Zoho Vaultの主な機能
「ためる・わける・つなぐ・のこす」を図解で理解する

1. パスワードの一元管理 ― 何をどう保管できるか

Zoho Vaultの出発点は、社内に散らばった機密情報を1か所に集めることです。ExcelやメモアプリではなくVaultに保存することで、情報は暗号化され、アクセスは制御され、操作は記録されます。

保管できる情報の種類

Zoho Vaultで管理する1件1件のデータは「シークレット」と呼ばれます。Webサービスのログイン情報だけでなく、業務上の機密情報を幅広く保管できます。

あらかじめ用意された種類（テンプレート）を使えば、必要な入力欄がそろった状態で登録できます。自社独自の管理項目が必要な場合は、カスタムのシークレットタイプを作成し、「契約番号」「更新期限」「管理部署」といった項目を自由に追加できます。パスワード以外のメモやファイルも一緒に保管できるため、「このサーバーの再起動手順」のような運用情報をセットで残しておくこともできます。

フォルダ（チャンバー）による整理

シークレットの数が増えると、探すのが大変になります。Zoho Vaultではフォルダ（チャンバー）を作って階層的に整理でき、フォルダ単位で共有権限を設定することも可能です。たとえば「部署別」「システム別」「顧客別」といった軸でフォルダを切り、そのフォルダごと該当チームに共有すれば、個別のシークレットを1つずつ共有する手間がなくなります。

タグ・お気に入り・検索

フォルダとは別に、シークレットへタグを付けることもできます。「本番環境」「要更新」「委託先共有中」といったタグを付けておけば、フォルダの階層をまたいで横断的に絞り込めます。よく使うものはお気に入り登録でき、検索窓からはシークレット名・URL・メモなどを対象に高速に検索できます。日々の業務では、この検索から目的の情報にたどり着く場面が最も多くなります。

2. チームで安全に共有する ― 権限設計の考え方

Zoho Vaultの最大の価値は、この共有機能にあります。パスワードをメールやチャットで送る代わりに、Zoho Vault上でユーザーやグループへ共有します。重要なのは、共有する際に「どこまでできるか」を選べる点です。

「自動入力のみ」という強力な選択肢

4つの権限のうち、特に注目してほしいのが「自動入力のみ」です。この権限で共有された相手は、そのサービスにログインできるものの、パスワードの文字列そのものは画面に表示されません。つまり、「使えるけれど、知らない」という状態を作れます。

これは実務上、非常に大きな意味を持ちます。従来、外部の協力会社にシステムを触ってもらうときは、パスワードを教えるしかありませんでした。教えた以上、契約が終わったらパスワードを変更する必要があり、その変更作業自体が負担でした。「自動入力のみ」で共有すれば、契約終了時に共有を解除するだけで済みます。相手はパスワードを知らないので、変更する必要がないのです。

ユーザー単位とグループ単位

共有先はユーザー個人でも、グループ（ユーザーの集まり）でも指定できます。運用上は、できる限りグループ単位で共有するのが鉄則です。個人単位で共有していると、人が増えるたびに全シークレットを見直す必要がありますが、グループ単位にしておけば、新入社員をグループに追加するだけで必要な権限が一括で付与されます。異動や退職時も、グループから外すだけで関連する権限がすべて外れます。

期限付き共有と一時アクセス

共有には有効期限を設定できます。「今週いっぱいだけ触ってほしい」という場面では、期限を切って共有すれば、解除を忘れても自動的にアクセスできなくなります。人間が解除を覚えている必要がない、という点が重要です。権限の棚卸し作業を減らすうえで有効な機能です。

3. 自動入力とパスワード生成

ブラウザ拡張機能による自動入力

Google Chrome、Microsoft Edge、Firefox、Safariなどに拡張機能をインストールすると、ログイン画面を開いたときにIDとパスワードが自動で入力されます。利用者はパスワードを覚える必要も、入力する必要もありません。この自動入力は、登録したURLと一致する画面でのみ動作するため、見た目がそっくりな偽サイト（フィッシングサイト）ではそもそも入力されません。人間の目視確認より確実な防御になります。

