MAS-205: GASフェーズ: MFA義務化と特権アカウント分離

概要

目的

財務データを扱う全ユーザーに 2 段階認証（MFA）を義務化し、システム設定・データ整備操作を特権アカウントのみに制限する。これにより、アカウント乗っ取りによる財務データの不正閲覧・操作リスクを低減し、GAS 構築フェーズにおける最優先セキュリティ基盤を確立する。

現在のコード

ファイル: 100_config/101_sys_config.js（行 299〜324）

MAS-214 (PR #230、2026-04-20 マージ済) により、onOpen() は Constants.MENU_DEFINITION をループして動的にメニューを生成する構造にリファクタリング済み。

function onOpen() {
  var ui = SpreadsheetApp.getUi();
  // N-38: Constants.MENU_DEFINITION をループしてメニューを動的生成
  // 全操作は右側サイドバーに集約 (狭い画面での top-level メニュー切り詰めを回避)
  try {
    Constants.MENU_DEFINITION.forEach(function(catDef) {
      var menu = ui.createMenu(catDef.category);
      catDef.items.forEach(function(item) {
        if (item.separator) {
          menu.addSeparator();
        } else if (item.items) {
          // サブメニュー (ネスト構造がある場合)
          var sub = ui.createMenu(item.label);
          item.items.forEach(function(subItem) {
            if (subItem.separator) sub.addSeparator();
            else sub.addItem(subItem.label, subItem.funcName);
          });
          menu.addSubMenu(sub);
        } else {
          menu.addItem(item.label, item.funcName);
        }
      });
      menu.addToUi();
    });
  } catch (e) {}
}

現状の問題点: onOpen() には権限チェックが存在せず、MENU_DEFINITION に登録された全カテゴリが全ユーザーに表示される。スプレッドシートにアクセスできる全ユーザーが 💾 バックアップ メニューを含むすべての操作を実行可能な状態である。サイドバー経由で呼び出されるすべての特権操作関数（setupAllSchemas 等）にも同様の制限はない。

特権操作関数の一覧（現状、誰でも実行可能）

修正方針

本案件は 2 つの独立したパートで構成される。

Part 1: MFA 義務化（Google Workspace 管理コンソール設定）

GAS コードの変更は不要。 Google Workspace 管理者が管理コンソールで設定する運用手順。

設定手順

1. Google 管理コンソール（admin.google.com）にスーパー管理者でサインイン
2. セキュリティ → 認証 → 2 段階認証プロセス を開く
3. 2 段階認証プロセスの適用 を「ON（ユーザーにとって必須）」に設定
4. 対象 OU（組織部門）を選択:
   • 財務データにアクセスする全ユーザーを含む OU を対象にする
   • OU の範囲: Workspace 管理者と判断（「人間が検討すべき事項」参照）
5. 適用開始日 を設定し、猶予期間を設ける（既存ユーザーへの移行猶予）
6. 保存 をクリックして適用

推奨 MFA 方法

設定値一覧 (2 段階認証プロセス)

管理コンソール admin.google.com → セキュリティ → 認証 → 2 段階認証プロセス で以下の値を設定する。実際の運用日 (D0) は後日決定 (最低 D-14 以上先)。

段階導入の運用フロー

関連する管理コンソール URL / 確認手段

• MFA 設定ページ: admin.google.com → セキュリティ → 認証 → 2 段階認証プロセス
• ユーザー別 2FA 状態レポート: admin.google.com → レポート → セキュリティ → 2 段階認証
• 停止猶予コード生成: admin.google.com → セキュリティ → 認証 → 停止猶予コード

Part 2: 特権アカウント分離（GAS コード改修）

100_config/101_sys_config.js の onOpen() に権限チェックを追加し、特権メニューを特権ユーザーのみに表示する。また、重要な特権関数の冒頭に同一の権限チェックを追加する（Defense in Depth）。

Step A: 03_sys_params に新規キーを追加

Constants.getParam('PRIVILEGED_USERS', '') で取得できる（000_infra/002_constants.js 行 147〜167）。

Step B: ユーザー判定ヘルパー関数の追加

/**
 * N-29: 現在のユーザーが特権ユーザーかを判定する
 * @returns {boolean} 特権ユーザーなら true
 */
function isPrivilegedUser_() {
  var email = '';
  try { email = Session.getActiveUser().getEmail() || ''; } catch (e) { email = ''; }

