必要なときだけ管理者権限を付与する (macOS) SAP Privileges 2
社用PCで、アプリのインストールや設定変更を利用者自身に任せるため、アカウントを管理者権限のまま運用しているケースは多いのではないでしょうか。IT管理者の人手が限られていると、依頼のたびに対応するのは難しく、利用者が自分で作業できる状態にしておきたいという事情もあります。
とはいえ、昨今は不正アクセスなどによってアカウントや端末が侵害されるリスクが高まっており、管理者権限を持つアカウントが侵害されてしまうと、攻撃者に大きな操作権限を与えてしまうおそれがあります。そのため、普段使いのアカウントに管理者権限を持たせたままにするのは避けたいところです。必要な権限を、必要な時にのみ付与する「最小権限」と「JIT（Just-in-Time）権限付与」は、SCS評価制度でも重視されている考え方の一つです。
そこで今回は、普段は Mac を一般権限で利用し、必要なときだけ一時的に管理者権限を付与する方法の一例をご紹介します。
1. 解決方法
今回は、オープンソースのアプリ「SAP Privileges 2」を使います。
SAP
As a global leader in enterprise applications and business AI, SAP stands at the...
github.com
「SAP Privileges 2」は、macOSのユーザーが必要なときだけ一時的に管理者権限を取得できる無料のツールです。管理者になれる時間や、権限を取得するときに理由の入力を求めるかどうかなどを設定できます。
2. 前提条件
- macOS 14 以降であること
- アプリと構成プロファイルを配布できる環境（MDMなど）があること
3. SAP Privileges 2 でできること
主な機能は以下のとおりです。
機能 | 概要 | 備考 |
|---|---|---|
管理者権限の有効時間 | 設定した時間が過ぎると、自動で一般権限に戻す | 上限の範囲で利用者が時間を選ぶことも可能。期限を延長する設定も可能 |
権限取得理由の記録 | 管理者になる理由の入力を必須にする | 理由の選択肢も用意できる |
権限取得時の本人認証 | パスワード、Touch ID、スマートカードで認証を求める | - |
ログの外部送信 | syslogサーバーやWebhookに権限変更の記録を送る | Slackに通知するには別の仕組みが必要 |
権限の自動解除 | ログイン時、画面ロック時、システムの時刻変更時に一般権限に戻す | - |
例外アカウントの設定 | 指定したアカウントを自動解除の対象から外す | メンテナンス用に管理者アカウントがある場合はこちらを設定 |
権限変更時のスクリプト実行 | 権限が変わったときに、指定したスクリプトを実行する | - |
アプリの保護 | システム拡張機能でアプリの改ざんや削除を防ぐ | - |
詳細は、以下の GitHub リポジトリをご確認ください。
GitHub - SAP/macOS-enterprise-privileges: This application gives Mac users in enterprise environments control over the administration of their machines by elevating their access level to administrator privileges on macOS. Users can set a timeframe in the application's settings to perform specific tasks, such as installing or uninstalling applications.
This application gives Mac users in enterprise environments control over the adm...
github.com
4. 手順
4-1. アプリをダウンロードする
まずは、SAP Privileges 2 のインストーラーを以下の GitHub リポジトリからダウンロードしてください。
Releases · SAP/macOS-enterprise-privileges
This application gives Mac users in enterprise environments control over the adm...
github.com
Iruの場合は、AutoAppsが提供されているため、そちらからインストールできます。
4-2. 構成プロファイルを作成する
次に、SAP Privileges 2 の動作を決める構成プロファイル（mobileconfig）を作成します。
なお、公式の「Privileges Configurator」を使うと、プロファイルを簡単に作成できます。
なお、公式の「Privileges Configurator」を使うと、プロファイルを簡単に作成できます。
Privileges MDM Configurator
sap.github.io
各設定項目の詳細は、以下の GitHub リポジトリで確認できます。
Managing Privileges
This application gives Mac users in enterprise environments control over the adm...
github.com
今回は、以下の設定にしました。
設定キー | 設定値 | 内容 | 備考 |
|---|---|---|---|
ExpirationInterval | 20 | 管理者権限の有効時間（分） | 時間が過ぎると自動で一般権限に戻る |
RequireAuthentication | true | 管理者になるときに認証を求める | |
RequireBiometricAuthentication | true | 認証にTouch IDを求める | Touch IDが使えない、または未設定の場合はパスワードを求める |
RevokePrivilegesAtLogin | true | ログイン時に管理者権限を外す | 既存の管理者ユーザーを一般権限に落とす目的でも使う（5-1） |
RevokeAtLoginExcludedUsers | macadmin | ログイン時の権限解除の対象から外すアカウント | メンテナンス用の管理者アカウントがある場合に指定。アカウント名は環境に合わせて変更してください。 |
RevokePrivilegesAfterSystemTimeChange | false | システムの時刻が変更されたときに管理者権限を外す | 今回は無効 |
ReasonRequired | true | 理由の入力を必須にする | 最低文字数は未設定（初期値の10文字） |
HideSettingsButton | true | アプリの設定ボタンを非表示にする | 利用者が設定を変更できないようにする |
HideSettingsFromDockMenu | true | Dockのメニューから設定を非表示にする | |
ShowInMenuBar | true | メニューバーにアイコンを表示する | |
ShowRemainingTimeInMenuBar | true | メニューバーに残り時間を表示する |
4-3. アプリと構成プロファイルを配布する
