非営利団体の「パスワード問題」解決ガイド

Entra IDの共有アカウントは、管理者がグループに共有の資格情報を設定し、職員はパスワードを見ずにログインする仕組みです。共有アカウントを使う利用者ごとにEntra ID P1以上のライセンスが要り、Business Basic(無料)だけでは使えません。P1はBusiness Premiumに含まれ、非営利は1人月$5.50相当(年払い)です。

利用者はMy Apps経由でログインし、パソコンはEdge・Chromeの拡張機能、スマホはEdgeモバイルの設定で使います。スマホでもEdgeブラウザならWebサービスには使えますが、スマホのアプリやパソコンにインストールするソフトには使えません。サービス側がログイン画面を変えると、自動入力が止まることもあります。

退職者をグループから外すと、Entra経由のログインはできなくなります。共有パスワードを知っている人は直接ログインできるため、退職時は共有パスワードを変え、そのサービスで退職者がログインしたままになっていないかも確かめます。パスワードを職員に見せずに運用していれば、変更の手間は小さく済みます。

上限は、利用者に直接割り当てた資格情報が1人48件、共有の資格情報はグループごとに48件です。Edgeのパスワード同期はBusiness Basicでも使えますが、個人ごとの保存で、組織の共有保管庫ではありません。Googleパスワードマネージャーは無料ですが、共有できるのはファミリーグループの相手だけで、Google Workspaceの組織内で共有する公式機能は見つかりませんでした。

Bitwardenの無料Organizationは2人・コレクション2つまでで、有料のTeamsは1人月$4(年払い)、人数は無制限です。1Passwordは非営利の支援はありますが、割引率・対象プランは公開されていません(1Passwordの掲載ページ)。

Passbolt Community Editionは人数無制限・共有対応・ライセンス無料ですが、自分でサーバーを用意して運用する必要があります。

Okta for Goodは、認証済みの非営利団体に50ライセンスを無料で提供します(SSO・多要素認証・ユーザー管理を含む)。50を超えた分は50%引きで、パスワードの共有保管庫ではなくID管理の仕組みです。条件はOktaの掲載ページにまとめています。

定期変更について、総務省の「国民のためのサイバーセキュリティサイト」によると、2017年に米国立標準技術研究所(NIST)がサービス提供側は定期変更を要求すべきではないと示し、日本でも内閣サイバーセキュリティセンター(NISC)が定期変更は不要としています。定期変更を強いると、パスワードがパターン化・単純化しやすいためです。推奨されているのは、長くて使い回しのない固有のパスワードです。