よくある質問
導入前に必ず出てくる疑問にお答えします

はい、使えます。利用者が行う操作は基本的に「最初に1回、自分のパスワードでVaultを開く」だけです。あとはブラウザの拡張機能が、ログイン画面で自動的にIDとパスワードを入力してくれます。むしろ、これまで長いパスワードを手で入力していた方にとっては、以前より操作が簡単になります。
導入時には、拡張機能のインストールと初回設定を情報システム部門が代行するか、画面付きの簡単な手順書を配布すると、問い合わせを大きく減らせます。実際の導入では、この最初のひと手間をどう乗り越えるかが定着の鍵になります。

できます。CSV形式などでのインポート機能が用意されており、ExcelやCSV、他社のパスワード管理ツール、ブラウザに保存されたパスワードを取り込めます。
ただし、そのまま丸ごと取り込むことはおすすめしません。既存の管理表には、すでに使われていないアカウントや、重複した登録、誰に共有すべきか曖昧なものが混ざっているのが普通です。移行はむしろ、不要なアカウントを整理する好機です。取り込む前に一度棚卸しを行い、フォルダ構成と共有先を決めてから移行すると、その後の運用がずっと楽になります。

保管できます。APIキー、SSH鍵、SSL/TLS証明書、ソフトウェアのライセンスキー、法人カードの情報、金融機関の口座情報、機密文書のファイルなど、「他人に知られてはいけない情報」であれば幅広く登録できます。
管理項目は自由にカスタマイズでき、自社独自の項目（契約番号、更新期限、管理部署など）を追加した専用のテンプレートを作ることも可能です。ファイルを添付できるため、手順書や設定メモを認証情報とセットで保管しておくこともできます。

問題なく導入できます。Zoho Vaultは単体で利用可能なサービスです。管理する対象もZoho製品に限定されず、Microsoft 365、AWS、Salesforce、社内システムなど、あらゆるサービスの認証情報を管理できます。
なお、すでに他のZoho製品を利用している場合、またはこれから複数のZoho製品を導入する予定がある場合は、複数製品をまとめたパッケージ契約のほうが有利になることもあります。その場合は営業窓口に相談してみてください。

Zoho Vaultはクラウドサービスであるため、基本的にはインターネット接続が前提となります。ただし、多くのパスワード管理ツールと同様に、一度同期したデータを端末側にキャッシュしておき、オフライン時にも参照できる仕組みが用意されています。オフラインでの利用可否や範囲は環境やバージョンによって異なるため、閉域網での利用が要件になる場合は、事前に営業窓口へ確認してください。
なお、完全にインターネットから切り離された環境で運用する必要がある場合は、オンプレミス型の特権アクセス管理製品のほうが要件に合う可能性があります。

使えます。iOS／Android向けのモバイルアプリが提供されており、指紋認証や顔認証で素早く解錠できます。外出先や在宅勤務時にも、パソコンと同じ情報にアクセスできます。
管理者側からは、どの端末からログインされているかを一覧で確認でき、紛失した端末のアクセスを個別に遮断することも可能です。私物端末の業務利用（BYOD）を認めている組織では、この端末管理機能が重要になります。

この質問は非常によく寄せられますが、答えは「Zoho Vaultの設計であれば、自社のExcel管理より安全である」です。理由は2つあります。

1つ目は、預けるデータが暗号化された状態でしか存在しないことです。暗号化と復号は利用者の端末内で行われ、サーバーには暗号文だけが送られます。復号に必要なマスターパスワードはサーバーのどこにも保存されないため、仮にサーバーからデータが流出しても、中身を読むことはできません。

2つ目は、比較対象を正しく捉えることです。「クラウドに預けるリスク」と比べるべきは「預けないリスク」——つまり、共有フォルダのExcelファイル、チャットの履歴、机の付箋、個人の記憶に分散している現状のリスクです。多くの場合、後者のほうがはるかに危険です。詳しくはセキュリティ対策のページをご覧ください。

できません。これは「見ない方針」ではなく「技術的に見られない」ということです。
Zoho Vaultはホストプルーフホスティングという方式を採用しており、データはユーザーのマスターパスワードを使ってクライアント側（ブラウザやアプリ）でAES-256により暗号化されます。サーバーへ送信されるのは暗号化されたデータのみで、マスターパスワードはVault内のどこにも保存されません。復号するための鍵がサーバー側に存在しないため、Zoho社であってもユーザーのデータにアクセスすることはできない構造になっています。

