機密情報に関する操作に対する複数の関係者による承認

複数の関係者による承認を使用すると、2 段階認証プロセス（2SV）のオンとオフの切り替えなど、機密性の高い設定の変更について特権管理者の承認が必要となるため、Google 管理コンソールでの悪意のある操作を防ぐことができます。特権管理者が設定変更リクエストを受け取って承認すると、変更は自動的に行われます。リクエストを受け取った管理者が操作する必要はありません。

複数の関係者による承認をオンまたはオフにする手順をご覧ください。

オンにすると、複数の関係者による承認が次の設定に適用されます。

• 2 段階認証プロセス
• アカウント復元
• 高度な保護機能
• Google セッションの管理
• ログイン時の本人確認
• パスワードレス（ベータ）
• サードパーティの IdP による SSO
• ドメイン全体の委任
• コンテキストアウェア アクセス

販売パートナー ドメインでの複数の関係者による承認

販売パートナー経由で購入されたお客様のドメインで複数の関係者による承認がオンになっている場合に、販売パートナーの管理者が機密性の高い設定を更新しようとすると、販売のパートナー経由で購入されたお客様の管理者にのみ承認リクエストが送信され、この管理者のみがリクエストを承認または拒否できます。

複数の関係者による承認の仕組み

この例では、複数の関係者による承認により、2 段階認証プロセスの設定を変更するという機密情報に関する操作が保護されています。

1. この Workspace 管理者は、[セキュリティ] [認証] [2 段階認証プロセスの設定] に移動し、設定をオンからオフにしようと試みます。
2. この管理者に対し、この操作は特権管理者の確認が必要であることを示すポップアップ ボックスが表示されます。リクエスト元の管理者は、必要に応じて、審査のリクエストを送信する前に説明メッセージを入力できます。

   注: 承認待ちの設定変更に対して保留中のリクエストがある場合、保留中のリクエストが解決されるまで新しいリクエストは一時的にブロックされます。リクエストがブロックされている管理者は、競合するリクエストを確認できます。

3. リクエストした管理者に、承認リクエストが送信されたことを通知する確認メールが届きます。
4. 承認者である特権管理者は、承認をリクエストするメールを受け取ります。リンクをクリックすると、管理コンソールの [複数の関係者による承認] の詳細ページが開きます。次の情報が表示されます。
   • 変更をリクエストしたユーザー
   • 現在の設定（変更前）と提案された設定（変更後）
   • リクエストを承認または拒否するオプション
5. 承認者はリクエストの詳細を確認し、リクエストを承認または拒否します。
   • リクエストが承認されると、2 段階認証プロセスの設定の変更は自動的に行われるため、リクエスト元の管理者による対応は不要です。
   • 承認者が対応しなかった場合、リクエストは 3 日後に期限切れとなります。
6. リクエストが承認または拒否された場合、またはリクエストに対して操作が行われず期限切れになった場合は、申請者にメールが届きます。

リクエストの詳細の表示、リクエストの承認、リクエストのキャンセル

申請者または承認者は、[複数の関係者による承認] リストページで保留中または過去のリクエストを表示できます。リスト内のリクエストをクリックすると、そのリクエストの詳細ページが表示されます。リクエストの詳細ページでは、リクエスト送信者はリクエストをキャンセルできます。また、承認者はリクエストを承認または拒否できます。

この操作を行うには、特権管理者としてログインする必要があります。

1. 特権管理者アカウントで Google 管理コンソール にログインします。

   特権管理者アカウントを使用していない場合は、この手順を完了できません。

2. 管理コンソールで、メニュー アイコン  [セキュリティ] > [認証] > [複数の関係者による承認] に移動します。

   すべてのリクエストを表示することも、独自のリクエストのみを表示することもできます。リクエストの詳細には、リクエストのステータス、リクエストを行ったユーザーの名前、リクエストの作成日、リクエストされている設定変更、リクエストの有効期限が含まれます。

3. 特定のリクエストの詳細を表示するには、左側の [アクション] 列をクリックします。
   • [リクエスト元] の詳細ページには、リクエストをキャンセルするオプションが表示されます。
   • [承認者] の詳細ページには、リクエストを承認または拒否するオプションが表示されます。
4. 左側の [複数の関係者による承認] をクリックして、承認リストのページに戻ります。

複数の関係者による承認をオンまたはオフにする

この操作を行うには、特権管理者としてログインする必要があります。

管理コンソールの [複数の関係者による承認] 設定を使用して、ドメインでこの機能をオンまたはオフにします。

1. 特権管理者アカウントで Google 管理コンソール にログインします。

   特権管理者アカウントを使用していない場合は、この手順を完了できません。

2. 管理コンソールで、メニュー アイコン  [セキュリティ] > [認証] > [複数の関係者による承認] に移動します。
3. 複数の関係者による承認をオンにするには、[機密性の高い管理操作に対して複数の関係者による承認を必須にする] チェックボックスをオンにします。オフにするには、このチェックボックスをオフにします。
4. [保存] をクリックします。

注: 複数の関係者による承認がオンからオフに切り替わった場合、以下のようになります。

• 保留中のリクエストは、承認、リクエスト、または期限切れになるまで、通常通りの期間、アクティブ状態となります。
• 機密情報に関する操作に関連する新しい設定変更では、複数の関係者による承認リクエストは作成されません。