共有パスワードが Excel・チャットに平文で散在している。 CREDENTIAL SPRAWL — SOLVED BY M365 TRUST
共有パスワード・MFA シークレットが Excel やチャットに平文で残り、誰がいつアクセスしたか追えません。 CredManager は Microsoft 365 認証でサインインした人だけが、アクセス区分に応じて復号できる仕組みで、この問題を解決します。
共有アカウントや MFA シークレットが暗号化されずに流通し、誰がいつ参照したか追跡できません。
特定の担当者しか知らないパスワードや MFA デバイス情報が、退職・機種変更で失われます。
個人用と共有用の境界が曖昧で、意図せず共有フォルダに保存してしまうケースがあります。
クラウド依存のツールは障害時にアクセス不能になります。障害時に使い続ける手段がありません。
現場の運用に必要な機能を、過不足なく。 FEATURES BUILT FOR DAILY OPS
認証・共有・個人区分・MFA 管理・デスクトップ標準 UI・事業継続まで、v0.1.0 で一貫して揃えました。
Microsoft 365 / Entra ID でサインインするだけで起動。接続先（SharePoint・Key Vault）は自動解決するため、利用者の事前設定は不要です。
アクセス区分に対応する鍵で暗号化し、権限を持つメンバーへ SharePoint 経由で共有。権限のない区分は一覧から除外され、復号もできません。
個人用の資格情報は SharePoint に同期せず、端末に DPAPI で暗号化して保存します。構造的に誤共有を防止し、保護パスフレーズ付きの暗号化ローカルバックアップ（世代管理）から別 PC での復元にも対応します。
中央一覧をカード・コンパクト・一覧（列ソート可）の 3 表示モードで切り替えられます。選択した表示モードは保存され、次回の起動でも使われます。
右クリック操作メニュー（詳細・編集・お気に入り・区分移動・削除）、メニューバー（ファイル/編集/表示/ツール/ヘルプ）、ステータスバー（接続状況・件数・フィルタ）、処理完了の非モーダル通知を備えています。検索・グループ絞り込み・お気に入りにも対応します。
認証アプリ／TOTP／SMS／音声／メール／ハードウェアトークン／パスキー・生体／バックアップコード／その他の 9種別を管理します。TOTP は 6桁のライブ生成・残秒カウントダウン・QR 表示に対応します。OTP シークレットも暗号化して保存します。
バックアップファイル＋パスフレーズで、クラウドと一切通信せず読み取り専用で復元。災害・クラウド障害時に、バックアップから読み取り専用で参照できます。
作成・編集・移動・削除・復元・閲覧・認証を構造化監査ログに記録（相関 ID 付き・秘密はマスキングして非出力）。後から追跡できる粒度を確保しています。
ブラウザで入力した資格情報を CredManager に取り込む拡張連携（Chrome 拡張 → ネイティブメッセージング → 本体）。社内 PoC 段階のため一般提供前。確定後に本節とダウンロードへ反映します。
画面イメージ。 UI PREVIEW (DUMMY DATA)
FlaUI 自動撮影による主要画面です。すべてダミーデータ版で、実データ・実資格情報は含みません（接続先は example.test、パスワードはマスク表示）。
チーム共有から個人保管・事業継続まで。 SCENARIOS FOR EVERY TEAM
社内各部門・チームの担当者から情報システム管理者まで、日常の資格情報運用を網羅します。
権限のあるメンバーだけが復号して利用できます。誰がいつアクセスしたかは監査ログに記録されます。
個人区分は SharePoint に同期せず、DPAPI で端末ローカルに暗号化して保存します。構造的に誤って共有できない設計です。
事前にパスフレーズ付き暗号化ローカルバックアップを取り、別 PC で復元。DPAPI は端末固有のため、バックアップ経由でのみ移行できます。
オフライン復旧モードで、バックアップ＋パスフレーズからクラウド通信なしで読み取り専用参照が可能。事業継続計画（BCP）の一環として使えます。
動作環境。 SYSTEM REQUIREMENTS
追加ランタイム不要。管理者権限なしでインストールできます。
デスクトップアプリ（単独 exe・SelfContained / SingleFile）。.NET ランタイムは不要（同梱）。
install.bat はユーザー領域（%LOCALAPPDATA%\Programs\CredManager）に配置します。SETUP-GUIDE.md を参照してください。仕様。 TECHNICAL SPECIFICATIONS
| バージョン | 0.1.0（FileVersion 0.1.0.0） |
|---|---|
| 暗号方式（共有区分） | エンベロープ暗号化（本体 AES-256 / データ鍵を区分別 Azure Key Vault 鍵でラップ）。乱数は CSPRNG。 |
| 暗号方式（個人区分） | DPAPI（CurrentUser）によるローカル保護。 |
| 暗号方式（バックアップ） | Argon2id 鍵導出 → AES-256-GCM（認証付き）。 |
| アクセス区分 | 3段の区分を色分けバッジ表示。所属グループで復号可否を判定（権限のない区分は一覧から除外）。 |
