Keyvaci連携 · Microsoft Entra ID
Microsoft の ID で開く、
チームの保管庫
組織で Microsoft 365 または Entra ID（旧 Azure AD）を運用していれば、全メンバーはすでに Keyvaci のサインイン手段を持っています。新しいパスワードを配る必要も、ユーザー一覧を取り込む必要も、ディレクトリの変更を審査する必要もありません。
この連携でできること
最初のクリックからディレクトリで検証
権限を記録する
組織を作成する人は、組織から権限を与えられていることを記録付きで確認します。さらに Keyvaci は Microsoft の署名付きトークンを読み、その人が全体管理者または特権ロール管理者であったかを記録します。ドメインを DNS で証明すれば、他の誰も貴社の名前で2つ目の組織を作成できません。
エージェントではなく標準規格
PKCE を用いた OpenID Connect、マルチテナント対応、トークンはリクエストごとに Microsoft の公開鍵で検証します。テナントに導入するものも、社内ネットワークで動かすものもありません。
Entra に追随するライフサイクル
メンバーは勤務先アカウントでサインインします。Entra ID で停止または削除すれば Keyvaci のアクセスも失われ、さらに保管庫のアクセス権を取り消せば、その人が開けた保管庫は暗号化し直されます。
暗号化を弱めない SSO
Entra ID が答えるのは、あなたが誰かという点です。何を復号できるかは、今も端末上で導出されるマスターパスワードだけに由来します。両者は設計上分離されているため、SSO を加えてもゼロ知識性は損なわれません。
MFA ポリシーもそのまま適用
条件付きアクセス、MFA、デバイスのコンプライアンス。サインイン時にディレクトリが強制するものは、そのまま Keyvaci にも適用されます。サインインそのものがお客様のディレクトリだからです。
5分で完了するセットアップ
サインインし、自らの権限を確認し、ブラウザが生成する復旧キットを保管し、チームを招待します。多くの組織は、コーヒー1杯の間に最初の共有認証情報を保存しています。
セットアップの全体
3ステップ、情報システム部門への申請は不要
Microsoft でサインイン
保管庫を管理する人が「Microsoft ではじめる」をクリックし、Microsoft 365 の他のアプリと同じように Keyvaci アプリケーションに同意します。テナント全体の管理者同意を与えれば、利用者ごとの確認画面はなくなります。
組織を作成する
その人が組織を代表する権限を持つことを確認したうえで、ブラウザが組織の署名鍵と復旧鍵をその場で生成し、一度だけ表示します。当社に送られることはありません。あとでドメインを確認すれば、その名前は貴社のものとして確保されます。
メールで招待する
メンバーは既存の Microsoft アカウントでサインインし、自動的に認識されます。各自がマスターパスワードを設定し、管理者に副署してもらい、保管庫を受け取れるようになります。
Entra ID に関する質問
これまでにすべての IT 管理者から寄せられた質問
Entra ID テナントの変更が必要ですか。
不要です。Keyvaci は標準的なマルチテナントの OIDC アプリケーションです。利用者は Microsoft 365 の他のアプリと同様に初回サインイン時に同意し、テナント管理者が全員分の同意を一括で与えることもできます。ディレクトリに書き込みは行いません。
自社の組織を作成できるのは誰ですか。
貴社テナントの勤務先アカウントでサインインする人であれば誰でも作成できますが、条件が1つあります。組織から権限を与えられていることを記録付きで確認することです。その確認は氏名と検証済みの ID とともに保存されます。さらに Keyvaci は Microsoft の署名付きトークンから、その人が全体管理者または特権ロール管理者であったかを記録するため、監査記録にはどちらであったかが残ります。貴社の名前を確保するのはドメイン確認です。当社の発行する TXT レコードを DNS に公開すれば、他の誰もそのドメインで2つ目の組織を作成できません。
SSO はゼロ知識の暗号化を弱めますか。
弱めません。サインインと復号は別々の仕組みだからです。Entra ID はあなたが誰かを証明します。復号鍵はマスターパスワードから、お使いの端末上で導出され、パスワードも鍵も送信されることはありません。詳細はセキュリティのページにあります。
自社テナントに含まれないメンバーはどうなりますか。
ゲストのケースやメールベースのメンバーは、確認を必須としたメール登録で対応します。暗号化の方式は同一で、保管庫を受け取る前に同じ副署の手順を通ります。