すべてのパスワードと機密データはAES-256で暗号化され、通信はSSL/TLSで保護されます。AES-256は米国国立標準技術研究所（NIST）が標準として選定した暗号方式で、鍵のパターン数は2の256乗（約1.15×10の77乗）通り。総当たり攻撃で解読することは現実的に不可能とされています。
加えて、組織の管理者が登録する際にはRSAの公開鍵・秘密鍵ペアと、組織固有のAES 256ビットの組織キー（Org Key）が生成されます。管理者の秘密鍵は管理者のマスターパスワードで暗号化されて保存され、マスターパスワード自体はサーバーに保存されません。この鍵の階層構造によって、「サーバーは中身を読めないが、メンバー間では安全に共有できる」という仕組みが成立しています。

Zoho側でリセットしたり、中身を復元したりすることはできません。マスターパスワードがサーバーに保存されていない以上、これは避けられない仕様です。セキュリティの強さと表裏一体の制約だとご理解ください。

そのため、Zoho Vaultには緊急時に備えた仕組み（緊急アクセスの指定、リカバリー手段の事前設定など）が用意されています。導入直後に必ずこれらを設定してください。「必要になってから」では間に合いません。組織としては、導入手順書の中に「リカバリー設定の完了確認」を必須項目として組み込むことをおすすめします。

複数の方法に対応しています。スマートフォンの認証アプリが生成するワンタイムコード（TOTP）、プッシュ通知による承認、SMSで届くコード、YubiKeyなどのハードウェアセキュリティキー、モバイルアプリでの指紋認証・顔認証などです。Zohoが提供する認証アプリのほか、Google Authenticatorなど一般的なTOTP対応アプリも利用できます。
組織としては、全ユーザーへの必須化を強くおすすめします。「役員は面倒だから免除」といった例外を作ると、最も価値の高いアカウントを最も弱く守ることになり、本末転倒です。

確認できます。誰がいつパスワードを閲覧・変更・共有したかが監査ログに記録され、内部統制や監査対応に活用できます。閲覧、コピー、自動入力による使用、共有と共有解除、ログインの成功・失敗、設定変更などが対象です。
ログは検索・絞り込みができ、レポートとして出力可能です。ISMS（ISO 27001）やPマーク、J-SOXなどの審査で「アクセス権限を適切に管理している証跡」として提示できます。また、Splunk や Microsoft Sentinel といったSIEM製品と連携すれば、他システムのログと組み合わせた高度な異常検知も可能です。

完全にゼロにはできませんが、大幅にリスクを下げられます。

まず、「自動入力のみ」の権限で共有していれば、その人はパスワードの文字列自体を知りません。退職時に共有を解除するだけで、アクセスは完全に断たれます。パスワードを変更する必要すらありません。
次に、AD連携を導入していれば、Active Directory側でアカウントを無効化した時点で同期によりVaultのアクセスも停止します。停止漏れという事象が構造的に起きにくくなります。
さらに、監査ログにより「退職直前に大量のパスワードを閲覧した」といった不審な挙動を検知できます。

なお、退職者が在職中に閲覧できた情報を記憶や個人メモに残す可能性はゼロにできません。特に重要な認証情報については、退職を機にパスワードを変更する運用ルールを併用してください。

Microsoft Active Directory（またはLDAP）とZoho Vaultを接続することで、ユーザー認証やユーザー管理をAD側で一元管理できます。具体的には次の4つです。

① ADユーザーの自動登録：AD上のユーザー情報を取り込み、Vaultのアカウントを自動作成します。
② ADアカウントでの認証：普段パソコンにログインしているのと同じIDとパスワードでVaultにログインできます。
③ 退職者の自動無効化：AD側で無効化・削除すると、同期によりVaultのアクセスも停止します。
④ 組織管理の効率化：ADの組織単位（OU）やセキュリティグループの構造をVault側に持ち込め、異動が権限に自動反映されます。