| MFA | 9種別管理。TOTP ライブ生成（6桁・残秒カウントダウン・QR 表示）。OTP シークレットも暗号化。 |
| 表示モード | カード / コンパクト / 一覧（列ソート可）の 3 モード。選択した表示モードは保存され、次回の起動でも使われます。 |
| 事業継続 | 完全オフライン読取専用復旧、ローカルバックアップ世代管理、構造化監査ログ。 |
| 同梱ファイル（7点） | CredManager.exe / install.bat / helpTexts.json / setup-access-tiers.ps1 / setup-sharepoint.ps1 / SETUP-GUIDE.md / README.txt |
Microsoft 365 / Azure 内で完結。 MICROSOFT CLOUD — FULLY IN YOUR TENANT
すべて Microsoft 365 / Azure 内で完結し、AWS 等の外部クラウドは使用しません。
システム構成。 SYSTEM ARCHITECTURE
クライアントと Microsoft クラウドで完結する 2層構成です。
┌─────────────────────────────────────────────────────────┐
│ Windows デスクトップアプリ (CredManager.exe) │
│ ・Microsoft 365 / Entra ID でサインイン（Entra 認証） │
│ ・3 表示モード UI・右クリックメニュー・TOTP ライブ生成 │
└──────────────┬───────────────────────────────┬──────────┘
│ 共有区分 │ 個人区分
▼ ▼
┌──────────────────────────┐ ┌──────────────────────────┐
│ SharePoint リスト │ │ 端末ローカル (DPAPI) │
│ (暗号文 + ラップ済み鍵) │ │ ・クラウド同期なし │
└──────────┬───────────────┘ │ ・暗号化バックアップ │
│ │ (Argon2id→AES-256-GCM) │
▼ └──────────────────────────┘
┌──────────────────────────┐
│ Azure Key Vault │
│ (区分別 KEK・RBAC モード) │
└──────────────────────────┘
「平文を持たない」「区分で分離する」「すべて残す」。 SECURITY & COMPLIANCE POSTURE
設計から運用まで、組織が情報資産として正しく資格情報を扱うための次の原則に沿って設計しています。
共有区分は AES-256 / Key Vault 鍵ラップのエンベロープ暗号化。個人区分は DPAPI(CurrentUser)。可搬バックアップは Argon2id → AES-256-GCM（認証付き）。乱数は CSPRNG。平文パスワードはどこにも保存されません。
アクセス区分ごとに別の KEK を使用し、所属グループで復号可否を判定します。権限のない区分は UI 上に表示されず、復号もできません。SharePoint を直接開いてもパスワードは取り出せません。
作成・編集・移動・削除・復元・閲覧・認証の各操作を構造化監査ログに記録します。相関 ID を付与し、秘密情報はマスキングして出力しません。後から追跡できる粒度を確保しています。
アプリ独自の認証を持たず、組織の Microsoft 365（Entra ID）でサインイン。MFA・条件付きアクセス・退職時の即時無効化はすべて組織既存の仕組みで動きます。
緊急時の復旧手順（break-glass）を整備し、RUNBOOK に基づく実機での動作確認を実施済みです。
ISO/IEC 27001:2022 の管理策に沿った自己点検（セルフアセスメント）を実施し、継続的に改善しています。
※ これは自己評価であり、正式な認証適合判定ではありません（SoA 反映・審査は ISMS 事務局の確定事項）。
ダウンロード。 FREE — v0.1.0 RELEASE BUILD
リリース版 v0.1.0（build 5fb8dd5）を公開しています。動作環境は Windows 10 / 11（x64）。利用には Microsoft 365 / Entra ID アカウントが必要です。
単独 exe・install.bat・helpTexts.json・setup-access-tiers.ps1・setup-sharepoint.ps1・SETUP-GUIDE.md・README.txt の 7 ファイルを同梱。
ZIP を解凍して install.bat を実行すると %LOCALAPPDATA%\Programs\CredManager へインストールされます（管理者権限不要・冪等）。.NET ランタイムは不要です。
- ファイル名
- CredManager-v0.1.0-5fb8dd5.zip
- サイズ
- 70,399,331 バイト（約 67.1 MiB）
- SHA-256
- 403E06BC875B7A2DD85803436541163A0A6163131ACD3779132F0C82BAA3F329