  // Simple trigger コンテキストでは getEmail() が空文字を返す場合がある
  // 空文字の場合は false（一般ユーザー扱い）とし、特権メニューは非表示にする
  if (!email) return false;

  var raw = Constants.getParam('PRIVILEGED_USERS', '');
  if (!raw) {
    // PRIVILEGED_USERS 未設定: 警告ダイアログは onOpen コンテキストで不可。
    // フォールバック: false を返し特権メニューを非表示にする
    console.warn('[N-29] PRIVILEGED_USERS が未設定です。特権メニューは非表示になります。');
    return false;
  }

  var list = raw.split(',').map(function(s) { return s.trim().toLowerCase(); });
  return list.indexOf(email.toLowerCase()) >= 0;
}

Step C: MENU_DEFINITION への privileged フラグ付与 + onOpen() ループ内スキップ判定

MAS-214 で onOpen() はハードコード構造から MENU_DEFINITION ループ駆動に移行済みのため、ハードコード onOpen に逆戻りする修正は禁止。代わりに次の 2 点を実施する。

C-1. 000_infra/002_constants.js の MENU_DEFINITION に privileged: true を付与

特権ユーザーのみに表示するカテゴリに privileged: true フラグを追加する。本案件の対象カテゴリは '💾 バックアップ'。

// 000_infra/002_constants.js 内の Constants.MENU_DEFINITION 定義
{
  category: '💾 バックアップ',
  privileged: true,  // ← N-29: 特権ユーザーのみに表示
  items: [
    { label: '📦 手動バックアップ実行', funcName: 'runManualBackup', description: '...' },
    // ...既存項目は変更しない
  ]
},

将来サイドバー項目 (MAS-217) が MENU_DEFINITION 化された際も、同様に privileged: true を付与するだけで制御できる拡張性を確保する。

C-2. 100_config/101_sys_config.js の onOpen() ループ内にスキップ判定を追加

MAS-214 で実装済みの onOpen() (行 299〜324) の MENU_DEFINITION.forEach ループ冒頭に、catDef.privileged && !isPrivilegedUser_() の場合に return でスキップする 1 行を追加する。既存のループ構造・サブメニュー処理・try/catch は一切変更しない。

function onOpen() {
  var ui = SpreadsheetApp.getUi();
  try {
    Constants.MENU_DEFINITION.forEach(function(catDef) {
      // N-29: privileged カテゴリは特権ユーザー以外にはスキップ
      if (catDef.privileged && !isPrivilegedUser_()) return;

      var menu = ui.createMenu(catDef.category);
      catDef.items.forEach(function(item) {
        // ...(N-38 実装のまま。変更不要)
      });
      menu.addToUi();
    });
  } catch (e) {}
}

補足: 🚀 BizLP のサイドバーから呼び出される特権操作 (setupAllSchemas 等) は、サイドバー表示自体はすべてのユーザーに開放しつつ、各関数の冒頭で権限チェックを行う (Step D = Defense in Depth)。

サイドバー側の将来拡張: MAS-217 (サイドバー項目の MENU_DEFINITION 統合) 完了後、サイドバー HTML レンダリング時にも privileged フラグを参照し、非特権ユーザーには CSS display: none 等で非表示にする方式を採用する。本案件ではサイドバー HTML は変更対象外。

Step D: 特権関数の冒頭に権限チェックを追加（Defense in Depth）

UI から非表示にするだけでは、GAS エディタから関数を直接実行する内部脅威を防げない。重要な特権関数の冒頭に同一チェックを追加する。

function setupAllSchemas(isFull) {
  // N-29: Defense in Depth — 権限チェック
  if (!isPrivilegedUser_()) {
    SpreadsheetApp.getUi().alert('🚫 この操作は特権ユーザーのみ実行できます。\n管理者に連絡してください。');
    Utils.auditLog('RUN', '', '', '', 'setupAllSchemas', '', '', '非特権ユーザーによる実行試行');
    return;
  }
  Utils.auditLog('RUN', '', '', '', 'setupAllSchemas', '', '', '特権操作: DDL全実行');
  // ... 既存処理
}

同様のパターンを以下の関数に適用:

• cleanupOrphanTrn() — 行削除（不可逆）のため必須
• runManualBackup() — バックアップ操作
• installBackupTriggers() / uninstallBackupTriggers() — トリガー操作

影響範囲

注意事項

1. Simple trigger の getEmail() 空文字問題
   onOpen() は Simple trigger（GAS の自動バインド）として動作する。Simple trigger のコンテキストでは、スクリプトを認可していないユーザーや、共有スプレッドシートで別ドメインのユーザーが開いた場合に Session.getActiveUser().getEmail() が空文字を返す。

   • onOpenAutoShowSidebar_() は Installable trigger で呼ばれる（行 337 参照: simple trigger からは ui.showSidebar() を呼べない）。
   • 本案件では Simple trigger の onOpen() に isPrivilegedUser_() を追加する。空文字 → false → 特権メニュー非表示、という安全側フォールバック設計を採用する。
   • Installable trigger への完全移行は MAS-214 等の将来案件で検討（現状のサイドバー起動は Installable trigger 化済み）。

2. Constants._paramsCache のキャッシュ
   _paramsCache はスクリプト実行ごとに null で初期化される（002_constants.js 行 146）。スクリプトは GAS のサンドボックス上で実行のたびにリセットされるため、03_sys_params を更新した後にスプレッドシートを開き直せば最新値が反映される。キャッシュ問題は発生しない。

3. Defense in Depth の必要性
   UI メニューから非表示にするだけでは、GAS エディタから関数を直接実行する内部脅威（不正操作）を防げない。特に cleanupOrphanTrn()（行削除・不可逆）と setupAllSchemas()（DDL 全実行）は冒頭権限チェックが必須。

4. 計算ロジックへの影響なし
   本案件は権限制御のみを対象とし、会計計算ロジック（SubledgerEngine・RPA 各関数・DataMart）は一切変更しない。filterWithRecalcTotal / filterValues の選択基準は対象外。

エッジケース

実データ検証

実装前に以下を MCP または手動で確認すること。

関連ドキュメント

人間が検討すべき事項

以下は Workspace 管理者（PO 兼務可）が意思決定する項目。

実装プロンプト（Claude Code 用）

あなたはGAS会計システム(bizlp-gas-accounting)のシニア開発者です。
案件 MAS-205「GASフェーズ: MFA義務化と特権アカウント分離」の Part 2（特権アカウント分離）を実装してください。

## 実行前タスク
- `100_config/101_sys_config.js` を Read して onOpen()（行 299〜317）の全メニュー構造と特権操作関数名を確認
- `000_infra/002_constants.js` を Read して Constants.getParam() の引数・返却値の型を確認（行 147〜167）
- `000_infra/004_utils.js` を Read して Utils.auditLog() の引数順序を確認（行 273）
- `03_sys_params` シートに PRIVILEGED_USERS キーが存在しない場合は手動で追加してから実装を開始する
  - A列: PRIVILEGED_USERS  B列: あなたのメールアドレス（カンマ区切りで複数可）

## 修正対象ファイル
- `000_infra/002_constants.js` — Step B-1 で MENU_DEFINITION の `💾 バックアップ` カテゴリに `privileged: true` フラグを追加
- `100_config/101_sys_config.js` — Step A（isPrivilegedUser_）/ Step B-2（onOpen ループ内スキップ判定）/ Step C（特権関数への Defense in Depth）
- `800_ops/809_backup_tool.js` — Step C（バックアップ関数群の Defense in Depth）

## 実装内容

### Step A: isPrivilegedUser_() ヘルパー関数の追加

`onOpen()` 関数（行 299）の直前に以下を追加:

    /**
     * MAS-205: 現在のユーザーが特権ユーザーかを判定する
     * @returns {boolean} 特権ユーザーなら true
     */
    function isPrivilegedUser_() {
      var email = '';
      try { email = Session.getActiveUser().getEmail() || ''; } catch (e) { email = ''; }
      // Simple trigger コンテキストでは getEmail() が空文字を返す場合がある
      // 空文字の場合は false（一般ユーザー扱い）とし、特権メニューは非表示にする
      if (!email) return false;
      var raw = Constants.getParam('PRIVILEGED_USERS', '');
      if (!raw) {
        console.warn('[MAS-205] PRIVILEGED_USERS が未設定です。特権メニューは非表示になります。');
        return false;
      }
      var list = raw.split(',').map(function(s) { return s.trim().toLowerCase(); });
      return list.indexOf(email.toLowerCase()) >= 0;
    }

