Smartsheetのシステム管理者には以下のイメージのようなメールが来ていると思います。このメールの内容について整理してみましたので、ここに報告します。
要点
- 無効化後のユーザー再有効化プロセスを変更し、再有効化に7日間の制限を導入してセキュリティーを強化する。
- プラン・レベルのアセット所有モデルへの移行。システム管理とユーザー・エクスペリエンスを向上させるため、所有権を個人からプラン・レベルに移行。
- エンタープライズプランについて、ログイン・ポリシーをドメイン・レベルに移行、新しいセーフ共有リストの導入のセキュリティー強化措置
内容的には４点あって、以下の通りとなります。
1. 非アクティブ化後のユーザの再アクティブ化プロセスの変更
2.資産所有権の変更（プランレベルの資産所有モデルへの移行）
3.Delete User（削除ユーザー）ラベルを Remove User（除去ユーザ）に置き換え
4.ユーザー レポートの「シート (所有)」列を「シート (作成)」に変更
非アクティブ化後のユーザの再アクティブ化プロセスの変更
非アクティブ化されたユーザーが誤って再アクティブ化されることを防ぐため、非アクティブ化から連続 7 日間が経過したユーザーを (管理センターまたは API 経由で) 再アクティブ化する機能に制限を課す予定です。つまり、システム管理者は 8 日目以降はこれらのユーザーを再アクティブ化できなくなります。
ユーザーの非アクティブ化とは
例えば、あるユーザーが退社、出向など、あるいは外部共同作業者がプロジェクトから外れた場合など、以下のオプションがあります。（それぞれの違いについては、以下のヘルプ記事をご参照ください。削除の場合は、ユーザーが所有している資産とグループの手動移行が必要となります。）
- 共有の削除
- ユーザーを非アクティブにする
- ユーザーの削除
非アクティブ化では、非アクティブ化されたユーザーは会社の Smartsheet アカウントにサインインできなくなりますが、そのユーザーが作成したアイテムは引き続き使用可能です。非アクティブ化するとそのユーザーのライセンスが返却され、引き続きそのユーザーの資産とプロファイルにアクセスして、必要に応じてコンテンツとグループの所有権を再割り当てすることができます。
再アクティベート期間が７日間になることの意味
再アクティベートをすると、例えば、退社したユーザがSmartsheetのコンテンツに再びアクセスできるようになるため、セキュリティー上、様々なトラブルが想定されます。他方、誤って非アクティブ化した場合に、これを再アクティベートで回復する方法も必要。しかし、これは１週間だけですよ、という意味かと思います。
これが機能がないと、ビジネスプランを利用している組織やエンタープライズプランでメールアドレス、パスワードでのログインを許容している組織の場合、何ヶ月、何年も経ってSysAdminが誤って再アクティベートしてしまうと、組織と全く関係の無いユーザがログインしてSmartsheetのシート等にアクセスできてしまいます。ということで、セキュリティー上、非常に有益な変更です。
資産所有権の変更（プランレベルの資産所有モデルへの移行）
現在、Smartsheet のコア資産 (シート、レポート、フォーム、ダッシュボードなど) は、プラン内の個人によって所有、という建付けになっています。ただし、現在の所有権モデルでは、主要な利害関係者や資産所有者がSmartsheetのプランや組織から離れると摩擦が生じる可能性があります。これに対処するために、シートなどの資産の所有権を個人からプラン レベルに移行することで、システム管理者とエンド ユーザーのエクスペリエンスを向上する、という内容です。
プラン・ベースの資産所有権モデルへの移行で何が変わるか
現在、ユーザーが削除された場合、システム管理者には、削除されたユーザーの資産を別のユーザーに転送するための 30 日間の猶予期間があります。そうしないと、シートなどが完全に削除される危険があります。これは、現在 Smartsheet 資産がプランではなく個々のユーザーに関連付けられているために発生します。
貴重な資産と関連データの損失を防ぐために、Smartsheet のコア資産 (シート、レポート、ダッシュボードなど) の所有権モデルを個人ユーザーからプランに移行しています。この移行を促進するために、新しいプラン資産管理者の役割を導入し、資産管理者の権限を再定義します。
新しいプラン資産管理者ロールは、プラン内のすべての資産に対する所有者レベルの権限を持つことになります。この変更により、資産所有者が不在の場合や組織を離れた場合等のアクセス要求はプラン資産管理者に届くことになります。
プラン資産管理者
プラン資産管理者はシステム管理者がライセンスユーザーから割り当てます。プラン資産管理者は、資産に所有者または管理者が定義されていない場合、アクセス要求通知を受け取ります。