強力なパスワードの自動生成

新しいアカウントを作るときは、Zoho Vaultのパスワードジェネレーターが推測困難なパスワードを自動生成します。文字数、記号・数字・大文字小文字の使用可否などを指定でき、「16文字以上、記号を含む」といった社内ルールに沿った文字列を1クリックで作れます。人が考えたパスワードは、どうしても推測されやすいパターンに偏りますが、自動生成なら偏りがありません。

パスワードポリシーの適用

組織としてパスワードポリシーを定義し、全ユーザーに適用できます。最低文字数、使用する文字種、有効期間（何日ごとに変更するか）などを定め、ポリシーに違反しているシークレットを一覧で洗い出せます。「弱いパスワードがどれだけ残っているか」を数値で把握できるため、改善活動の進捗管理にも使えます。また、パスワード強度のダッシュボードで、組織全体の健全性をひと目で確認できます。

4. シングルサインオン（SSO）

クラウドサービスへのSSO機能を利用でき、ユーザーは複数のパスワードを覚える必要がなくなります。Zoho Vaultは多くのクラウドアプリと連携できます。

Zoho VaultのSSOは、あらかじめ用意されたテンプレートを使って主要なクラウドサービスと連携できます。利用者はVaultのポータル画面に並んだアイコンをクリックするだけで、各サービスへログインできます。管理者側から見れば、「どの社員がどのサービスを使えるか」をVault上で一元的に制御できることになり、退職時のアクセス遮断も1か所の操作で完了します。

なお、SSO関連の機能や、OktaやOneLoginといった外部のIDaaS製品との連携は、上位のエンタープライズプランで提供される機能です。プランごとの機能差については料金プランのページを参照してください。

5. Active Directory連携【重点解説】

Microsoft Active Directory（またはLDAP）とZoho Vaultを接続し、ユーザー認証やユーザー管理をAD側で一元管理できる機能です。Zoho Vaultはパスワード管理ツールなので、社内のADユーザーを取り込んで利用できます。企業のIT管理者にとって、運用負荷とセキュリティリスクの両方を下げる最も効果の大きい機能のひとつであるため、ここでは仕組み・メリット・設定方法・運用上の注意点を順に詳しく解説します。

5-1. AD連携で何ができるのか

AD連携を有効にすると、次の4つが可能になります。

5-2. 連携の全体像（アーキテクチャ）

ADは社内ネットワークの中にあり、Zoho Vaultはインターネット上のクラウドサービスです。この2つをどうつなぐのかが、AD連携を理解するうえでの要点になります。基本的な構成は次のとおりです。

この構成で重要なのは、通信の向きが「社内から社外（アウトバウンド）」だけである点です。インターネット側からADサーバーへ接続させる必要がないため、ファイアウォールに外部からの受信を許可する穴を開ける必要がありません。社内のセキュリティポリシーを大きく変更せずに導入できることが多いのは、この設計によるものです。

5-3. AD連携のメリットを整理する

5-4. 設定方法（手順の流れ）

実際の設定手順は、Zoho Vaultの管理コンソールから進めます。画面構成やメニュー名はバージョンによって変わることがあるため、実施前に必ず公式のヘルプドキュメントで最新の手順を確認してください。ここでは、どのような作業が必要になるかの全体像を示します。

1. 事前準備：要件の確認と設計

   まず、どのユーザーを同期対象にするかを決めます。全社員なのか、特定の部署だけなのか。ADの組織単位（OU）やセキュリティグループのどこを対象にするかを、AD管理者と一緒に整理します。この時点で「同期しないユーザー（システムアカウント、共有メールボックス、テスト用アカウントなど）」も明確にしておきます。あわせて、AD連携が利用できるプランを契約しているかを確認します。

2. 読み取り専用のサービスアカウントを用意する

   同期エージェントがADを参照するための専用アカウントをAD上に作成します。重要なのは、このアカウントに与える権限を「読み取り専用」に限定することです。ユーザーの作成・変更権限は不要です。またパスワードの有効期限が切れて同期が止まらないよう、運用ルール（無期限にするか、更新手順を定めるか）を決めておきます。

