利用者一覧を見ながら、退職者の残ったアカウントを一つずつ確認して整理している一人運用の保守担当者
セキュリティ・パッチ約8分

退職者アカウントの棚卸し｜権限を最小化する一人運用の手順

「そういえば、去年辞めたあの人のアカウント、まだ残ってないっけ」。 別の作業をしているときに、ふとそんな不安がよぎる。確認しなきゃとは思うけれど、どこに何のアカウントがあるのか一覧もないし、今すぐ手を止めて調べる余裕もない。そのまま、また後回しになってしまう。

一人で保守を背負っていると、こういう「気になっているのに手が回らないこと」が、じわじわ溜まっていきますよね。誰かがやってくれるわけでもないし、退職手続きのフローにアカウント削除が組み込まれていない現場も多い。

でも、これは意識が低いからでも、サボっているからでもありません。棚卸しの「型」と一覧がないだけです。型さえ作れば、退職のたびに同じ手順でサッと回せます。今日は、その型を一緒に作りましょう。全部を一度に完璧にしなくて大丈夫。まずは「うちにアカウントがある場所」を書き出すところからで十分です。

結論：①アカウントが存在する「場所（サーバー・SaaS・DB・共有アカウント等）」を洗い出して一覧にし、②各利用者が現役か退職済みかを突き合わせ、③退職者は無効化→一定期間おいて削除、現役者も「使っていない権限」を外して最小化する。この順で、まずは場所の一覧を1枚作るところから。

アカウントの持ち方（Active Directory・IdP/SSO・各SaaS個別・Linuxローカル等）は環境で大きく変わります。本文は自分の構成に読み替えつつ、削除・無効化の操作は必ず影響を確認してから行ってください。

なぜ「退職者アカウント」が残ってしまうのか

どれも「うっかり」ではなく、仕組みがないから起きることです。だから、退職のたびに悩まなくていいよう、棚卸しを一覧と手順にしていきます。

まず洗い出す：アカウントが「どこにあるか」を1枚にする

サーバー・SaaS・データベース・共有アカウントなど、アカウントが存在する場所を1枚の棚卸し表に集めて整理する図
まずは「効くか」ではなく「どこにあるか」。場所を書き出すだけで、抜けが見えてくる

いきなり「誰を消すか」から入ると、抜けが出ます。まず、アカウントが存在しうる場所を全部書き出します。思いつく限りで大丈夫。よくあるのは次のような場所です。

場所ごとに「利用者一覧をどこで見られるか（管理画面のURL・コマンド）」もメモしておくと、次回の棚卸しが一気に楽になります。この1枚が、今日いちばんの資産です。

突き合わせる：現役か退職済みかを確認する

場所の一覧ができたら、各アカウントの持ち主が「今も在籍しているか」を突き合わせます。

ここで大事なのは、犯人探しをしないことです。残っていたのは誰かの怠慢ではなく、フローがなかっただけ。淡々と「現役／退職済み」を仕分けていきます。

無効化→削除の順で外す：いきなり消さない

「消して何か動かなくなったら」の不安は当然です。だから、いきなり削除せず、段階を踏みます。

① まず無効化（ログインできない状態に）

② 一定期間おいて、影響がなければ削除

③ 「そのアカウントで動いていた処理」を確認する

共有アカウントは「棚卸しできない」問題

みんなで使い回している共有ID（例：admin を全員で共用）は、退職者が抜けてもパスワードを知っている人が残り続けるため、棚卸しが効きません。全部を今すぐ個別化するのは大変なので、現実的にはこの順で進めます。

一度に個別化できなくても、「退職時にパスワードを変える」を回すだけで、リスクはかなり下がります。

現役者も見直す：使っていない権限を外す（最小化）

棚卸しは退職者だけの話ではありません。現役の人でも、もう使っていない強い権限が残っていることは多いです。ついでに軽く見直します。

権限を最小化しておくと、万一アカウントが乗っ取られたときの被害も、操作ミスの範囲も小さくできます。責める話ではなく、お互いを守る整理です。

明日からやる3ステップ

大きく構えなくて大丈夫です。まずは小さく1周させます。

  1. 場所を1枚に書き出す：アカウントがありそうな場所（サーバー・SaaS・DB・共有）を、思いつく限りメモする
  2. 1か所だけ棚卸しする：一番気になる場所（例：サーバーのログイン、管理画面）で、現役／退職済みを仕分ける
  3. 退職者を1件、無効化する：影響を確認したうえで、まず無効化。動いている処理がないかも合わせて見る

これだけで、「気になっていたけど手つかず」が「一部は片付いた」に変わります。残りは次の退職・異動のタイミングで、同じ手順を回すだけです。

退職者アカウント棚卸しチェックリスト

全部にチェックが付かなくても大丈夫。一覧が1枚あって、退職のたびに無効化が回るだけで、あの漠然とした不安はずいぶん軽くなります。あなたが「気になっている」時点で、もう半分は守れています。焦らず、1か所ずつでいきましょう。

棚卸しを終えて、整理された利用者一覧を前に肩の力が抜け、少し前を向いている保守担当者
一覧が1枚あるだけで、退職のたびの不安はずっと軽くなる

関連記事・ツール

本記事は一般的な実務情報です。アカウントの無効化・削除は環境やシステムで影響が異なります。最終判断は、影響範囲を確認したうえで実施してください。