アカウントの棚卸しというと社員のIDを思い浮かべますが、社外の人のIDのほうが、たいてい放置されています。共有のために招待した相手のアカウントは、招待した本人ですら「まだ残っている」と認識していないことが多く、退職しても取引が終わっても消えません。ここでは、その一覧を出して整理するまでの手順を扱います。
なぜ気づかないうちに増えるのか
社員アカウントは情シスが作ります。ところが社外の人のアカウントは、現場の担当者がファイルを共有した瞬間に作られます。ファイルの共有リンクを外部の相手に送る、チームに取引先を招待する——本人にとっては共有の操作であって、アカウントを発行しているという意識はありません。
そして削除する動機を持つ人が誰もいません。招待した担当者は案件が終われば忘れますし、情シスは招待されたこと自体を知りません。結果として、数年前に一度だけ資料を渡した相手のIDが今も生きているという状態が積み上がります。退職者アカウントの整理については退職者アカウントの棚卸しの記事も併せてご覧ください。
放置したときのリスク
- 相手先で退職した人のIDが残る — 自社では退職を知りようがありません。相手の会社を離れた人が、自社の共有先にまだ到達できる状態です
- 取引が終わった会社の人が残る — 契約が切れても、共有した資料は見えたままです
- 共有範囲が当初より広がっている — 招待は特定のファイルのためでも、その後チーム全体に追加されていることがあります
- 相手側のアカウントが乗っ取られると自社に波及する — 自社の認証をどれだけ固めても、この経路は相手のセキュリティ水準に依存します
手順1｜一覧を出す
Microsoft Entra 管理センターのユーザー一覧で、ユーザーの種類が「ゲスト」のものを絞り込みます。表示する列に作成日時と会社名またはドメインを追加しておくと、後の判断が速くなります。件数が多い場合はここで書き出しておきます。
最初にこの一覧を見て、想定の何倍かの件数が出てくることは珍しくありません。驚くのが正常な反応で、それ自体が棚卸しを始める理由になります。
手順2｜最終サインインで絞り込む
サインインの記録から、一定期間まったく使われていないものを抽出します。判断は次の順序で行うと迷いません。
| 状態 | 対応 |
|---|---|
| サインイン記録が一度もない | 招待が使われていない。削除してよい |
| 長期間サインインがない | まず無効化し、問い合わせが来なければ削除 |
| 直近も使われている | 招待した担当者に、継続の要否と共有範囲を確認 |
| 招待した担当者が退職済み | 引き継ぎ先が不明な共有そのものを見直す。優先度は最も高い |
手順3｜削除する前に無効化する
いきなり削除しないでください。ゲストを削除すると、そのアカウントに紐づいた共有設定も一緒に失われ、必要なものだった場合の復旧が手間になります。まずサインインをブロックした状態で数週間置き、業務に支障が出ないことを確認してから削除します。この期間が、判断を間違えたときの安全網になります。
削除の記録は残してください。「いつ、誰の判断で、何件消したか」が残っていないと、後から問われたときに説明できません。記録の残し方についてはアクセスログの棚卸しの記事で扱っています。
そもそも増やさない設定
棚卸しは、増え続ける状態を放置したままだと毎回同じ作業になります。蛇口を締める側の設定を同時に入れてください。
- 招待できる人を絞る — 既定では一般の利用者も招待できます。管理者と特定の役割だけに制限できます
- 共有の既定を見直す — 「リンクを知っている全員」が既定になっていると、招待の記録すら残らない共有が発生します
- 定期的な見直しを仕組みにする — 契約内容によっては、一定期間ごとに継続の要否を招待元へ自動で確認する機能が使えます。使えない場合は、四半期に一度など頻度を決めて手作業で回します
なお、ゲストの整理は社外からの入口を狭める作業です。社内の入口、つまり自社のPCとアカウントの側は別に手当てが必要で、そちらの考え方はWindowsのOSログインに2要素認証を導入する解説で整理しています。
いまの運用を棚卸ししてみる
applippliの無料棚卸しでは、10問・約3分で、クラウドとPC本体の双方を含めた認証の状況を、「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。結果はPDFレポートでもお届けします。個人情報の入力は不要で、会員登録もありません。