はじめに
この2週にわたって、管理者権限の設計というテーマを掘り下げてきました。1週目はApple Businessの標準ロールとカスタムロール、2週目はGoogle Workspaceのシステムロールとゲストアカウント。プラットフォームは違っても、根っこにあったのは「フルコントロールを渡しすぎる」と「必要な権限すら渡さない」という、2つの失敗パターンでした。
[リンク: その権限、渡しすぎていませんか？Apple Businessの管理者ロールを設計し直す]
[リンク: Google Workspace管理者ロールとゲストアカウント｜「1人1人に権限を配る」をやめる方法]
今回はMDM（Mobile Device Management：スマートフォンやPCの設定・セキュリティを遠隔から一元管理する仕組み）の一つであるLANSCOPE エンドポイントマネージャー クラウド版を取り上げ、3部作を締めくくります。Apple・Googleとはまったく違うアプローチでロールを組み立てるツールなので、比較しながら読んでいただくと発見があるはずです。
LANSCOPEの標準ロールをおさらいする
LANSCOPEには、あらかじめ用意された「システム管理者」というベースロールが在します。
システム管理者はほぼすべての機能を扱える強い権限です。
ここまではApple BusinessやGoogle Workspaceの標準ロールと似た構造に見えます。ですが、LANSCOPEの本当の特徴は、このあと出てくる「ロールの追加」機能にあります。
図解1：3社のロール設計思想を並べてみる
Apple Businessは、あらかじめ名前の付いたロール（管理者、People Manager、Device Enrollment Managerなど）を選んで割り当て、足りない部分をカスタムロールで微調整する方式でした。Google Workspaceは、システムロールを個人またはグループに割り当てる方式。そしてLANSCOPEは、2つのベースロールを起点にしつつ、実質的には機能単位のチェックボックスをゼロから積み上げてロールを作る方式です。
どれが優れている・劣っているという話ではありません。名前付きロールは「誰が何をできるか」を直感的に把握しやすい一方、LANSCOPEのチェックボックス方式は把握にひと手間かかる代わりに、組織の実務に合わせてかなり細かく調整できます。この「粒度の細かさ」こそが、LANSCOPEでの権限設計における最大の落とし穴にもつながります。
機能単位のチェックボックスでロールを組み立てる
「ロールの追加」画面を開くと、機能ごとにチェックボックスがずらりと並んでいます。上段にはアカウント管理、運用設定、資産情報管理、ファイル配信設定、各種アラート設定・確認、リモート操作系といった項目があります。
画面をスクロールすると、デバイスポリシー管理、アプリポリシー管理、キオスクモード管理、Android Enterprise登録、リモートデスクトップ接続、SaaS情報確認・設定といった項目も続きます。
この粒度の細かさは、正しく使えば強力な武器です。「資産情報の閲覧だけできればいい」「アラートの確認だけ任せたい」といった実務単位のロールを、既存の枠組みに縛られずに作れます。ですが同時に、権限の組み合わせが自由すぎるがゆえに、設計する側が「何をどこまで渡すか」を自分で判断し切らなければならないという難しさもあります。
図解2：ロールを組み立てる3ステップ
LANSCOPEでロールを新規作成する流れは、次の3ステップです。
ベースロールをどちらか選んだ上で、機能カテゴリごとにチェックを入れたり外したりして、その組織にちょうど良い1枚のロールに仕上げる。この作り方自体は直感的ですが、チェック項目の数が多いぶん、「とりあえず全部チェックしておけば安心」という誘惑に駆られやすい点には注意が必要です。
実務での設計の勘どころと落とし穴
3週にわたって権限設計を見てきて、あらためて感じるのは、プラットフォームが違っても押さえるべき勘どころは共通しているということです。
まず、リモート操作系の権限は特に慎重に扱ってください。LANSCOPEのリモート操作機能は、対象端末の画面を遠隔から確認・操作できる強力な機能です。トラブル対応には欠かせない一方、これを広く渡しすぎると「誰かが誰かの画面を、本人の把握しないところで見られる」状態を作ってしまいます。緊急対応要員を除き、この権限を持つ人数は最小限に絞ることをおすすめします。
逆に、アラートの確認権限を渡し忘れるケースもよく見かける落とし穴です。監視だけを任せたい担当者にモニタリング担当者ロールを割り当てたつもりが、アラート確認のチェックが漏れていて、異常を検知しても本人が気づけない、という状態になっていることがあります。ロールを作成したら、実際にそのロールでログインしてもらい、想定通りの画面が見えているか確認する一手間が安全運用の鍵になります。
また、Android Enterprise登録やキオスクモード管理といった、特定の展開形態に関わる権限は、その展開形態を実際に扱う担当者だけに絞るのが基本です。全員に幅広く権限を持たせておくと、設定変更の影響範囲を追いづらくなり、トラブル発生時の切り分けにも時間がかかってしまいます。
まとめ
Apple Business、Google Workspace、LANSCOPEと3つのプラットフォームを見てきましたが、権限設計の本質はどれも同じです。役職ではなく「その人が実際に何をする必要があるか」を先に洗い出し、渡しすぎず、渡さなすぎず、定期的に見直す。仕組みや画面のインターフェースは違っても、この地味な積み重ねが、現場の安全な運用を支えています。
3部作を通して読んでくださった方は、ぜひ自組織の権限設計を、一度この視点で棚卸ししてみてください。「今のロール配分、実は誰も検証したことがない」というケースは、思っているより多いものです。
[リンク: その権限、渡しすぎていませんか？Apple Businessの管理者ロールを設計し直す]
[リンク: Google Workspace管理者ロールとゲストアカウント｜「1人1人に権限を配る」をやめる方法]
Mobitech Solutionへのご相談
LANSCOPEをはじめとするMDMのロール設計、複数プラットフォームを横断した権限管理の棚卸しについても、Mobitech Solutionでは実務目線でのご相談を承っています。「このロール、本当に必要な権限だけになっているか不安」という方は、ぜひ現状の設定を一緒に確認させてください。