詳細な仕組み・設定手順・運用上の注意点は主な機能ページのAD連携の章で詳しく解説しています。

いいえ、その必要はありません。これはIT管理者から最も多く寄せられる懸念ですが、Zoho VaultのAD連携は社内に設置した同期エージェントが、社内から社外へ向けてHTTPSで通信する構成を取ります。
通信の向きがアウトバウンド（社内→社外）のみであるため、ファイアウォールに外部からの受信を許可する穴を開ける必要がありません。既存のセキュリティポリシーを大きく変更せずに導入できることが多いのは、この設計によるものです。プロキシ環境の場合は、エージェント側にプロキシ設定を登録します。

技術的な設定作業自体は、環境が整っていれば半日〜1日程度で完了することが多いです。ただし、実際に時間がかかるのは設定前の準備です。

・同期対象とするOU・グループの決定と、AD側のデータ整理
・読み取り専用のサービスアカウントの作成と権限設計
・同期エージェントを載せるサーバーの確保
・ネットワーク要件（プロキシ、ファイアウォール）の確認

特にAD側に古いアカウントや不整合が残っている場合、その棚卸しに数週間かかることもあります。AD連携の準備は、ADの棚卸しから始まると考えておくのが現実的です。

「同期が止まっていることに気づかない」という状況です。これがAD連携で最も多く、かつ最も危険なトラブルです。

原因は、サービスアカウントのパスワード期限切れ、エージェントを載せたサーバーの再起動やOS更新、ネットワーク経路やプロキシ設定の変更、証明書の有効期限切れなど様々です。同期が止まると、退職者のアカウントが有効なまま残り続けることになり、AD連携を導入した意味が失われます。

対策として、①同期ジョブの成否を管理者へ通知する設定を必ず有効にする、②月次で「最終同期日時」を目視確認する運用を組み込む、の2点を必ず実施してください。

もう1点、AD障害時に使う緊急用の管理者アカウントを用意しておくことも重要です。認証をすべてADに寄せると、AD側の障害時に誰もVaultにログインできなくなり、しかも復旧に必要なパスワードがVaultの中にある、という事態が起こり得ます。

おすすめしません。AD連携は基本的にAD → Zoho Vault の一方通行です。Vault側でユーザー情報を書き換えてもAD側には反映されず、次回の同期で上書きされる可能性があります。
「Vaultで直したのに元に戻った」という問い合わせの大半はこれが原因です。ユーザー情報の変更は必ずAD側で行うという運用ルールを、関係者全員に周知しておいてください。

クラウドアプリへのSSO機能、およびOktaやOneLoginといった外部IDaaS製品との連携は、エンタープライズプランで提供される機能です。Active Directory／LDAP連携やSIEM連携も同様にエンタープライズプランの機能となります。
SSOを導入すると、利用者はVaultのポータル画面から各サービスへワンクリックでログインできるようになります。パスワードを人が入力しないため、盗み見やフィッシングサイトへの誤入力といったリスクも下がります。プランごとの機能差は料金プランのページの比較表でご確認ください。

適切に設計しておけば問題ありません。むしろ、Zoho Vaultはこの「属人化による業務停止」を解決するためのツールでもあります。

対策は2つあります。1つは、業務に必要なシークレットを個人ではなくグループに共有しておくこと。担当者とバックアップ担当の両方がアクセスできる状態にしておけば、急な不在でも業務が止まりません。
もう1つは緊急アクセス機能の活用です。あらかじめ指定した相手が、一定の待機時間を経てVaultへアクセスできる仕組みで、想定外の事態に備えられます。

独自の作りをしたログイン画面（多段階入力、フレーム構造が特殊なもの、社内の古いシステムなど）では、自動入力が正しく動作しないことがあります。
この場合、対象サイトごとに入力欄を手動で指定する設定や、コピー＆ペーストによる利用で対応できます。パスワードの文字列を手入力する必要はないため、セキュリティ上の問題にはなりません。

重要なのは、トライアル期間中に業務で最も使う上位10サービスで動作を確認しておくことです。基幹システムで自動入力が動かないと、利用者が「使いにくい」と感じて定着しない原因になります。

最低でも半期に一度を推奨します。監査ログのレポート機能を使えば、長期間アクセスされていないシークレットや、共有されているのに一度も使われていない権限を洗い出せます。
また、期限付き共有を活用すれば、そもそも不要な権限が残らない仕組みを作れます。「今週いっぱいだけ」といった一時的な共有には必ず期限を設定する運用にしておくと、棚卸しの負担が大きく減ります。人が解除を覚えている必要がない、という点が重要です。

