執行役員の鬼頭です。
広告アカウントの乗っ取り対策の記事で、Google広告の「複数の関係者による承認（マルチパーティ承認、MPA）」を紹介しました。ユーザーの追加や権限の変更に、別の管理者の承認を求める仕組みです。
その記事を書くために公式ヘルプを読み込んでいて、気づいたことがあります。対象になる管理者の人数や、承認の知らせ方が、Googleのヘルプの中でも食い違っているのです。英語圏では「承認が回らず、Google広告が事実上止まった」という声も出ています。日本語ではまだほとんど話題になっていないので、整理しておきます。
この記事でわかること
- 複数の関係者による承認でできること
- 公式ヘルプの食い違い（対象の人数、通知の方法）
- 運用で決めておきたいこと
複数の関係者による承認でできること
次のような操作は、別の管理者が承認するまで反映されません。
- 新しいユーザーの追加
- 既存のユーザーの削除
- ユーザーの権限の変更
- 独立したアカウントを、MCC（クライアントセンター）の配下にリンクする依頼
読み取り専用の権限と、APIのユーザーに関する操作は対象外です。セキュリティ上の必要に応じて、対象の操作は今後増えることがあるとされています。
ほかに押さえておきたい決まりです。
- 承認の期限は20日 過ぎると依頼は失効し、最初からやり直し
- サポートは代わりに承認できない
- MCCの管理者も承認できる MCCは、リンクしている配下のアカウントの承認待ちを見て、承認できる
- 管理者が1人になると止まる 保留中の依頼は取り消され、管理者を足すと自動でまた有効になる
※Google広告の公式アカウントも、リンクしたMCCが管理者として数えられ、承認が必要になる場合があると答えています
落とし穴1：管理者が「3人」だと、効くのか効かないのか
複数の関係者による承認のヘルプには、「管理者が3人を超えるアカウントにだけ適用」とあります。つまり4人以上です。
一方、メールドメインの要件についてのヘルプのよくある質問には、「有効な管理者が3人以上」のアカウントでは、別の管理者の承認が必要と書かれています。
管理者がちょうど3人のアカウントは、片方のページでは対象、もう片方では対象外になります。どちらが正しいかがはっきりするまでは、「3人でも承認が求められることがある」前提で準備しておくのが安全です。逆に、「うちは3人だから関係ない」と考えて準備を後回しにするのは危ないと思います。
落とし穴2：承認の知らせは、メールで来るのか
同じヘルプの中で、承認の流れの説明には「対象の管理者には管理画面の中で通知が届き、メールは送られない」とあります。ところが、メールの通知についての説明では、承認の依頼のメールが届き、3日たっても承認されなければリマインドが1通届く、とも書かれています。さらに「6時間ごと」というリマインドの記載もあります。
メールが来るかどうかに頼らず、承認役の人が管理画面の通知を定期的に見ることを決めておいた方が確実です。承認待ちに気づかないまま20日たつと、依頼は失効します。
落とし穴3：承認が回らず、作業が止まる
英語圏のXには、導入直後の9月から、次のような声が上がっています。
- 依頼を出しても、理由を書いた内容がどこに行ったかわからない。Google広告が事実上止まった
- 管理者を1人にすれば止まるはずなのに、まだ承認を求められる
※承認の依頼がどこに行ったかわからず、作業が止まったという報告
新しい担当者を追加したい日に限って、承認役がつかまらない。そういうことは十分ありえます。ユーザーの追加や権限の変更は、承認に時間がかかる前提で、早めに依頼を出すのがよさそうです。
落とし穴4：外したはずの人が、まだ権限を持っている
導入をきっかけにユーザーの一覧を見直したら、外したつもりの人がまだ権限を持っていた、という声もあります。承認の仕組みを入れる前に、ユーザーの棚卸しをしておくのがおすすめです。元社員、見覚えのないユーザー、終わった案件の担当者を外しておきましょう。
運用で決めておきたいこと
- 承認役は誰か 自社の管理者、MCCの管理者、クライアント側の管理者のうち、誰が見るのか
- どのくらいの頻度で通知を見るか 20日の期限に間に合うように
- 承認する前に、何を確かめるか 依頼した本人に、電話やチャットで一言確認するだけでも、乗っ取りへの備えになります
- 管理者の人数 3人ちょうどのアカウントは、対象になるかどうかがあいまいです
- フリーアドレスのユーザー Gmailなどのフリーアドレスでは、ユーザーの追加やアカウントのリンクをできなくする試験も一部で始まっています。管理者は会社のメールアドレスにそろえておくと安心です
おわりに——承認は「押す」ためではなく「確かめる」ため
複数の関係者による承認は、乗っ取った側が管理者を足したり、元の管理者を外したりする動きを止めるための仕組みです。ただ、承認役が中身を確かめずに押してしまえば、効果はなくなります。
まずは、自社のアカウントの管理者の人数と、承認役を誰にするかを確かめるところから始めてみてください。
参考
- Google広告ヘルプ：複数の関係者による承認
- Google広告ヘルプ：About email domain requirements for performing sensitive actions in Google Ads
- Google Ads API：Multi-party approvals
広告アカウントの管理体制の見直しなどご相談がある方はお問い合わせください。
