外部業者だけが管理者

この状態なら読む

次のような会社を対象にします。

• Microsoft 365、Google Workspace、業務SaaS等を外部業者に初期設定してもらった
• 外部業者のメールアドレスだけが最高管理者になっている
• 自社の誰が管理者なのか分からない
• 請求管理、MFA、復旧先も業者側へ集中している
• 業者との契約を終了するとテナントへ入れなくなりそうで不安がある

外部業者へクラウド管理を委託すること自体が問題なのではありません。

問題は、日常の管理作業を委託している状態と、テナントを最終的に復旧・再管理できる経路まで外部へ預け切っている状態が混ざることです。

このページでは、業者の支援を残したまま、自社側へ最終管理経路を確保する方法を整理します。

最初に「管理者」を一種類として扱わない

クラウドサービスの管理権限には複数の役割があります。

サービスによって名称は異なりますが、まず次を分けます。

「外部業者が管理者です」という一文だけでは、どこまで依存しているか判断できません。

まず現在の管理者一覧を見る

可能なら管理コンソールで、現在の管理者と権限を一覧にします。

確認するのは、

• 自社社員の管理者が存在するか
• 外部業者の管理者が何人いるか
• 最高権限を持つアカウントはどれか
• 日常利用アカウントへ最高権限が付いていないか
• 退職者や以前の業者のアカウントが残っていないか
• 誰のMFAが登録されているか

です。

この段階では、まだ業者アカウントを削除しません。

先に自社の代替管理経路を確保します。

自社側に最終管理経路を確保する

外部業者だけが最高管理者の場合、最初の改善は業者を外すことではなく、自社にも独立した管理経路を持つことです。

MicrosoftはMicrosoft Entra IDについて、管理アクセスを失う事態へ備え、冗長性のため少なくとも2つの緊急アクセス用管理者アカウントを維持するよう推奨しています。

これはすべてのSaaSで同じ数の管理者を必須とするという意味ではありません。

考え方として、

• 外部業者の1アカウントだけ
• 社長個人の1アカウントだけ
• 情報担当者1人のアカウントだけ

に最終復旧能力を集中させないようにします。

緊急用管理者を日常利用しない

最高管理者権限を持つアカウントを、普段のメール、Web閲覧、チャット等にも使う必要はありません。

Microsoftの緊急アクセス用アカウントは、通常の管理アカウントを利用できない緊急時に使う前提です。

小規模事業者でも、次のように分けられます。

• 普段使う一般利用者アカウント
• 日常管理作業を行う管理者アカウント
• 通常は使わない緊急用・最終復旧用アカウント

サービスがこの分離に対応している範囲で採用します。

緊急管理経路を一人の個人メールやスマホに結び付けない

Microsoftは、緊急アクセス用管理者アカウントを組織内の特定個人へ関連付けず、複数の承認された管理者が利用できる安全な場所で資格情報を管理するよう示しています。

会社側で確認したいのは、

• 担当者が退職しても使えるか
• 担当者個人のメールアドレスが失効しても回復できるか
• 1台の私物スマホを紛失しても復旧できるか
• 社長しか知らないパスワードになっていないか
• 外部業者しか受信できない復旧メールになっていないか

です。

「自社管理者を作った」だけで、その管理者が一人の個人へ完全依存していれば、単一障害点は残ります。

MFAも最終復旧経路として確認する

管理者IDとパスワードが分かっていても、MFAを完了できなければログインできません。

Microsoftは、緊急アクセス用管理者アカウントに強力な認証を使用し、通常の管理者アカウントと同じ認証方法だけへ依存しないよう示しています。

具体的な方式はサービスによって異なりますが、次を確認します。

• MFA方式
• MFA端末の所有者
• 端末紛失時の復旧方法
• 予備の認証手段
• 回復コード等の保管場所
• 認証手段が同じ端末・同じ個人へ集中していないか

