アカウントと権限/ Accounts & Permissions

松葉には入口が 2 つあります。社内の方は会社の Google アカウント、社外の方はお取引先ごとに作るアカウントです。どちらの入口から入ったかで、追加の本人確認をどこが担うかが変わります。稼働中

社外ユーザには、パスワードだけで入れない仕組みを必須にしています。アプリの追加やスマートフォンの設定を求めると、お取引先ごとの事情でつまずくため、確認手段はメールに一本化しました。稼働中

認証手段を失った方への対応Recovery

バックアップコードを使い切った、メールが受け取れなくなったなど、サインインに必要な確認手段を失った場合は、本人確認のうえでシステム管理者が復旧の操作を行います。二要素認証を設定し直すときも確認コードは登録済みのメールアドレスに届くため、復旧には、確認コードを受け取れる有効なメールアドレスが必要です。状況に応じて次の 2 つの操作を使い分けます。

• 二要素認証のリセット — メールは受け取れるものの、バックアップコードを使い切った・信頼していた端末を失ったという場合の操作です。二要素認証の登録とバックアップコードを消し、信頼済みデバイスとサインイン中の状態をすべて失効させます。本人は次のサインインで二要素認証を設定し直します。リセットの仕組みそのものは動いており稼働中、管理コンソールからの操作画面が実装予定 · Step 4bです
• 代理でのメールアドレス変更 — 登録済みのメールアドレス自体が使えなくなっている場合（勤務先の変更でアドレスが廃止されたなど）に、リセットとあわせて行う操作です実装予定 · Step 4b。社外ユーザは本人からの依頼を受けて変更し、新しいアドレスに確認メールを送って受信を確かめてから成立します。社内ユーザは Google Workspace 側の変更が正で、アプリ側はそれに追従します。理由の入力が必須の重大操作として記録に残り、完了の通知が新旧どちらのアドレスにも届きます

画面ができるまでは、どちらも依頼を受けて開発者側の操作で対応します。

Box とは、お取引先や案件ごとに区切ったファイルの入れ物です。誰が何をできるかは、Box ごとに与える 4 つのロールで決まります。ロールは Box ごとに独立していて、同じ人が別の Box では別のロールを持てます。稼働中

コメントは 4 つのロールのいずれでも投稿できます。書いたコメントを直せるのは本人だけで、消せるのは本人と Box のオーナー、そしてシステム管理者です。共有リンクとファイルリクエストの一覧は、閲覧者・投稿者も見られます（発行だけが編集者以上です）。なお、既にアカウントを持っている方を Box に追加する操作については、オーナーに加えて社内の編集者も行えます（次章）。

システム管理者との違いSystem Administrator

上の 4 つは Box ごとのロールです。システム管理者はこれとは別の軸で、全社に対して与えられる立場です。管理コンソールを開いて全社を横断した確認と対応（スキャン状態の確認と再検査、隔離ファイルの取り出し、Drive 同期の再投入、共有リンクの強制失効、通知の再送など）を行えます。Box のロールとは重ならないため、ある Box のファイルを業務として扱いたいときは、その Box のメンバーとして招かれる必要があります。システム管理者の操作は行為者の種別つきで記録に残り、記録を閲覧したこと自体も記録されます（詳しくは記録と監査）。

Box の公開範囲Visibility

ロールとは別に、Box ごとに公開範囲を 3 段階から選べます。選ぶのはオーナーで、あとから変更できます。社外ユーザには公開範囲を問わずメンバーのみで、どの設定でも社外の方に Box が見えることはありません。

Box にメンバーが増える道は 3 つです。どの道でも、増えた時点で Box のメンバー全員にアプリ内の知らせが届き、監査ログにも残ります。稼働中

未登録の宛先への招待をオーナーだけに絞っているのは、この操作が「松葉のアカウントを新しく 1 つ作る」ことと同じだからです。既にアカウントがある方を追加するのは所属を 1 つ増やすだけなので、社内の編集者にも開いています。社外の編集者はどちらも行えません。

期限切れになった招待をオーナーへ知らせるメールと、期限切れの招待を台帳から自動で整理する処理は実装予定 · Step 4bです。現在は、期限を過ぎた招待は受諾できなくなり、Box のメンバー一覧には有効期限つきで残ります。

アカウントは「招待 → 利用中 → 無効化 → 完全消去」という道をたどります。無効化と完全消去は別のもので、無効化しただけでは記録もファイルも残ります。20 年の運用を前提にすると、使われなくなったアカウントをどう畳むかが管理者の仕事の一角になります。

Google Workspace 側の停止を毎日確かめるWorkspace Sync

社内ユーザは会社の Google アカウントで入るため、退職などで Workspace 側のアカウントが止まると松葉にも入れなくなります。ただし、それだけでは松葉の側に「この人はもう使わない」という印が残りません。そこで毎日、Workspace 側の停止・アーカイブ・削除を確かめる自動処理を動かしています。稼働中

• 見つけた時点で、その方のサインイン中の状態を打ち切ります（開いたままの画面から操作を続けられません）
• アラートとして起票し、管理コンソールのヘッダに未対応件数として出ます
• 対象が残っているかぎり、毎週リマインダのメールが届きます。対象がゼロの週は送りません
• 正式な無効化は管理者の操作です。自動では無効化しません

自動で無効化しないのは、Workspace 側の一時的な停止や設定変更でアカウントが巻き込まれる余地があるためです。松葉は「気づかせるところまで」を自動化し、台帳としての最終判断は人が行います。

無効化から 5 年後の完全消去Five-Year Erasure

無効化してから 5 年が経ったアカウントは、毎月の自動処理が対象として数え上げます稼働中。実際に消すのは、管理者が承認したときだけです。対象の列挙と承認の仕組みは動いており、承認されたアカウントは翌月の自動処理が消去まで実行します。承認する画面は実装予定 · Step 4bで、それまでの承認は開発者側の操作で行います。

完全消去では、氏名やメールアドレスといった個人を指す情報を消します。実行の前に、そのアカウントが行った操作の記録が 2 年の保存期間を過ぎ、月次の退避でデータベースの外へ移し終えているかを確かめ、まだ残っていれば消去は行いません。退避した記録はそのままの形で保管されるため、人の情報を消しても「何が起きたか」は残ります。これは、消去したあとで過去の経緯を確かめられなくならないようにするための順序です。