用意したアプリと構成プロファイルを、お使いのMDMなどで配布します。このとき、アプリと構成プロファイルは必ず同じ対象に割り当ててください。
いきなり全台に配布するのではなく、まずは検証用のMacで動作を確かめてから、全社に広げていくのがおすすめです。
5. 動作確認
5-1. 既存の管理者が一般権限に切り替わることを確認する
今回は4-2で
RevokePrivilegesAtLogin を有効にしているので、利用者が次にログインしたタイミングで管理者権限が外れます。これまで管理者権限のまま使っていたMacも、プロファイルを配布するだけで一般権限に切り替わることを確認します。5-2. 権限の切り替わりを確認する
管理者になる前と後で、権限が切り替わっていることを確認します。確認方法は次の2つです。
- [システム設定] > [ユーザとグループ] で、利用者のアカウントの権限を確認する
- 対象のMacのターミナルで次のコマンドを実行して確認する
CURRENT_USER=$(stat -f%Su /dev/console); dseditgroup -o checkmember -m "$CURRENT_USER" admin > /dev/null && echo "$CURRENT_USER: 管理者" || echo "$CURRENT_USER: 一般"
6. 利用方法
管理者権限が必要になったら、利用者は次の手順で一時的に管理者になります。
- メニューバーのPrivilegesアイコンをクリックし、[権限を要求] を選びます。
- 管理者になる理由を入力します。
- Touch ID で認証します。（Touch ID が使えない場合は、パスワードを入力します）
- 設定した時間が過ぎると、自動で一般権限に戻ります。
ここで紹介したのは、4-2で作成したプロファイルでの動きです。有効時間や理由の入力、認証方法などの設定次第で、画面や手順は変わります。
7. 注意点
7-1. 管理者になれば何でもできてしまう
公式ドキュメントにもあるとおり、管理者になったユーザーは Privileges アプリ自体を削除することもできるため、予定どおりに権限が戻る保証はありません。
理由の入力もあくまで記録のためのもので、管理者でいる間の操作を制限するわけではありません。
必要に応じてシステム拡張機能（EnableSystemExtension）でアプリの改ざんや削除を防ぎつつ、記録もあわせて確認する運用がおすすめです。
7-2. ログの確認には外部送信の設定が必要
理由や権限の変更は端末のログに残りますが、IT管理者が後からまとめて確認するには、syslogサーバーやWebhookへ送る設定（RemoteLogging）が必要です。
なお、Webhookへの送信機能はありますが、送られるのは決まった形式のJSONです。SlackのWebhook URLにそのまま送っても通知されないため、別の仕組みでSlack向けの形式に加工する必要があります。
7-3. 承認フローがない
SAP Privileges 2 では、利用者が理由を入力するだけで、IT管理者の承認なしに管理者になれます。承認を挟みたい場合は、項番8で紹介している製品を検討してみてください。
7-4. 同じ機能を持つほかのツールと併用しない
アカウントを一般権限に戻す機能を持つほかのツールとは、併用しないでください。予期せぬ動作になるおそれがあります。例えばIruの場合は、以下の機能が該当します。
Demote User Accounts to Standard - Iru Docs
Use the demote user accounts parameter in Iru Endpoint to automatically convert ...
docs.iru.com
同様のこと（JIT権限付与）ができるツール
SAP Privileges 2 以外にも、必要なときだけ管理者権限を付与できる製品があります。お使いの環境や、IT管理者の承認を必要とするかどうかに応じて、次のような選択肢も検討できます。
KEPM（Keeper Endpoint Privilege Manager）
Keeperには、KeeperPAM の機能として KEPM (Keeper Endpoint Privilege Manager) があります。理由の入力やMFA、IT管理者の承認を条件に一時的に管理者権限を付与できるほか、特定のアプリやコマンドだけを管理者権限で実行させることもできます。
Windows や Linux にも対応しているので、すでに Keeper をご利用中であれば検討してみてもよいと思います。詳しい機能は、Keeper の公式ドキュメントをご確認ください。
Overview | KeeperPAM and Secrets Manager | Keeper Documentation Portal
Keeper EPM is a Privileged Elevation and Delegation Management (PEDM) solution
docs.keeper.io
Jamf Connect の権限昇格
Jamf Connect には、権限昇格（Privilege Elevation）の機能があります。利用者が Self Service+ のメニューバーから理由を入力すると、決められた時間だけ管理者になれるため、Jamf Connect をご利用中ならおすすめです。
Privilege Elevation - Jamf Connect Documentation
Self Service+ (formerly the Jamf Connect menu bar app) allows standard users to ...
learn.jamf.com
Admin By Request
Admin By Request は、理由の入力に加えて、IT管理者の承認を必須にできます。Mac、Windows、Linux に対応しており、無料プランでも25台まで利用できます（2026年10月時点）。
Portal Administration for Mac
docs.adminbyrequest.com
まとめ
管理者権限のまま運用していた Mac も、「JIT（Just-in-Time）権限付与」ができるツールを使えば、普段は一般権限で使い、必要なときだけ一時的に管理者になる運用に切り替えられます。利用者が自分で管理者になれるので、IT管理者がその都度端末を操作する必要がなく、少ない人数でも回しやすいのが魅力です。
管理者になるのは簡単ですが、理由の入力や時間の制限があるため、安易な権限の利用を抑止できます。さらに、普段が一般権限であれば、万一Macが不正アクセスを受けても攻撃者が実行したツールは権限不足で動かず、被害を抑えられる可能性があります。
一方で、SAP Privileges 2 では承認フローがなかったり、ログをまとめて確認するには追加の設定が必要だったりと、痒いところに手が届かない場面もあります。まずは検証用のMacにアプリとプロファイルを配布して、利用者側の使い勝手を試してみてはいかがでしょうか。
ZUNDAでは、Iru、Jamf Pro、Microsoft Intune などのMDMの導入・設計・運用を支援しています。Macの権限管理の見直しについても、お気軽にご相談ください。
.png?fm=avif&w=684&h=359&q=75)
.png?fm=avif&w=684&h=359&q=75)