資産に所有者または管理者が追加されていない場合、またはプラン資産管理者が割り当てられていない場合、プランのシステム管理者がアクセス要求通知を受け取ります。すなわち、プラン資産管理者未設定の場合、システム管理者がその役割を持ちます。
プラン資産管理者は、プラン内のすべての資産に対して、資産の名前の変更、削除、権限の割り当てなど、所有者レベルの権限をいくつか持つことになります。ただし、特定のシート等の資産に対して資産管理者権限も付与されていない限り、列の並べ替え、行のロック/ロック解除、フォームの作成、依存関係の追加など、その他の資産管理者/所有者レベルの権限は付与されません。
しかし、例えば、システム管理者は、プラン資産管理者未設定の場合、特定のシートなどに対して、閲覧権限、編集権限などを付与する権限は持っているので、これにより例えば、システム管理者にも見せることが不適当な人事上のデータ等が含まれたシートへのアクセスが可能となってしまいます。この点について、Smartsheetはそのような変更は記録が残り監査対象となる、あるいは、それも制限する必要である場合は、プランを分ける、との方法があるとヘルプ記事で説明しています。（英文のみ）
システム管理者が何にでも権限を割り当てられるようになったのが心配です。システム管理者がアクセスできないはずの機密データはどうすればよいですか？
資産は会社によって管理され、デフォルトでは、システム管理者は資産を開いて見ることはできません。システム管理者が資産に権限を割り当てると、そのイベントはログに記録され、監査が可能になります。
既存のシステム管理者が特定の資産にアクセスできないようにするには、特別な機密保持を必要とするチームは、自分自身で管理する別のプランを使用し、他のユーザーにアクセス権を与えないことを検討することができます。
Delete User（削除ユーザー）ラベルを Remove User（除去ユーザ）に置き換え
管理センターのユーザー管理画面で「ユーザーの削除」という用語を「ユーザーの除去」に置き換える予定です。この調整により、ユーザーが Smartsheet プラットフォームから削除されるのではなく、単に組織から除かれることが明確になります。
ユーザー レポートの「シート (所有)」列を「シート (作成)」に変更
プラン レベルの資産所有権の調整に伴い、個人はシートなどの Smartsheet のコア資産の所有者として指定されなくなります。そのため、Admin Center 経由で作成されるユーザー レポートの「シート (所有)」列を「シート (作成)」に変更し、ユーザーが作成したシートの数を正確に表すようにします。
エンタープライズ・プランのSysAdminsへのメール
エンタープライズプランのシステム管理者に対して、上記に加えて、以下の２点が連絡されています。
3. ログイン・ポリシーをドメイン・レベルに移行
4. 新しいセーフシェアリング
ログイン・ポリシーをドメイン・レベルに移行
ユーザ認証のセキュリティを強化することを目的としたこの変更の第 1 段階では、シスアドがドメイン・レベルで SAML 構成を定義できるようにする。ドメイン・レベルで確立された SAML ポリシーは、特定のプランに関係なく、そのドメイン内のすべてのユーザに適用される。
この機能はエンタープライズのみです。システム管理者によって構成されたポリシーは、プラン タイプに関係なく、そのドメイン内のすべての Smartsheet ユーザーに適用されます。すなわち、部門や使用する特定の Smartsheet プランに関係なく、そのドメインに属するすべての従業員に対して均一なプロセスが保証されます。その結果、ドメイン レベルの構成により、プラン レベルでの個別の設定も不要になり、セキュリティと管理効率の向上に貢献する、としています。（詳しくはヘルプ記事を参照。英文のみ。）
新しいセーフ共有リスト（シートベース化）
既存の安全な共有インターフェイスを強化します。更新されたシステムでは、シスアドが安全共有リストを有効化または変更するには、有効なライセンスが必要です。また、このポリシーを有効にすると、ドメイン管理用とEメール用の2つのシートが作成され、各シートの行数は20,000行に制限されます。（メール内容の翻訳）
セーフ共有 リスト
エンタープライズプランではセキュリティーきのうとして、ドメインまたは特定のメール アドレスによって共有を制限することが可能です。たとえば、会社のメール アドレスを持つユーザーにのみシートを共有できます。従って、共有権限を有するユーザが、例えば、社外のユーザや、自分の個人メールアドレスにシートなどを共有しようとしても、セーフリストにない場合、共有ができず、セキュリティーが向上します。
シートによるドメイン、メールアドレスの指定
上記の翻訳にあるように、現状、管理センターでここのドメインやメールを編集、管理しているのが、シートによりドメイン、メールアドレスをシートで編集、管理することが可能となることを示唆しています。これは、多くの外部ユーザーに対してコンテンツを共有している組織にとっては魅力的な機能となりそうです。詳細が分かりましたら、また、レポートします。