初回起動時に「Windows によって PC が保護されました」と表示される場合があります。
回避手順: 「詳細情報」→「実行」をクリックしてください。または ZIP ファイルを右クリック →「プロパティ」→「ブロックの解除」にチェックを入れてから解凍してください。詳細は同梱
README.txt を参照してください。
完全性の検証: ダウンロード後、PowerShell で Get-FileHash .\CredManager-v0.1.0-5fb8dd5.zip -Algorithm SHA256 を実行し、上記 SHA-256 と一致することを確認してください。
導入手順: ZIP を解凍 → install.bat を実行（%LOCALAPPDATA%\Programs\CredManager へ配置・ショートカット作成・管理者権限不要・冪等）。解凍フォルダから直接 CredManager.exe を起動することも可能です。
管理者側の初回準備: SharePoint Online サイト・Azure Key Vault（RBAC）・アクセス区分用 Entra グループの構成が必要です（詳細は同梱 SETUP-GUIDE.md）。
社内利用・無償: 社内利用フェーズにつき無償提供。有償展開時は別途案内します。
管理者の初期セットアップは一度だけ。利用者はサインインするだけ。 SETUP FOR ADMINS — THEN JUST SIGN IN
初回だけ管理者が組織側の準備をします。それ以降、利用者は exe を起動して Microsoft 365 でサインインするだけです。
Entra ID にアプリを登録し、サインイン許可と SharePoint への委任アクセス許可に管理者同意を付与します。詳細は同梱 SETUP-GUIDE.md を参照してください。
Azure Key Vault を作成（RBAC モード）、アクセス区分の数だけ鍵を発行し、対応する Entra グループに鍵単位の利用権限を割り当てます。付属の setup-access-tiers.ps1 でセットアップを補助します。
CredManager 用のプライベート SharePoint サイトを用意し、付属の setup-sharepoint.ps1 で暗号化保存用のリスト構造を作成します。
CredManager.exe を起動し、Microsoft 365 アカウントでサインイン。接続先は自動解決するため、利用者の追加設定は不要です。
ガイド・ドキュメント。 DOCUMENTATION
詳細な手順書は ZIP 同梱ドキュメントをご参照ください。
情報システム管理者向けの詳細なセットアップ手順。Azure / SharePoint の構成手順・トラブルシュートを網羅しています。
同梱: SETUP-GUIDE.md導入手順・SmartScreen 警告の回避方法・個人区分の注意事項など、利用者が参照すべき情報をまとめています。
同梱: README.txt管理者向け初期セットアップ手順書と利用者向け概要 README は、ZIP に同梱しています。ZIP を解凍してご参照ください。
よくある質問。 FREQUENTLY ASKED QUESTIONS
インストールに管理者権限は必要ですか？
install.bat はユーザー領域（%LOCALAPPDATA%\Programs\CredManager）に配置します。管理者権限なしでインストールできます。起動時に「Windows によって PC が保護されました」と出ます。
README.txt を参照してください。個人区分のデータは別の PC で使えますか？
クラウドが落ちても資格情報を見られますか？
接続先の設定は必要ですか？
更新履歴・ロードマップ。 CHANGELOG & ROADMAP
build 5fb8dd5
リリース版
- 共有区分（Key Vault エンベロープ暗号化）＋アクセス区分制御（3段・色分けバッジ）、MFA 9種別管理（TOTP ライブ生成）、3 ペイン UI。
- 個人区分（ローカル専用・DPAPI・誤共有防止）＋暗号化ローカルバックアップ（Argon2id → AES-256-GCM・世代管理）／別 PC 復元。
- オフライン復旧モード（完全オフライン読取専用）、break-glass バックアップ。
- 3 表示モード（カード/コンパクト/一覧・列ソート）／右クリックメニュー／メニューバー・ステータスバー・非モーダル通知などデスクトップ標準 UI。
- 構造化監査ログ＋相関 ID、依存固定＋CI（ビルド/テスト/脆弱性スキャン）＋ブランチ保護、ISO/IEC 27001:2022 自己点検、運用 RUNBOOK・最頻経路の自動 E2E・成果物 UI 自動撮影。
- データ本体の認証付き暗号（AES-GCM）化
- コード署名（SmartScreen 警告の恒久解消）
- ブラウザ連携（Chrome 拡張 → ネイティブメッセージング）の一般提供
サポート・お問い合わせ。 SUPPORT & CONTACT
社内利用に関するご相談・設定支援は情報システム部門までお問い合わせください。セットアップガイド（同梱 SETUP-GUIDE.md）を合わせてご参照ください。
SETUP-GUIDE.md — 管理者向け詳細セットアップ・トラブルシュート
README.txt — 利用者向け概要・SmartScreen 回避手順・個人区分の注意事項