Google Workspaceアプリパスワードの棚卸し・廃止手順｜2段階認証の例外を残さない運用
Google Workspaceのアプリパスワードは、2段階認証に対応していないメールソフトや複合機などをGoogleアカウントへ接続するための16桁の資格情報です。通常のパスワードとは別に発行され、接続先では対話型の2段階認証を行わずに使われるため、発行後に利用先や所有者が分からなくなると、長期間残り続ける例外認証になります。
Googleはアプリパスワードを原則として推奨せず、「Googleでログイン」やOAuthを使うよう案内しています。Google Workspaceでは従来のユーザー名とパスワードによる基本認証が2025年3月14日以降無効化され、アプリパスワードは例外として残っています。したがって、発行件数を増やすのではなく、利用中の例外を把握し、より安全な接続方式へ移せるものから廃止する運用が必要です。
アプリパスワードを安全に管理する要点は、16桁の値そのものを台帳へ保存せず、Googleアカウント側のアプリ名、利用者、接続先、用途、責任者、最終確認日、代替方式、失効期限をひも付けることです。所有者不明、未使用、退職者、紛失端末のものは失効し、現行アプリがOAuthに対応するなら再認証へ切り替えます。プリンタやスキャナでは、アプリパスワードを恒久利用する前にSMTPリレーを優先して検討します。
本記事のポイント
- アプリパスワードは16桁の例外資格情報で、2段階認証が有効なアカウントでだけ利用でき、GoogleはOAuthなどを優先するよう案内しています。
- 棚卸しでは秘密値を集めず、アカウント側のアプリ名と、機器・アプリ・所有者・用途・最終確認日を突き合わせます。
- 所有者不明、未使用、退職者、紛失端末は失効し、メールソフトはOAuth、複合機はSMTPリレーを優先して移行します。
アプリパスワードを例外認証として管理する
Googleアカウントヘルプでは、アプリパスワードを「安全性の低いアプリやデバイスにGoogleアカウントへのアクセスを許可する16桁のパスコード」と説明しています。利用には2段階認証が必要ですが、接続するアプリや機器が「Googleでログイン」に対応している場合は、アプリパスワードを作らないことが推奨されています。
2段階認証を有効にしていても、アプリパスワードの作成項目が表示されない場合があります。Googleの案内では、セキュリティキーだけを2段階認証方式にしている、高度な保護機能を使っている、職場・学校などの組織アカウントである、といった条件が挙げられています。Google Workspaceで利用可否が異なる場合は、非公式な回避策を使わず、管理者設定、対象組織部門、アカウントの保護方式、接続先のOAuth対応を確認します。
アプリパスワードは通常、アプリやデバイスへ一度入力すると、利用者が日常的に値を見る機会がありません。そのため「値を知っている人」ではなく「どのアカウントの、どの名称のアプリパスワードが、どの機器やソフトで使われているか」を管理単位にします。同じ資格情報を複数機器へ使い回すと、一覧から一つ削除したときの影響範囲が分からなくなるため、原則として1利用先につき1件に分けます。
| 利用状況 | 基本判断 | 確認すること | 次の処理 |
|---|---|---|---|
| 現行メールソフトがOAuth対応 | アプリパスワードを廃止 | 「Googleでログイン」、OAuth再追加、必要な権限、再認証後の送受信 | OAuth接続を確認してから旧資格情報を失効 |
| 複合機・スキャナの送信 | SMTPリレーを優先 | 固定IP、送信元、TLS、宛先範囲、機器の対応方式 | リレーで送信確認後にアプリパスワードを失効 |
| OAuth非対応で業務継続が必要 | 期限付きで例外継続 | 所有者、用途、機器ID、保管場所、終了予定、代替計画 | 短い再確認期限を付け、移行または製品更新を計画 |
| 所有者不明・未使用・退職者・紛失端末 | 失効 | 直近利用、機器台帳、担当部門、停止時の影響、緊急連絡先 | 影響を監視し、正当な利用が判明した場合だけ新方式で再接続 |
通常のパスワードを変更すると、Googleは既存のアプリパスワードを取り消します。これは保護機能ですが、棚卸しされていない複合機や旧式メールソフトが突然止まる原因にもなります。管理者パスワードリセット通知の運用と連動させ、パスワード変更後に再接続が必要な例外機器をあらかじめ把握しておくことが重要です。
