「Google Workspace の管理は、数年前に辞めた情シスの社員が一人で全部やっていました。引き継ぎ資料もなく、管理者アカウントのパスワードだけが共有ドキュメントに残っている状態です。新しいドメインを追加したいのですが、そもそもこのアカウントを触るのが怖くて、誰も手をつけられていません」——製造業の会社の総務担当から、こんな相談を受けました。会社のITの「最上位の鍵」を、たった一人が握ったまま、その人が去ってしまった。中小企業ではめずらしくない話です。
Google Workspace の 特権管理者（スーパー管理者） は、管理コンソールとAPIのすべてにアクセスでき、全社員のメールログを検索し、誰のパスワードもリセットし、アカウントを丸ごと削除できる、文字どおり最強の権限です。この鍵が一人に集中している状態は、乗っ取られたら会社が止まり、その人がいなくなったら誰も管理できなくなる、という二重のリスクを抱えています。本記事では、この集中をどう解くかを発注者の視点で整理します。
特権管理者に集中する「二つのリスク」
特権管理者の集中が危ないのは、方向の違う二つのリスクを同時に抱えるからです。
ひとつは 乗っ取りのリスク。特権管理者アカウントが乗っ取られると、攻撃者は全社員のデータにアクセスし、設定を書き換え、アカウントを消せます。会社のIT全体が一気に人質になるわけです。経営層のアカウントが狙われる構図はアカウント乗っ取りと2段階認証の記事でも扱いました。もうひとつは 属人化のリスク。冒頭の相談のように、管理を握る一人が退職・音信不通になると、パスワードのリセットも、退職者の処理も、新しい設定変更も、誰にもできなくなります。会社の根幹が、一人の生死に握られている状態です。
「最小権限」と「委任」で集中を解く
この集中を解く原則はシンプルで、必要な人に、必要な権限だけを渡す（最小権限の原則） です。Google Workspace には、特権管理者ほど強くない、目的を絞った管理者ロールが用意されています。
| 分けられる役割の例 | 任せられること |
|---|---|
| ユーザー管理者 | アカウントの追加・削除・パスワードリセット |
| ヘルプデスク管理者 | パスワードリセットなど、日常のサポート業務のみ |
| グループ管理者 | メーリングリストやチームの管理 |
日常の運用をこうした限定ロールに委任すれば、特権管理者でログインする場面を「本当に必要なときだけ」に減らせます。どこまで現場に権限を渡すかの線引きは、退職時の処理を含めて設計しておくと安全です。退職者アカウントを安易に消して事故になる話はGoogle Workspace退職者対応の記事で整理しています。
最低限やるべき3つのこと
権限設計を一度に完璧にするのは難しくても、次の3つは今日からでも着手できます。
- 特権管理者を最低2名にする：一人が使えなくなっても会社が止まらないよう、予備の特権管理者を用意する。ただし増やしすぎない
- 管理者アカウントに強い2段階認証を必須にする：特権管理者には、セキュリティキーやパスキーなど、フィッシングに強い方式を義務づける。移行の進め方はパスワードレス移行の記事を参照
- 日常業務は専用の一般アカウントで行う：特権管理者アカウントは普段のメールやブラウジングに使わず、管理作業のときだけログインする
とくに「予備の管理者を持つ」と「日常と管理を分ける」の二つは、コストゼロで属人化と乗っ取りの両方に効きます。
「鍵の管理」は会社の存続に直結する
Google Workspace の特権管理者は、会社のITの最上位の鍵です。ここが一人に集中していると、その人の退職や、たった一度の乗っ取りで、会社の情報基盤ごと動かせなくなります。逆に、権限を役割ごとに分け、予備を持ち、強い認証で守っておけば、担当者が変わっても事故が起きても、会社は動き続けられます。「うちの管理者権限が誰にどう割り当たっているか棚卸ししてほしい」「退職した担当者しか触れないアカウントを、安全に引き継ぎたい」「特権管理者を減らしつつ、日常運用は現場に委任できる形にしたい」——そうしたお悩みがあれば、グリームハブのGoogle Workspace運用支援からお気軽にお問い合わせください。会社の「最上位の鍵」を、一人に依存しない形にご一緒に設計します。
