Vault権限の付与と取り消し

1Passwordマニュアル｜CLIを使ってユーザーやグループのVault権限を管理し、アクセス制御を効率化する方法をご紹介します。

1Password CLIを使うと、各ユーザーまたはグループが各Vault（保管庫）に持つ権限を管理できるため、誰もが必要なアイテムにアクセスできるようになります。

一部の権限には、依［Save］性のある権限が必要です。対話型シェルでは、任意の権限を指定できます。1Password CLIは、契約内容によって変わる権限を追加するか取り消すかを尋ねます。スクリプトを使っている場合やシェルが対話型でない場合は、コマンドに依［Save］性のある権限を含める必要があります。

アカウントの種類に応じて利用可能な権限についてはこちらで説明します。

必要条件

1Password CLIを使ってVaultの権限を管理する前に、次の操Createを行う必要があります。

• 1Passwordにサインアップしてください。

• 1Password CLIをインストールしてください。

所有者、管理者、またはmanage_vaultVaultの権限を持っている場合は、Vaultの権限を管理できます。

Vault内で権限を付与する

ユーザーに権限を付与する場合

ユーザーに Vault 内の権限を付与するためにはop vault user grantコマンドを使います。

例えばユーザー Wendy Appleseed に、Prod Vault内のアイテムを編集し、Vault権限を管理する権限を付与するには、次のようにします。

$ op vault user grant --user [e-mail] --vault Prod --permissions allow_editing,allow_managing

付与したい権限に、それに依存する権限も付与する必要がある場合、1Password CLIはそれらの権限を付与するよう、次のように要求してきます：

In order to grant [allow_editing,allow_managing], the permission(s) [allow_viewing] are also required.

Would you like to grant them as well? [Y/n]

Vaultへのアクセス権を持つユーザーとその現在の権限を確認するには次のように入力します：

$ op vault user list <vault>

グループに付与する場合

Vault内のグループ権限を付与するにはop vault group grantコマンドを使います。

例えばProd Vault内のアイテムを編集し、Vault権限を管理する権限をグループITに付与するには、次のようにします。

$ op vault group grant --group "IT" --vault Prod --permissions allow_editing,allow_managing

付与したい権限に、それに依存する権限も付与する必要がある場合、1Password CLIはそれらの権限を付与するように要求してきます：

In order to grant [allow_editing,allow_managing], the permission(s) [allow_viewing] are also required.

Would you like to grant them as well? [Y/n]

Vaultへのアクセス権を持つグループとその現在の権限を確認するには次のように入力します：

$ op vault group list <vault>

Vault内の権限を取り消す

ユーザーの権限を取り消す場合

Vault内のユーザーの権限を取り消すためにはop vault user revokeコマンドを使います。

例えばユーザーであるWendy Appleseedが持つ、Prod Vault内のアイテムを表示する権限を取り消すには、次のようにします：

$ op vault user revoke --user [e-mail] --vault Prod --permissions allow_viewing

取り消したい権限に応じて依存する権限も取り消す必要がある場合、1Password CLIはそれらの権限を取り消すように要求してきます：

In order to revoke [allow_viewing], the permission(s) [allow_editing,allow_managing] are also required.

Would you like to revoke them as well? [Y/n]

ユーザーの権限が取り消されたことを確認するには次のように入力します：

$ op vault user list <vault>

グループの権限を取り消す場合

グループがVault内に持つ権限を取り消すためにはop vault group revokeコマンドを使います。

例えばグループITが持つ、Prod Vault内のアイテムを表示する権限を取り消すには、次のように入力します：

$ op vault group revoke --group "IT" --vault Prod --permissions allow_viewing

取り消したい権限に応じて依存する権限も取り消す必要がある場合、1Password CLI はそれらの権限を取り消すように要求します：

In order to revoke [allow_viewing], the permission(s) [allow_editing,allow_managing] are also required.

Would you like to revoke them as well? [Y/n]

グループの権限が取り消されたことを確認するには次のように入力します：

$ op vault group list <vault>

スクリプトで権限を管理する

スクリプトを使ってVaultの権限を付与および取り消す場合、またはシェルが対話型でない場合は、--no-inputフラグを追加し、--permissionsフラグの後にコンマ区切りのリストで全ての依［Save］権限を指定する必要があります。

例えばallow_managing権限にはallow_editing権限とallow_viewing権限が必要です。ユーザー Wendy AppleseedにProd VaultのVault権限を管理する権限を付与するには、次の手順を実行します：

$ op vault user grant --no-input --user [e-mail] --vault Prod --permissions allow_managing,allow_editing,allow_viewing

あるVault内でallow_managing権限を付与されているグループITから、allow_editing権限を取り消すには次のように入力します：

$ op vault group revoke --no-input --group "IT" --vault Prod --permissions allow_managing,allow_editing

さらに詳しく知りたい場合は

• Vault permission dependencies