Keyvaci連携 · Google Workspace
チームの保管庫を、
Google のアカウントで開く
組織が Google Workspace をお使いなら、チームにはすでに Keyvaci のサインイン手段があります。新しいパスワードを配る必要も、ユーザー一覧をアップロードする必要も、ドメインに何かを導入する必要もありません。
この連携がすること
最初のクリックから、ドメインで検証する
本物の特権管理者だけ
組織の作成には、その Workspace ドメインの特権管理者であることが必要です。しかもトークン内の申告を信じるのではなく、Google のディレクトリに照会して確認します。勤務先のメールアドレスを持っているだけの人が、貴社の保管庫を登録することはできません。
1 ドメインに 1 組織
ドメインは1つの Keyvaci 組織に対応し、同じドメインの同僚であっても参加には招待が必要です。末尾が同じアドレスを持っているというだけで、誰かが保管庫の中にいることはありません。
個人の Gmail は拒否します
Workspace ドメインを伴わないサインインは入口で拒否されます。ディレクトリがなければ組織を結び付ける先がないためで、そうしたアカウントはメール経由でご利用いただきます。暗号化はまったく同じです。この規則は一箇所にあり、サービス中に散らばってはいません。
暗号化を弱めない SSO
Google が答えるのは「あなたが誰か」です。何を復号できるかは、依然としてお使いの端末上で導出されるマスターパスワードだけから決まります。二つの仕組みは設計上分かれているため、SSO を足してもゼロ知識性が欠けることはありません。
お使いの認証ポリシーがそのまま効く
Workspace がサインイン時に課すものは、そのまま Keyvaci にも適用されます。サインインが貴社のディレクトリそのものだからです。ディレクトリが二要素について何も述べていない場合、Keyvaci はそれを「未証明」とみなし、前提を置く代わりに自ら追加確認を求めます。
メールアドレスではなく、変わらない識別子
メンバーは Google が発行する恒久的な識別子に結び付きます。アドレスそのものではありません。改姓や結婚、部署異動があっても、自分の保管庫にとって他人になることはありません。
セットアップの全容
3 ステップ、情報システム部門への依頼は不要
Google でサインイン
Workspace ドメインの特権管理者が「Sign in with Google」をクリックして同意します。他の Workspace アプリと同じ手順で、ディレクトリには何も書き込まれません。
組織を作成
Keyvaci が Google に管理者ロールを確認したうえで、ブラウザが組織の署名鍵と復旧鍵をその場で生成し、一度だけ表示します。当社に送られることはありません。
メールで招待
メンバーは既存の Google アカウントでサインインし、自動的に認識されます。それぞれがマスターパスワードを設定し、管理者の副署を受けてから保管庫を受け取りはじめます。
すでにメールアカウントで Keyvaci をお使いですか。移行するものは何もありません。サインインと暗号化は別々の仕組みなので、Google の ID を紐づけても鍵と保管庫はそのままの場所に残り、再暗号化は発生しません。
Workspace についての質問
Workspace 管理者からいつも受ける質問
当社の Workspace に変更は必要ですか。
いいえ。ユーザーは他の Workspace アプリと同様に初回サインインで同意し、ディレクトリに書き戻されるものはありません。管理者が組織を作成する際は、その方が本当にそのドメインの特権管理者であることを確認するのに必要な範囲だけを読み取ります。
管理者でない人が当社の保管庫を登録できてしまいませんか。
できません。作成者の確認はトークン内の申告ではなく Google のディレクトリに対して行うため、一般のメンバーが貴社ドメインの組織を作ることはできません。招待されれば、貴社の組織に参加することはできます。
当社の Workspace にいない業務委託先はどうなりますか。
確認必須のメール登録で参加し、保管庫を受け取る前に管理者の副署を受けます。ディレクトリのメンバーとまったく同じ流れで、暗号化もどちらの経路でも同一です。
ブラウザ拡張やスマートフォンアプリで Google サインインは使えますか。
まだ使えません。拡張とスマートフォンアプリは現在 Microsoft Entra ID とメールアカウントに対応しており、Google は両方へ順次対応中です。それまでの間も、Workspace 組織の方はメールサインインでこれらのクライアントをご利用いただけ、暗号化も監査証跡も同じです。各クライアントの現在の状況。
メールアカウントで始めると何か失いますか。
セキュリティ上失うものはありません。クライアント側暗号化、副署された鍵、管理者による復旧、鍵の更新、監査はすべて同一です。Google サインインに移ることで得られるのは、管理するパスワードが一つ減ることと、すでに運用しているディレクトリに沿った入退社の流れです。