3. 同期エージェントをインストールする

   社内ネットワーク上のサーバー（ドメインコントローラーと通信でき、かつインターネットへHTTPSで接続できるもの）に、Zohoが提供する同期用のエージェントをインストールします。ドメインコントローラー本体に直接入れるのではなく、専用の管理サーバーに配置するのが一般的です。プロキシ環境の場合は、プロキシ設定をエージェントに登録します。

4. ディレクトリへの接続設定を行う

   ADサーバーのホスト名またはIPアドレス、ポート番号、ベースDN（検索の起点となる階層）、先ほど作成したサービスアカウントの資格情報を入力します。通信は暗号化されたLDAPS（ポート636）を使うことを強く推奨します。暗号化されていないLDAP（ポート389）では、社内ネットワークとはいえ認証情報が平文で流れます。入力後、接続テストを実行して疎通を確認します。

5. 同期対象と属性マッピングを設定する

   同期する組織単位（OU）やグループを選択します。次に、ADの属性とZoho Vault側の項目を対応づけます。たとえばADの sAMAccountName や userPrincipalName をユーザー識別子に、mail をメールアドレスに、displayName を表示名に対応させます。メールアドレスが空のADユーザーがあると同期でエラーになりやすいため、事前にAD側のデータを整えておくと安全です。

6. テスト同期を実行して結果を検証する

   いきなり全社を対象にせず、まずは数名だけを含むテスト用のOUやグループで同期を実行します。想定どおりのユーザーが作成されたか、意図しないアカウント（無効化済みユーザー、システムアカウント等）が混ざっていないかを一覧で確認します。ここで混入を見逃すと、ライセンス数が想定より膨らむ原因にもなります。

7. 同期スケジュールを設定する

   自動同期の実行間隔を決めます。1日1回の夜間実行が一般的ですが、入退社が頻繁な組織では数時間おきに設定することもあります。退職者のアクセス停止をどれだけ早く反映したいかが判断基準になります。緊急時のために、手動で即時同期を実行できることも確認しておきます。

8. 認証方式（SSO）を設定する

   ユーザー情報の同期に加えて、ログイン認証もAD側で行う場合は、AD FSやAzure AD（Microsoft Entra ID）などのIDプロバイダーとSAML連携を設定します。これにより、利用者は普段のADアカウントでZoho Vaultにログインできるようになります。なお、認証をADに寄せる場合でも、Vaultの中身を復号するためのマスターパスワードの扱いは別途設計が必要です（詳細はセキュリティのページを参照）。

9. グループへの権限割り当てとロールの設定

   同期されたADグループに対して、Vault側のフォルダ共有や権限を割り当てます。ここが実際の「使える状態」を作る工程です。また、Vault内での役割（管理者／スーパー管理者／一般ユーザーなど）をどのグループに割り当てるかも決めます。管理者権限は必要最小限の人数に絞ってください。

10. 段階展開と監視

    設定が固まったら、対象範囲を部署単位で段階的に広げます。展開後は同期ジョブが正常に完了しているかを定期的に確認し、失敗時に管理者へ通知が届くようにしておきます。同期が止まっていることに気づかないまま数か月経過する、という状況が最も危険です。

5-5. 運用上の注意点

AD連携は導入して終わりではありません。運用フェーズで気をつけるべき点を、実務でつまずきやすい順に挙げます。

① 同期の停止に気づく仕組みを作る

最も多いトラブルが「いつの間にか同期が止まっていた」というものです。原因は、サービスアカウントのパスワード期限切れ、エージェントを載せたサーバーの再起動やOS更新、ネットワーク経路やプロキシ設定の変更、証明書の有効期限切れなど様々です。同期が止まると、退職者のアカウントが有効なまま残り続けるという最悪の事態につながります。同期ジョブの成否を管理者へ通知する設定を必ず有効にし、月次で「最終同期日時」を目視確認する運用を組み込んでください。

② AD側のデータ品質が結果を左右する

AD連携の品質は、AD自体の整理状況に大きく依存します。使われていない古いアカウントが大量に残っている、部署異動がグループに反映されていない、メールアドレスが未設定のユーザーがいる、といった状態でそのまま同期すると、その混乱がVault側にそのまま持ち込まれます。AD連携の準備は、ADの棚卸しから始めると考えてください。この作業は手間ですが、結果的に全社的なアカウント管理の改善につながります。

