Keyvaci連携 · Google Workspace
チームの保管庫を、
Google のアカウントで開く
組織が Google Workspace をお使いなら、チームにはすでに Keyvaci のサインイン手段があります。新しいパスワードを配る必要も、ユーザー一覧をアップロードする必要も、ドメインに何かを導入する必要もありません。
この連携がすること
自社の DNS で、ドメインを確認する
権限を記録に残す
貴社の Workspace からサインインする人であれば組織を作成できますが、その前に、組織から権限を与えられていることを記録付きで確認する必要があります。作成した人が復旧キットの保管者になるため、この確認は氏名と Google が検証した ID とともに監査ログに記録されます。
ドメインは DNS で証明する
管理者が当社の発行する TXT レコードを1つ公開すれば、そのドメインは確定します。組織名の横に確認済みのチェックマークが表示され、そのドメインのアドレスを持つ他の誰も別の組織を作成できなくなります。同僚は招待によって参加します。末尾が同じアドレスを持っているからではありません。
個人の Gmail は拒否します
Workspace ドメインを伴わないサインインは入口で拒否されます。ディレクトリがなければ組織を結び付ける先がないためで、そうしたアカウントはメール経由でご利用いただきます。暗号化はまったく同じです。この規則は一箇所にあり、サービス中に散らばってはいません。
暗号化を弱めない SSO
Google が答えるのは「あなたが誰か」です。何を復号できるかは、依然としてお使いの端末上で導出されるマスターパスワードだけから決まります。二つの仕組みは設計上分かれているため、SSO を足してもゼロ知識性が欠けることはありません。
お使いの認証ポリシーがそのまま効く
Workspace がサインイン時に課すものは、そのまま Keyvaci にも適用されます。サインインが貴社のディレクトリそのものだからです。ディレクトリが二要素について何も述べていない場合、Keyvaci はそれを「未証明」とみなし、前提を置く代わりに自ら追加確認を求めます。
メールアドレスではなく、変わらない識別子
メンバーは Google が発行する恒久的な識別子に結び付きます。アドレスそのものではありません。改姓や結婚、部署異動があっても、自分の保管庫にとって他人になることはありません。
セットアップの全容
3 ステップ、情報システム部門への依頼は不要
Google でサインイン
保管庫を管理する人が「Sign in with Google」をクリックして同意します。他の Workspace アプリと同じ手順で、ディレクトリには何も書き込まれません。
組織を作成
その人が組織を代表する権限を持つことを確認したうえで、ブラウザが組織の署名鍵と復旧鍵をその場で生成し、一度だけ表示します。当社に送られることはありません。あとでドメインを確認すれば、その名前は貴社のものとして確保されます。
メールで招待
メンバーは既存の Google アカウントでサインインし、自動的に認識されます。それぞれがマスターパスワードを設定し、管理者の副署を受けてから保管庫を受け取りはじめます。
すでにメールアカウントで Keyvaci をお使いですか。移行するものは何もありません。サインインと暗号化は別々の仕組みなので、Google の ID を紐づけても鍵と保管庫はそのままの場所に残り、再暗号化は発生しません。
Workspace についての質問
Workspace 管理者からいつも受ける質問
当社の Workspace に変更は必要ですか。
いいえ。ユーザーは他の Workspace アプリと同様に初回サインインで同意し、ディレクトリに書き戻されるものはありません。当社がサインインする ID を超えて Google に求めるものは何もありません。ディレクトリの読み取りも、管理権限も要求しません。
同僚が当社ドメインで別の組織を作成できてしまいますか。
ドメインを確認するまでは可能で、これは意図した割り切りです。小さなチームが申請を待たずに自分たちで始められ、別々の組織はそれぞれ別に暗号化されるため、どちらも相手を読めません。確認すればこれは閉じられます。当社の発行する TXT レコードを公開すれば、そのドメインの他の誰も組織を作成できなくなり、貴社の組織に招待されることだけが可能になります。いずれの場合も、1つの勤務先アドレスが同時に属せる組織は1つです。
当社の Workspace にいない業務委託先はどうなりますか。
確認必須のメール登録で参加し、保管庫を受け取る前に管理者の副署を受けます。ディレクトリのメンバーとまったく同じ流れで、暗号化もどちらの経路でも同一です。
ブラウザ拡張やスマートフォンアプリで Google サインインは使えますか。
まだ使えません。拡張とスマートフォンアプリは現在 Microsoft Entra ID とメールアカウントに対応しており、Google は両方へ順次対応中です。それまでの間も、Workspace 組織の方はメールサインインでこれらのクライアントをご利用いただけ、暗号化も監査証跡も同じです。各クライアントの現在の状況。
メールアカウントで始めると何か失いますか。
セキュリティ上失うものはありません。クライアント側暗号化、副署された鍵、管理者による復旧、鍵の更新、監査はすべて同一です。Google サインインに移ることで得られるのは、管理するパスワードが一つ減ることと、すでに運用しているディレクトリに沿った入退社の流れです。