グループ単位で共有していれば簡単です。異動者を旧部署のグループから外し、新部署のグループに追加するだけで、関連する権限がすべて自動的に切り替わります。個別のシークレットを1つずつ見直す必要はありません。
AD連携を導入している場合はさらに簡単で、AD側でセキュリティグループを変更するだけ。その変更が同期されてVault側の権限にも反映されます。
逆に言えば、個人単位で共有を積み重ねてしまうと、異動のたびに全シークレットを見直す羽目になります。導入時に「共有先はグループのみ」というルールを決めておくことが、後々の運用負荷を大きく左右します。

「自動入力のみ」の権限で共有してください。この権限で共有された相手は、そのサービスにログインできるものの、パスワードの文字列自体は画面に表示されません。つまり「使えるけれど、知らない」という状態になります。
さらに期限付き共有を組み合わせ、契約終了日を期限に設定しておけば、解除を忘れても自動的にアクセスできなくなります。
従来は、協力会社との契約が終わるたびにパスワードを変更する作業が必要でした。この方法なら、共有を解除するだけで完結し、パスワードを変更する必要がありません。運用負荷の削減効果が非常に大きい使い方です。

これは実際によくある失敗です。定着させるための要点を挙げます。

① 使いにくさを放置しない：自動入力が動かないシステムがあると、そこから運用が崩れます。導入前に主要システムで検証してください。
② 現場に試してもらってから展開する：情報システム部だけで決めず、一般社員数名に事前に使ってもらい、つまずいた箇所を手順書に反映します。
③ 古い管理表を確実に廃止する：新旧が併存すると、必ず楽なほうに流れます。移行完了後は共有フォルダのExcelを削除してください。
④ ルールを明文化する：「パスワードはチャット・メールで送らない」「共有はVaultのグループ経由のみ」と文書化し、周知します。
⑤ メリットを実感させる：「パスワードを覚えなくてよい」「入力が速くなる」という利用者側の利点を、導入説明で丁寧に伝えることが重要です。

無料プランは個人利用向けの位置づけです。パスワードの保管、自動入力、パスワード生成といった基本機能は利用できますが、ユーザーやグループへの共有、権限管理といった組織運用に必要な機能は含まれません。
会社として複数人でパスワードを共有・管理する場合は、有料プランが前提となります。まず自分ひとりで操作感を確かめたい、という用途には無料プランが適しています。

あります。プロフェッショナルおよびエンタープライズには最低5ユーザーからという条件があります。3名で使いたい場合でも、5ユーザー分の費用が発生する点にご注意ください。小規模チームにとっては、この最低条件が実質的な最低料金となります。
なお、スタンダードプランにはこの制限がないため、少人数で共有機能だけを使いたい場合は、スタンダードから始めるという選択肢もあります。

一般的には可能ですが、契約形態や時期によって精算方法が異なります。詳細は契約時に必ず確認してください。
ただし実務的には、最初から必要な機能が揃ったプランを選ぶことをおすすめします。途中でプランを上げると、運用ルールや権限設計の作り直しが発生し、その手間が価格差を上回ることが多いためです。特にAD連携やSSOを将来的に使う可能性が高い組織は、最初からエンタープライズを検討する価値があります。

契約終了時のデータの扱いは、事前に必ず確認しておくべき重要な項目です。特に以下の2点は、見積もり取得時に営業窓口へ確認してください。

・エクスポートの可否と形式：保管しているシークレットをCSVなどの形式で書き出せるか。
・データの保持期間：契約終了後、いつまでデータにアクセスできるか。

パスワード管理ツールは業務の基盤になるため、「万一乗り換えることになった場合にデータを持ち出せるか」を導入前に確認しておくことは、ベンダーロックインを避けるうえで重要です。

有料プランの無料試用期間が用意されています。トライアル期間中に必ず確認すべきポイントは次の5点です。

① 主要システムでの自動入力の動作（業務で最も使う上位10サービス）
② 既存データのインポート（文字化けや項目の欠落がないか）
③ 権限設計が自社の組織構造に合うか（別アカウントで実際の見え方を確認）
④ AD連携の疎通（エンタープライズ検討時。テスト用OUで数名だけ試す）
⑤ ITに詳しくない社員が使えるか（これが最重要）

機能があるかどうかはカタログで分かります。トライアルで確かめるべきは、自社の業務の流れに無理なく組み込めるかです。