Google Workspaceにおけるサードパーティ製OAuthアプリの監査方法

ほとんどのIT管理者に、自社のGoogle Workspaceデータにアクセスできるサードパーティ製アプリケーションがいくつあるか尋ねても、正確な数字ではなく推測しか返ってこないでしょう。この不確実性こそが問題です。ユーザーが「Googleでログイン」をクリックしたり、Marketplaceのアドオンをインストールしたりするたびに、OAuthアプリケーションには組織データへの恒久的なアクセス権の一部が付与されます。そして、その許可はユーザーの関心、ベンダーの存在意義、さらには管理者の認識よりも長く生き続けます。

本記事では、こうした許可を監査するための実践的な手法を紹介します。どこで確認できるのか、どのアプリがリスクを伴うのかをどう判断するのか、そして安全に整理する方法について解説します。

OAuth許可とは実際には何か

ユーザーが「Googleで」アプリを承認するとき、パスワードを渡しているわけではありません。特定の権限—*スコープ*—に限定されたトークンをアプリに付与し、そのアプリがユーザー(または組織)に代わってGoogle APIを呼び出せるようにしているのです。スコープは「メールアドレスを閲覧する」程度の狭いものから、「Google Driveのすべてのファイルを閲覧、編集、作成、削除する」といった広範なものまであります。

これらの許可を監査する価値がある理由は、次の2つの特性にあります。

• 永続する。 トークンは、明示的に取り消されるか、アプリが削除されるか、アカウントが無効化されるまで機能し続けます。「そのツールはもう1年前から使っていない」というだけでは、何も取り消されません。
• ユーザー主導である。 アクセス権は「許可」をクリックした本人によって付与されるものであり、IT部門がプロビジョニングするものではありません。これはシャドーITの典型的な定義であり、アクセスの棚卸しが最初から不完全であることを意味します。

棚卸しの確認場所

確認できる視点は2つあります。

ユーザー視点は、各自のGoogleアカウントの*セキュリティ → サードパーティ製アプリとサービス*(旧称「アカウントにアクセスできるアプリ」)にあります。ここでは、そのユーザーが承認した内容が表示されます。抜き打ちチェックには有用ですが、規模が大きくなると現実的ではありません。

管理者視点は、Google管理コンソールの*セキュリティ → APIの制御 → アプリのアクセス制御*(および隣接する接続済みアプリのレポート)にあります。これは組織全体を俯瞰した情報であり、どのアプリが接続されているか、どのスコープを保持しているか、何人のユーザーがそれぞれを承認したかがわかります。監査を行う際は、ここが作業の場になります。

適切な管理者権限があれば、Admin SDKのトークンレポート機能を使って同じデータをプログラムで列挙できます。これにより、年1回の手作業に頼るのではなく、継続的かつ自動化されたレビューが可能になります。

リスクの判断方法

接続されているアプリすべてが問題というわけではありません。予定の空き状況を読み取れるだけのカレンダー調整ツールはリスクが低い一方、Driveへのフルアクセス権を持つメモアプリを一人のユーザーが使っている場合は話が別です。いくつかの観点で各アプリを評価しましょう。

• スコープの広さ。 Driveへのフルアクセス、Gmailの読み取り/送信、管理者ディレクトリへのアクセスは、リスクの高いスコープです。すべてのファイルを読み取り、外部に持ち出せるアプリは、どれほど信頼されているように見えても最優先の対象です。
• アクセス可能な情報の機微性。 Driveのコンテンツやメールボックスへのアクセスは、プロフィールやカレンダーのメタデータよりも優先度が高いものです。
• 利用者数と広がり。 一人のユーザーしか使っていなくても広範なアクセス権を持つアプリは、静かに集中したリスクとなります。全社で使われているアプリは、その影響範囲が大きいため精査に値します。
• パブリッシャーの信頼性。 検証済みのパブリッシャーやよく知られたベンダーは、未検証または匿名のアプリよりも安全な選択肢です。Googleのアプリ検証ステータスは有用な指標ではありますが、保証ではありません。
• 利用状況。 何カ月も使われていないアプリは、純粋にマイナス要因でしかありません。リスクだけがあり、価値は何もないのです。

これらをまとめるシンプルな方法は次の通りです。リスクの高いスコープを持ち、*かつ*信頼性が低い、*または*最近使われていないアプリは、整理リストの最優先項目とします。

繰り返し実施できる監査の手順

1. 列挙する。 管理コンソール(またはAPI経由)から、接続済みアプリとそのスコープの完全なリストを取得します。
2. スコープを分類する。 危険なもの—フルDriveアクセス、Gmailの送信/読み取り、ディレクトリ、管理者スコープ全般—にフラグを立てます。
3. 利用状況を突き合わせる。 最近の活動がないアプリや、利用者が極めて少ないアプリを特定します。
4. パブリッシャーを確認する。 未検証または不明なパブリッシャーに注意を払います。
5. 判断する。 各アプリについて、維持する、制限する、取り消すのいずれかを決定します。理由を記録してください。この判断ログが、次回の監査を迅速にします。
6. 安全に取り消す。 廃止すると決めたアプリのアクセス権を削除し、そのツールに依存していた少数のユーザーに連絡します。
7. ガードレールを設定する。 整理から予防へと移行します。Marketplaceへのインストールを管理者承認済みアプリに制限し、リスクの高いスコープへのアクセスをブロックまたは許可リスト化することで、無秩序な広がりが再発しないようにします。