所有者と利用先を7ステップで棚卸しする
管理者が16桁の値を収集する必要はありません。秘密値をスプレッドシートやチケットへ転記すると、新しい漏えい経路を増やします。利用者本人のGoogleアカウントに表示されるアプリ名と、機器・ソフトウェアの設定台帳、担当部門、接続ログを突き合わせ、値を見なくても特定できる管理番号を付けます。
- 対象アカウントを絞る。2段階認証を利用するユーザー、共有用途のアカウント、複合機・スキャナ送信用アカウント、旧式メールソフトの利用者、退職・異動予定者を抽出します。特権管理者や経営層のアカウントは優先度を上げます。
- 利用者側のアプリ名を確認する。利用者本人がGoogleアカウントのアプリパスワード管理画面を開き、登録名と件数を確認します。16桁の値は再表示・共有・回収せず、登録名と確認日だけを台帳へ記録します。
- 機器・アプリの候補を集める。Gmailを使うメールソフト、バックアップ製品、監視ツール、複合機、スキャナ、ネットワーク機器、業務アプリ、個人端末を洗い出します。SMTP、IMAP、POP、CalDAV、CardDAVの接続設定も確認します。
- 一対一でひも付ける。アプリ名、Googleアカウント、機器ID、ホスト名、設置場所、アプリ名・版、プロトコル、担当部門、業務用途を対応させます。一つの登録名に複数機器がぶら下がる場合は、分離計画を作ります。
- 利用継続を確認する。所有者へ業務上の必要性、直近の成功確認、停止時の影響、利用終了予定、OAuthやSMTPリレーへの移行可否を確認します。「昔から使っている」だけでは継続理由にしません。
- 継続・移行・失効を決める。期限付き継続には次回確認日と移行担当を付けます。OAuth対応アプリは再認証へ、複合機はSMTPリレーへ寄せ、未使用・所有者不明・退職者・紛失端末は失効対象にします。
- 失効後の影響を確認して閉じる。対象アプリの接続失敗、業務メールの滞留、複合機の送信エラー、代替経路の成功を確認し、台帳へ結果を記録します。想定外の影響があっても、同じ資格情報を復活させるのではなく、正しい所有者と接続方式で再設定します。
アプリパスワードの棚卸しが完了するのは、16桁の値を回収した時ではなく、利用先、所有者、代替方式、失効結果を同じ例外台帳で説明できた時です。
| 例外台帳の項目 | 記録する内容 | 記録しない内容 |
|---|---|---|
| アカウント | Google Workspaceユーザー、組織部門、アカウント種別、2段階認証状態 | 通常パスワード、バックアップコード |
| 登録 | アプリパスワードの登録名、確認日、社内管理ID | 16桁のアプリパスワード |
| 利用先 | 機器ID、ホスト名、設置場所、アプリ・版、プロトコル、送信元 | 個人の推測だけに基づく利用先 |
| 責任 | 業務所有者、技術担当、承認者、停止時の連絡先 | 退職済みの個人だけを唯一の所有者にすること |
| 期限 | 最終確認日、次回確認日、移行期限、失効日、失効結果 | 期限のない「当面継続」 |
未使用・退職者・紛失端末を失効し、復旧まで確認する
Googleアカウントヘルプでは、デバイスを紛失した場合や、アプリパスワードで認証したアプリを使わなくなった場合、そのアプリのアクセス権を削除するよう案内しています。失効対象を決めたら、削除前に対象アカウント、登録名、利用先候補、判断者、実施時刻、確認方法を記録し、16桁の値は保存しません。
退職者対応では、アカウント停止、セッションやOAuthトークンの扱い、メール・ファイルの引き継ぎと一緒に、アプリパスワードを確認します。共有機器が個人アカウントへ依存していた場合は、後任者の個人アカウントで同じ構成を再現せず、SMTPリレーや管理専用アカウントなど、責任と利用範囲を説明できる方式へ変更します。
端末紛失ではアプリパスワードだけでなく、Googleセッション、OAuthトークン、端末内のメールキャッシュ、業務ファイル、CRMへのアクセスも並行して確認します。遠隔ロックや企業データ削除を含む順序は業務端末紛失時の初動を参照し、アプリパスワードの失効だけで対応完了にしません。
失効後は、対象機器が接続できなくなったことだけでなく、正当な代替経路が動いていることを確認します。複合機ならテストメールの到着、送信元、TLS、宛先制限を確認し、メールソフトならOAuthの同意画面、送受信、再起動後の再接続を確認します。異常が出た場合は、失効した秘密を再利用せず、原因を特定して新方式で接続します。
