Keyvaci製品とサービス
製品はひとつ。チームの認証情報保管庫を、
証明できる形で正しく
Keyvaci はプラットフォームでも、スイートでも、エコシステムでもありません。組織で共有する認証情報のための保管庫であり、当社を含め組織の外の誰にも決して読めないように作られています。
法人のためのサインイン
正面玄関は二つ、どちらも法人向けです
多くの保管庫は SSO を上位プランの追加販売として後付けします。Keyvaci はそこから始まり、そこで止まりません。会社が管理しているディレクトリでサインインすることも、ディレクトリがなければ確認済みのメールアドレスでサインインすることもできます。保管庫も暗号化も価格も同じです。会社がすでに管理している ID が、全員の入口であり、組織を作成する手段そのものです。
Microsoft Entra ID
Microsoft 365 または Entra ID をお使いの組織なら、今日からご自身で導入いただけます。
- テナントの全体管理者（または特権ロール管理者）が Microsoft でサインインし、組織を作成します。ロールは Microsoft 自身の署名付きトークンから検証するため、実際にディレクトリを管理していない人が会社の名前で組織を作ることはできません。
- その後、各メンバーは既存の勤務先アカウントでサインインします。新しいパスワードを配る必要も、ユーザー一覧を取り込む必要もありません。
- Entra ID で停止すれば、Keyvaci へのアクセスも同時に失われます。入退社の運用がそのまま保管庫にも効きます。
- 標準準拠：OpenID Connect と PKCE、マルチテナント対応、アクセストークンはリクエストごとに Microsoft の JWKS で検証します。
Google Workspace
Google Workspace をお使いの組織は、Web アプリで Google サインインをご利用いただけます。組織の作成にはそのドメインの特権管理者であることが必要で、申告を信用するのではなく Google のディレクトリに照会して確認します。1つのドメインは1つの組織に対応します。個人の Gmail は意図的に拒否します。ディレクトリがなければ組織を結び付ける先がないためで、その場合はメール登録をご利用いただきます。Okta と汎用 OIDC が同じ継ぎ目の上で次に続きます。
メール + パスワード、ディレクトリのないチームに
小規模なチームは、勤務先のメールアドレスと一度きりのリンクによる確認で登録できます。サインインもリンクです。アドレスを入力し、当社が送るリンクを開くだけで、有効期間は5分、使えるのは一度きりです。サインイン用のパスワードは一切ないため、使い回したり忘れたり盗まれたりする2つ目の秘密がそもそも存在しません。任意で TOTP による2段階サインインも使え、組織は認証情報が表示される前にそれを必須とすることができます。
日々の利用
チームが手にするもの
3種類の権限を持つ保管庫
システム、顧客、チームごとに認証情報をまとめます。保管庫のメンバーはそれぞれ閲覧のみ・編集可能・すべての権限のいずれかで、サーバーと暗号技術が同じ規則を適用します。
証明を伴う共有
共有では、相手の公開鍵に対する組織の副署をお使いの端末で検証したうえで、その相手に向けて保管庫の鍵を暗号化します。署名の検証に失敗すれば、共有は行われません。
抑制のきいた表示
認証情報はあらためて認証したうえで開き、数秒で自動的に隠れ、クリップボードは30秒後に消去されます。レート制限により、盗まれたセッションが一度にすべてを読み取ることはできません。
手元で完結する検索
保管庫の名前と項目の名前をすぐに検索できます。索引はセッションごとに一度、お使いの端末で復号して作られます。サーバー側には検索できる読める情報が何もないからです。
パスワードの健全性
認証情報を何か月変更しないままにしてよいかは組織が決め、古くなった項目には印が付きます。すべてのマスターパスワードには、説教ではなく強度の判定を設けています。
5つの言語
English、Tiếng Việt、日本語、한국어、中文。データを守るすべての警告文を含め、製品全体で対応しています。
どこで動くか
三つのクライアント、暗号化の実装はただ一つ
保管庫は、パスワードを入力するその場所で開いてこそ役に立ちます。Keyvaci は管理コンソールに加えてブラウザ拡張と iPhone・Android のスマートフォンアプリを提供しており、三つとも同じ暗号化と同じ署名検証から作られています。整合を取り続けなければならない別々のプロジェクトではありません。
ブラウザ拡張
Chrome、Edge、Brave に対応。パスワード欄をクリックすると、そのすぐ下にメニューが開き、そのサイトに属する認証情報だけを表示します。鍵は戻ってきたかどうかにかかわらず10分の期限で消去され、コピーした内容は30秒後にクリップボードから消えます。
iPhone・Android アプリ
保管庫のすべてをスマートフォンで。加えてシステムのパスワードプロバイダーとして、Safari や Chrome、他のアプリからも入力できます。iPhone では iOS AutoFill、Android では Android Autofill です。画面を離れた瞬間にロックします。生体認証でのロック解除は任意で、ご自身で有効にするまでオフです。
管理コンソール
どのブラウザでも、インストール不要。管理者がメンバー、権限付与、鍵の更新、復旧、監査ログを扱う場所であり、Google Workspace サインインが本日ご利用いただける場所でもあります。
マスターパスワード一つで三つとも開き、有料オプション扱いのクライアントはありません。どこで行われた開示も同じ監査ログに届きます。各クライアントの内容と現在の状況 →
管理者の方へ
預からずに、統制する
管理者は組織を運営します。それでも、共有されていない保管庫を読むことはできません。この区別こそが製品の本質です。
新しいメンバーを副署する
短い照合コードを別の手段で突き合わせて各メンバーの鍵を確認し、組織の署名鍵で副署します。なりすましはこの手順で断たれます。
お客様が握る復旧
誰かがマスターパスワードを忘れたときは、管理者が組織の復旧鍵で復旧を承認します。この鍵は登録時にブラウザ内で生成され、当社に送られることはありません。
取り消しと鍵の変更
保管庫のアクセス権を取り消すと、すべての項目が新しい鍵で暗号化し直されます。中断しても再開できます。退職対応とは、古い鍵が数学的に機能しなくなることです。
追記のみの監査
誰がどの保管庫を開き、どの項目を表示し、何を共有し、何を取り消したか、そしていつか。ログには追記のみが可能で、当社を含め誰も編集できません。
組織全体の MFA ポリシー
メールでサインインするメンバーに対し、認証情報の表示前に2つ目の要素を必須にできます。ディレクトリ経由のメンバーは、IdP で設定済みのポリシーに従います。
行儀のよい請求
利用中の席のみを日割りでお支払いいただきます。決済は Stripe が処理し、カード情報が Keyvaci に届くことはありません。サブスクリプションが切れても読み取り専用になるだけで、データが失われることはありません。