③ 削除ではなく「無効化」の扱いを決めておく

ADでユーザーを削除した場合と無効化した場合で、Vault側の挙動が異なる可能性があります。また、退職者アカウントを即座に削除してしまうと、その人しか知らなかった個人フォルダの情報が失われる恐れがあります。運用ルールとして、「退職時はまず無効化し、引き継ぎ完了後に削除する」という二段階を定め、その間にVault内の個人フォルダの資産を引き継ぐ手順を決めておくことを推奨します。

④ 管理者アカウントの「逃げ道」を残す

認証をすべてAD／IdPに寄せると、AD側やIdP側に障害が起きたときに誰もZoho Vaultにログインできなくなる可能性があります。しかも、そんなときに限って復旧作業用のパスワードがVaultの中にある、という笑えない状況が起こり得ます。AD連携に依存しない緊急用の管理者アカウントを1つ用意し、その資格情報は厳重に別管理（封書で金庫に保管するなど）しておいてください。これは災害対策（BCP）の観点でも重要です。

⑤ ライセンス数と同期対象範囲を一致させる

同期対象のOUを広く取りすぎると、想定していなかったアカウント（退職者、テスト用、システム用など）まで取り込まれ、契約ユーザー数を超過することがあります。同期対象は必要最小限のOU・グループに絞り、定期的に「Vault上のユーザー数」と「実際の利用者数」を突き合わせてください。

⑥ 同期の方向は一方通行であることを理解する

AD連携は基本的にAD → Zoho Vault の一方通行です。Vault側でユーザー情報を書き換えても、AD側には反映されませんし、次回の同期で上書きされる可能性があります。ユーザー情報の変更は必ずAD側で行う、という運用ルールを関係者全員に周知しておく必要があります。「Vaultで直したのに元に戻った」という問い合わせの大半はこれが原因です。

⑦ グループのネスト（入れ子）に注意する

ADのセキュリティグループは、グループの中に別のグループを含める入れ子構造が作れます。この入れ子がどこまで展開されて同期されるかは、事前に必ずテストで確認してください。想定していた人が含まれていなかったり、逆に想定外の人が含まれていたりすると、権限の過不足に直結します。

6. 監査ログとレポート

誰がいつパスワードを閲覧・変更・共有したかを記録できます。内部統制や監査対応に役立ちます。SIEM製品との連携も可能です。

記録される操作

Zoho Vaultは、Vault内で行われた操作を自動的に記録します。記録の対象には、シークレットの閲覧・追加・変更・削除、パスワードのコピー、自動入力による使用、他ユーザーへの共有と共有解除、ログインの成功と失敗、設定変更などが含まれます。それぞれの記録には、実行したユーザー、日時、対象、操作内容、接続元の情報が残ります。

監査ログの実務的な使い道

• インシデント発生時の追跡：あるアカウントが不正利用された疑いがあるとき、「そのパスワードに誰がアクセスできたか」「直近で誰が実際に閲覧したか」を短時間で特定できます。
• 内部統制・監査対応：ISMS（ISO 27001）やPマーク、J-SOXなどの審査で「アクセス権限の管理状況を示す証跡」として提出できます。口頭の説明ではなくシステムの記録として示せる点が重要です。
• 権限の棚卸し：長期間アクセスされていないシークレットや、共有されているのに一度も使われていない権限を洗い出し、不要な権限を削減できます。
• 異常検知：通常業務では考えにくい操作（深夜の大量閲覧、短時間での連続アクセスなど）を発見する手がかりになります。

SIEM連携

Zoho Vaultの監査ログをSIEM製品へ連携すれば、Vault単体では見えない兆候を捉えられます。たとえば「深夜にVaultからサーバーの管理者パスワードが閲覧され、その直後に同じ端末から本番サーバーへログインがあった」といった、複数システムをまたぐ一連の動きを1つのイベントとして検知できます。SOC（セキュリティ監視チーム）を持つ組織では、この連携が運用の前提になります。

あわせて、パスワードの強度分布、ポリシー違反の件数、ユーザーごとの利用状況などをまとめたレポート機能も用意されています。経営層への報告や、セキュリティ施策の効果測定に活用できます。

7. その他の実務で効く機能