緊急用アカウントを用意しても、そのMFAが外部業者のスマホだけに登録されていれば、自社側の復旧経路にはなりません。

業者には必要な管理権限を残す

自社管理者を追加した後も、外部業者が管理作業を続けるなら、そのアカウントは残して構いません。

ただし、業務に必要な範囲を確認します。

Google Workspaceでは、管理コンソール全体へのアクセスを与えず、管理ロールによって実行できる管理タスクを一部へ限定できます。

たとえば業者の作業が、

• ユーザー作成
• グループ設定
• 特定サービスの設定
• ライセンス割当

だけなら、常に最高管理者である必要があるかを確認します。

Microsoft 365や他のSaaSでも、役割別の管理権限が用意されている場合があります。

製品ごとの管理ロールを確認し、必要な作業へ合わせます。

権限を弱くする前に業者の作業内容を聞く

いきなり最高管理者権限を外すと、保守作業が止まる場合があります。

先に、業者が日常的に何をしているか確認します。

• ユーザー追加・削除
• ライセンス購入・割当
• メール設定
• セキュリティ設定
• 監査ログ確認
• デバイス管理
• ドメイン設定
• サポート問い合わせ
• 請求管理

そのうえで、各作業に必要な権限を製品仕様で確認します。

「業者だから最高管理者」でも「業者だから管理権限なし」でもなく、作業に応じて決めます。

請求管理も別に確認する

最高管理者を自社へ追加しても、契約や請求が外部業者名義のままの場合があります。

確認項目は、

• 契約主体
• 請求先
• 支払方法
• ライセンス数を変更できる主体
• 契約更新日
• 解約できる主体
• ベンダーや販売代理店との契約関係

です。

「管理画面へ入れる」と「契約を変更できる」は同じとは限りません。

復旧先メールアドレスを確認する

管理者の回復先が外部業者のメールアドレスだけなら、自社がパスワードを知っていても復旧できない場合があります。

次を確認します。

• 回復用メール
• 回復用電話番号
• MFA再登録手順
• ベンダーサポートでの本人確認方法
• ドメイン所有確認を使う復旧方法の有無
• 契約情報や顧客番号

サービスごとに利用できる復旧方式は違うため、実際の公式手順を確認します。

自社の緊急用管理者情報を安全に保管する

緊急用管理者を作ると、それ自体が強い権限を持つ情報になります。

そのため、平文のExcelを共有フォルダへ置く、といった単純な方法ではなく、組織の状況に応じた安全な保管方法を決めます。

少なくとも、

• 誰が利用を承認できるか
• 資格情報をどこで管理するか
• MFA手段をどこで保管するか
• 利用時に記録を残すか
• 定期的にログイン可能か確認するか

を決めます。

「緊急時だけ使うから確認しない」ではなく、使える状態か定期的に確認します。

契約終了前に行うこと

外部業者との契約が終わってから管理権限を取り戻そうとすると、連絡先や認証手段まで失われる可能性があります。

契約終了前に次を確認します。

自社管理者

• 自社側に必要な最高管理者がある
• ログインできる
• MFAを完了できる
• 他の管理者を追加・削除できる

業者アカウント

• どのアカウントが業者用か
• どの管理ロールを持つか
• 契約終了日にどう失効するか

契約・請求

• 請求先
• 支払方法
• 更新日
• 販売代理店契約の有無
• 解約・移管方法

復旧

• 回復用メール・電話
• ベンダーサポート窓口
• 契約番号等
• ドメイン確認手段

記録

• 現在の管理者一覧
• 管理ロール一覧
• 主要設定
• 必要な運用手順

これらを確認してから業者アカウントを停止・縮小します。

日常利用者に最高管理者を付けて代替しない

「業者だけが最高管理者なのが不安だから、社員全員を最高管理者にする」という変更は別の問題を増やします。

必要なのは管理者数を無制限に増やすことではなく、

• 最終復旧経路は冗長化する
• 日常作業は必要なロールへ限定する
• 一般利用者と管理者を分ける
• 外部業者も必要な権限だけにする

という役割分離です。

製品名に依存しない確認表を作る

Microsoft 365、Google Workspace、会計SaaS、予約システム等を同じ形式で確認できます。

さらに、

• 自社だけで業者権限を停止できるか
• 自社だけで別の管理者を追加できるか
• 業者がいなくてもベンダーサポートへ問い合わせできるか

を確認すると、外部依存の強さを把握しやすくなります。

会社側で持つべき最低ライン

外部業者の支援を続ける場合でも、少なくとも次を説明できる状態を目指します。

• テナントの最高管理者は誰か
• 自社側の独立した管理経路は何か
• 緊急時の復旧手段は何か
• MFAは誰の何へ依存しているか
• 業者アカウントはどの権限を持つか
• 請求・契約主体は誰か
• 自社から業者権限を停止できるか
• 契約終了時に何を変更・失効するか

運用を外部へ委託しても、最終的な管理権限と復旧経路まで外部業者だけに預けないことが、この状態の最低管理ラインです。