Keyvaci連携 · Microsoft Entra ID
Microsoft の ID で開く、
チームの保管庫
組織で Microsoft 365 または Entra ID（旧 Azure AD）を運用していれば、全メンバーはすでに Keyvaci のサインイン手段を持っています。新しいパスワードを配る必要も、ユーザー一覧を取り込む必要も、ディレクトリの変更を審査する必要もありません。
この連携でできること
最初のクリックからディレクトリで検証
管理者に限定した登録
組織を作成できるのは、テナントの全体管理者または特権ロール管理者だけです。Keyvaci は Microsoft 自身の署名付きトークンからロールを検証し、会社の名前が第三者に押さえられることを防ぎます。
エージェントではなく標準規格
PKCE を用いた OpenID Connect、マルチテナント対応、トークンはリクエストごとに Microsoft の公開鍵で検証します。テナントに導入するものも、社内ネットワークで動かすものもありません。
Entra に追随するライフサイクル
メンバーは勤務先アカウントでサインインします。Entra ID で停止または削除すれば Keyvaci のアクセスも失われ、さらに保管庫のアクセス権を取り消せば、その人が開けた保管庫は暗号化し直されます。
暗号化を弱めない SSO
Entra ID が答えるのは、あなたが誰かという点です。何を復号できるかは、今も端末上で導出されるマスターパスワードだけに由来します。両者は設計上分離されているため、SSO を加えてもゼロ知識性は損なわれません。
MFA ポリシーもそのまま適用
条件付きアクセス、MFA、デバイスのコンプライアンス。サインイン時にディレクトリが強制するものは、そのまま Keyvaci にも適用されます。サインインそのものがお客様のディレクトリだからです。
5分で完了するセットアップ
サインインし、管理者ロールを確認し、ブラウザが生成する復旧キットを保管し、チームを招待します。多くの組織は、コーヒー1杯の間に最初の共有認証情報を保存しています。
セットアップの全体
3ステップ、情報システム部門への申請は不要
Microsoft でサインイン
テナントの管理者が「Microsoft ではじめる」をクリックし、Microsoft 365 の他のアプリと同じように Keyvaci アプリケーションに同意します。テナント全体の管理者同意を与えれば、利用者ごとの確認画面はなくなります。
組織を作成する
Keyvaci が管理者ロールを検証したのち、ブラウザが組織の署名鍵と復旧鍵をローカルで生成し、一度だけ表示します。それらが当社に送られることはありません。
メールで招待する
メンバーは既存の Microsoft アカウントでサインインし、自動的に認識されます。各自がマスターパスワードを設定し、管理者に副署してもらい、保管庫を受け取れるようになります。
Entra ID に関する質問
これまでにすべての IT 管理者から寄せられた質問
Entra ID テナントの変更が必要ですか。
不要です。Keyvaci は標準的なマルチテナントの OIDC アプリケーションです。利用者は Microsoft 365 の他のアプリと同様に初回サインイン時に同意し、テナント管理者が全員分の同意を一括で与えることもできます。ディレクトリに書き込みは行いません。
自社の組織を作成できるのは誰ですか。
テナントの全体管理者または特権ロール管理者だけです。Microsoft の署名付きトークンに含まれるディレクトリロールのクレームから検証し、サーバー側で Microsoft の鍵と照合します。勤務先メールを持つインターンが会社を登録することはできません。
SSO はゼロ知識の暗号化を弱めますか。
弱めません。サインインと復号は別々の仕組みだからです。Entra ID はあなたが誰かを証明します。復号鍵はマスターパスワードから、お使いの端末上で導出され、パスワードも鍵も送信されることはありません。詳細はセキュリティのページにあります。
自社テナントに含まれないメンバーはどうなりますか。
ゲストのケースやメールベースのメンバーは、確認を必須としたメール登録で対応します。暗号化の方式は同一で、保管庫を受け取る前に同じ副署の手順を通ります。