

  2. [ルールベースのスコープ設定] で、[Assured Controls ルール] をクリックして、ルール作成ウィザードを開きます。
  3. 部門、グループ、データ分類ラベルに基づいてポリシーを割り当てます。詳しくは、アクセス管理とアクセス承認の Assured Controls ルールをご覧ください。

注:

  • サポートの応答時間は、Google Workspace サポートがお客様の承認を待つ間だけ長くなります。サービスの高可用性と Google Workspace サポートによる迅速な対応が必要になる場合は、アクセス承認を有効にすることの影響を十分に考慮することをおすすめします。
  • 状況によっては（単独のユーザーに対するサービス停止の修復や法的要請など）、時間的制約のため、アクセス承認ポリシーを省略してお客様のコンテンツにアクセスする必要がある場合があります。
  • セットアップ中にポリシーの競合が発生することがあります。解決方法の詳細については、ポリシーの競合の解決をご覧ください。

アクセス承認リクエストの管理

アクセス承認リクエストを表示するには、アラート センターのアラート リストをフィルタします。

アクセス承認リクエストをフィルタする

  1. Google 管理コンソールで、メニュー アイコン 次に [セキュリティ] 次に [アラート センター] に移動します。

    アクセスするには、アラート センターの管理者権限が必要です。

  2. リストビューで [フィルタを追加] をクリックします。
    1. フィルタのリストから [アラートの種類] を選択します。
    2. [アラートの種類] のリストで、[アクセス承認リクエスト] オプションをオンにします。
    3. [適用] をクリックします。

詳しくは、アラート センターを使用するをご覧ください。

アクセス承認のアラートの詳細

アクセス承認アラートのリストで、リクエストをクリックしてアラートの詳細を表示します。

管理者は、リクエストの重大度とステータスを設定し、組織内の管理者にリクエストを割り当てることができます。管理者は削除とアラートも行うことができます。

  • 重大度（高、中、低）
  • ステータス（未開始、進行中、終了）
  • [割り当て先]（リクエスト内の組織の管理者のメールアドレス）を入力します。

リクエストの詳細は、[キーの詳細] パネルで確認できます。

  • データ アクセスのスコープ（Google スタッフがアクセスする必要があるデータが含まれる組織または子組織）
  • リソースタイプ（Gmail やドライブなどのメインデータ）
  • アクセス リージョン（どこからデータにアクセスするか）
  • アクセス期間（5 日間、15 日間、30 日間）
  • アクセス終了日（データアクセスが失効する日時）
  • ステータス（保留中、承認済み、不承認、承認取り消し）
  • リクエスト ID（自動生成）

すべてのアクションは [アラートの履歴] に表示されます。アクセスを承認、拒否、取り消すときに、操作の理由を入力できます。この理由は履歴に保存されます。

アクセス承認リクエストを承認または拒否する

管理者がリクエストを承認または拒否するには、アクセス承認リクエストの管理権限が必要です。

[利用可能なアクション] タスクは、[キーの詳細] のリクエスト ステータスに対応しています。

ステータスが [保留中] の場合は、[返信] をクリックして、次の操作を行います。

  • 5 日間、15 日間、または 30 日間のアクセスを承認します。

  • このアクセス リクエストを却下する

    注: リクエストを拒否しても、以前に承認したアクセス承認リクエストによって付与されたアクセス権は維持されます。

  • 回答の説明を追加します。

リクエストのステータスが [期限切れ] の場合、操作はできません。

承認を取り消す

[キーの詳細] のリクエスト ステータスが [承認済み] で、アクセス期間がまだ経過していない場合、管理者はアクセス権を取り消すことができます。

  1. 承認されたリクエストを表示し、[この承認を取り消す] をクリックします。
  2. フォームに説明を入力し、[この承認を取り消す] をクリックします。

注: 承認済みのリクエストに対するアクセス権を取り消しても、同じスコープを対象とする、以前に承認された別のアクセス承認リクエストを通じて付与されたアクセス権が取り消されることはありません。

アクセス承認リクエストに対するレスポンスを確認する

監査と調査またはセキュリティ調査ツールを使用すると、アクセス承認リクエストに対する過去の回答を確認できます。

注: セキュリティ調査ツールにアクセスできるかどうかは、Google Workspace のエディション、検索対象のデータソース、管理者権限によって異なります。詳細については、セキュリティ調査ツールのデータソースをご覧ください。

セキュリティ調査ツールで検索するには:

  1. Google 管理コンソールで、メニュー アイコン 次に [セキュリティ] 次に [セキュリティ センター] 次に [調査ツール] に移動します。

    調査ツールを開くには、セキュリティ センターの管理者権限が必要です。

  2. [データソース] をクリックし、[管理ログイベント] を選択します。
  3. [条件を追加] をクリックします。
  4. [属性] [イベント] をクリックします。
  5. 演算子の後で、[イベント] をクリックし、テキスト検索でアクセス承認を見つけて [アクセス承認に関する管理者の操作] を選択します。
  6. [検索] をクリックします。
  7. 検索結果を確認します。[説明] 列に、組織内のアクセス承認リクエストに対する過去のレスポンス（承認または拒否）が表示されます。[アクター] 列には、[アクセス アラートの詳細] でこのリクエストに割り当てられた管理者が表示されます。

セキュリティ調査ツールを使用して管理ログイベントの履歴を確認する方法について詳しくは、管理ログイベント: セキュリティ調査ツールをご覧ください。

[監査と調査] ページから検索するには:

  1. Google 管理コンソールで、メニュー アイコン 次に [レポート] 次に [監査と調査] 次に [管理ログイベント] に移動します。

    アクセスするには、監査と調査の管理者権限が必要です。

  2. [フィルタを追加] をクリックし、[イベント] を選択します。
    1. [イベント] リストで、[アクセス承認に関する管理者の操作] を選択します。
    2. [適用] をクリックします。
    3. [検索] をクリックします。
  3. ページ下部の表で検索結果を確認します。[説明] 列に、組織内のアクセス承認リクエストのステータス（承認または拒否）が表示されます。

[監査と調査] ページを使用して過去の管理ログイベントを確認する方法について詳しくは、管理ログイベント: [監査と調査] ページをご覧ください。

アクセス承認メールの管理

管理者は、新たに保留されたアクセス承認リクエストをメールで受け取ることができます。メール通知は、アクセス承認リクエスト ルールで構成できます。