何も壊さずに取り消す

整理作業を阻む最大の不安は、「必要なものまで取り消してしまったらどうしよう」というものです。これを軽減する方法は次の通りです。

• 明白な成果から着手する。広範なスコープを持ち、最近まったく使われていない未検証のアプリから始めます。
• 利用者数の少ないアプリについては、取り消す前に事前告知を行います。誰からも異論がなければ、そのまま進めます。
• 何をいつ取り消したかを記録しておきます。万が一何かが壊れても、迅速かつ意図的に復旧できるようにするためです。

Googleのツールにおける取り消しは即時かつ元に戻せるものです。ユーザーは本当に必要なアプリであれば、今度はガードレールが整った状態で、いつでも再承認できます。

継続的な取り組みにする

一度きりの監査は達成感がありますが、すぐに陳腐化してしまいます。監査を終えた翌日には、新しいアプリが接続されているものです。持続可能な答えは、継続的な発見にあります。接続済みアプリとそのスコープを自動的に列挙し、それぞれをスコアリングし、新たに高リスクな許可が現れたり、休眠中のアプリが広範なアクセス権を保持していたりする場合に警告を出す仕組みです。

定期的なスプレッドシートから常に最新の棚卸しへというこの転換こそが、今のOAuthエクスポージャーを把握しているか、それとも推測しているかの違いを生みます。これは、ID、共有、構成と並んで、より広範なGoogle Workspaceセキュリティを支える柱の一つでもあります。

立ち止まって考えるべきスコープ

スコープの広さが最大のリスク要因である以上、どのOAuthスコープが本当に重いのかを知っておくことが役立ちます。アプリの権限一覧を読む際に見分けておく価値のあるパターンをいくつか挙げます。

• `drive`(フルDrive) — ユーザーの*すべての*Driveファイルを読み取り、作成、変更、削除できます。これはアプリが保持できる最も広範なデータスコープであり、本来であればより狭いファイル単位のスコープで十分な場合でも、要求されることが多々あります。
• `gmail.send` / `gmail.modify` / `mail.google.com` — ユーザーとしてメールを送信したり、メールボックスを読み取り・変更したりする権限です。メールボックスへのアクセス権を持つアプリは、通信内容を外部に持ち出すことも、ユーザーになりすまして他者とやり取りすることも可能です。
• **admin.directory.*** — ユーザーやグループのディレクトリを読み取り、または管理する権限です。この権限を持つアプリは、一人のユーザーだけでなく組織全体に及びます。
• `spreadsheets` / `documents` — SheetsやDocsのコンテンツへのアクセス権であり、そこには財務情報、計画、「一時的に」貼り付けられた認証情報など、まさに保護したい機密データが含まれていることが少なくありません。

userinfo.email、calendar.readonly、drive.file(アプリ自身が作成したファイルのみへのアクセス)といった狭い範囲の読み取り専用スコープこそ、推奨すべきものです。新しいツールを評価する際は、要求する権限が最も少ないバージョンを選びましょう。

監査をポリシーへと発展させる

監査は、一度限りの整理で終わらせるのではなく、恒常的なポリシーへとつなげてこそ、はるかに大きな価値を持ちます。次の3つのポリシーによって、無秩序な広がりの大部分が再発するのを防げます。

• 管理者承認によるMarketplaceインストール。 ユーザーがMarketplaceアプリをインストールする前に管理者の承認を必須とし、新たな接続を既定の動作ではなく、明確な意思決定にします。
• スコープベースのアクセス制御。 リスクの高いスコープ(フルDrive、Gmail、ディレクトリ)をブロックするか、明示的に許可リストに登録します。フルDriveアクセスを求めるアプリには一定の基準をクリアさせ、メールアドレスのみを求めるアプリにはそこまでを求めない、といった具合です。
• 定期レビューの担当者を置く。 新規および高リスクな許可を定期的にレビューする役割を、誰かの正式な業務として割り当てます。担当者がいなければ、レビューは実施されません。

これらのガードレールは、既定の状態を「どのユーザーでも、どのアプリにも、どんなアクセス権でも付与できる」から「広範なアクセスは、レビューを経た意図的な選択である」へと変えます。しかも、人々が本当に必要とする正当なツールを妨げることはありません。

8200.devは、お客様のWorkspaceに接続されたサードパーティ製アプリを発見し、スコープ、パブリッシャーの信頼性、利用状況に基づいてスコアリングし、リスクの高いものから優先的に表示します—読み取り専用かつ継続的に。全体像についてはチェック項目をご覧ください。

今この瞬間、どのアプリがあなたのデータにアクセスできるか知りたいですか? 無料セキュリティ監査を開始すると、Google Workspace全体で接続されているOAuthアプリケーションの棚卸しを、リスク順にランク付けして取得できます。