OAuthとSMTPリレーへ移行して例外を減らす
Google Workspaceの公式資料では、Gmail、Googleカレンダー、Googleコンタクトへアクセスするサードパーティ製アプリはOAuthを使う必要があり、アプリパスワードは例外とされています。現行のOutlookやThunderbirdなど、OAuthに対応するクライアントは、古い手動設定を消してGoogleアカウントを再追加し、OAuthの同意画面を経由して接続します。権限範囲とアプリ審査を確認する場合はGoogle Workspace連携サービスのOAuth審査とスコープ設計も参照してください。
プリンタ、スキャナ、監視装置からメールを送る場合、GoogleはSMTPリレーを推奨し、最も安全な方法と案内しています。固定IP、送信元、TLS、宛先範囲を管理できる環境では、個人のアプリパスワードを機器へ埋め込むより、組織で接続条件を管理しやすくなります。リレーが利用できず機器がOAuthにも対応しない場合だけ、用途を限定したアプリパスワードを期限付きで残します。
移行は「新方式を設定する」「並行テストする」「旧資格情報を失効する」「再起動後も動くことを確認する」の順で進めます。Gmailの配送経路や外部ホスト設定も変える場合は、Gmailルーティング変更管理と分けて実施し、認証変更と配送変更の失敗原因を混在させないようにします。
| 接続対象 | 優先方式 | 移行確認 |
|---|---|---|
| 現行メールソフト | 「Googleでログイン」またはOAuth | 同意画面、必要スコープ、送受信、再起動後の再接続 |
| カレンダー・連絡先同期 | OAuth対応の現行クライアント | 再追加、同期範囲、重複、端末側の古い接続削除 |
| 複合機・スキャナ | SMTPリレー | 固定IP、TLS、送信元、宛先範囲、テスト送信 |
| OAuth非対応の業務アプリ | 製品更新・代替製品。やむを得ない場合だけ期限付きアプリパスワード | 移行期限、所有者、用途、失効条件、ベンダーの対応予定 |
よくある質問
Google Workspaceのアプリパスワードは何のために使いますか？
2段階認証や「Googleでログイン」に対応していないアプリ・機器をGoogleアカウントへ接続するための16桁の資格情報です。Googleは原則非推奨としており、OAuth対応アプリでは「Googleでログイン」を、複合機などではSMTPリレーを優先します。
発行済みアプリパスワードの所有者と利用先をどう棚卸ししますか？
利用者本人のアプリパスワード一覧にある登録名と、機器台帳、メールソフト、SMTP・IMAP・POP設定、担当部門、接続確認日を突き合わせます。16桁の値は回収せず、アカウント、登録名、利用先、責任者、用途、期限を社内管理IDで結びます。
未使用・退職者・所有者不明のアプリパスワードをどう失効しますか？
対象アカウントと登録名、利用先候補、判断者、実施時刻を記録して、Googleアカウントのアプリパスワード一覧から該当登録を削除します。失効後は想定した機器が接続できないことと、OAuthやSMTPリレーなどの代替経路が動くことを確認します。
アプリパスワードからOAuthなどへ移行するとき何を確認しますか？
接続先がOAuthに対応するか、必要な権限、再認証後の送受信・同期、再起動後の再接続を確認します。複合機はSMTPリレーの固定IP、TLS、送信元、宛先範囲を確認し、新方式の成功後に旧アプリパスワードを失効します。
Googleアカウントのパスワードを変更するとどうなりますか？
Googleの案内では、アカウントのパスワードを変更すると既存のアプリパスワードは取り消されます。棚卸しされていない旧式アプリや複合機が停止する可能性があるため、重要機器の利用先と代替方式を事前に確認します。
同じアプリパスワードを複数機器で使ってもよいですか？
技術的に接続できても、失効時の影響範囲と所有者を特定できなくなるため、運用上は使い回さない方が安全です。1利用先につき1件の登録名を付け、機器ID、設置場所、担当者、失効期限を対応させます。
Googleの公式仕様を確認する
アプリパスワードは、2段階認証を無効にする代替手段ではなく、対話型認証に対応できない機器やアプリのために残された例外です。秘密値を集めるのではなく、利用先、責任者、期限、代替方式、失効結果を管理すれば、業務を止めずに例外認証を減らせます。