### Step B: MENU_DEFINITION に privileged フラグ + onOpen ループ内スキップ判定

MAS-214 (PR #230) で onOpen() は MENU_DEFINITION ループに移行済み。ハードコード構造への逆戻りは禁止。次の 2 点を実施する。

**B-1. `000_infra/002_constants.js` の MENU_DEFINITION に privileged フラグ付与:**

Constants.MENU_DEFINITION の対象カテゴリに `privileged: true` を 1 行追加する。本案件では `'💾 バックアップ'` カテゴリを対象。他の既存カテゴリは変更しない。

    {
      category: '💾 バックアップ',
      privileged: true,  // ← MAS-205: 特権ユーザーのみに表示
      items: [
        // 既存項目は一切変更しない
      ]
    },

**B-2. `100_config/101_sys_config.js` の onOpen() ループ内にスキップ判定追加:**

行 304 の `Constants.MENU_DEFINITION.forEach(function(catDef) {` の直後に、次の 1 行を追加する。既存のループ構造・サブメニュー処理・try/catch は一切変更しない。

    Constants.MENU_DEFINITION.forEach(function(catDef) {
      // MAS-205: privileged カテゴリは特権ユーザー以外にはスキップ
      if (catDef.privileged && !isPrivilegedUser_()) return;

      var menu = ui.createMenu(catDef.category);
      // ... (既存処理は変更なし)
    });

### Step C: 特権関数への Defense in Depth 追加

以下の各関数の冒頭（既存の処理の前）に権限チェックを追加する:

**setupAllSchemas(isFull)（行 583〜）の先頭:**

    if (!isPrivilegedUser_()) {
      try { SpreadsheetApp.getUi().alert('🚫 この操作は特権ユーザーのみ実行できます。\n管理者に連絡してください。'); } catch(e) {}
      Utils.auditLog('RUN', '', '', '', 'setupAllSchemas', '', '', '非特権ユーザーによる実行試行');
      return;
    }
    Utils.auditLog('RUN', '', '', '', 'setupAllSchemas', '', '', '特権操作: DDL全実行');

**cleanupOrphanTrn()（行 226〜）の先頭:**

    if (!isPrivilegedUser_()) {
      SpreadsheetApp.getUi().alert('🚫 この操作は特権ユーザーのみ実行できます。');
      Utils.auditLog('RUN', '', '', '', 'cleanupOrphanTrn', '', '', '非特権ユーザーによる実行試行');
      return;
    }
    Utils.auditLog('RUN', '', '', '', 'cleanupOrphanTrn', '', '', '特権操作: 孤立TRN削除');

**809_backup_tool.js の runManualBackup() / installBackupTriggers() / uninstallBackupTriggers() 各先頭:**
（Read で行番号を確認してから追加すること）

    if (!isPrivilegedUser_()) {
      SpreadsheetApp.getUi().alert('🚫 この操作は特権ユーザーのみ実行できます。');
      Utils.auditLog('RUN', '', '', '', 'runManualBackup', '', '', '非特権ユーザーによる実行試行');
      return;
    }

## 制約
- MAS-214 (PR #230) で実装済みの MENU_DEFINITION ループ型 onOpen 構造に逆戻りする修正は禁止。ハードコード化は絶対に行わない
- `000_infra/002_constants.js` の MENU_DEFINITION 既存項目 (label / funcName / description / items 配列) は一切変更しない。`privileged: true` の 1 フィールド追加のみ許可
- メニュー名文字列・関数名は MENU_DEFINITION 定義を信頼する（逐語引用は MENU_DEFINITION から）
- Utils.auditLog() の引数順序は必ずシグネチャ通りに渡す:
  auditLog(operation, targetSheet, targetId, targetCol, funcName, beforeValue, afterValue, note)

## エッジケース（実装時に考慮すること）
- PRIVILEGED_USERS 未設定時: false を返す（特権メニュー非表示）。console.warn でログ出力
- getEmail() が空文字の場合: false を返す（安全側フォールバック）
- 03_sys_params シートが存在しない: Constants.getParam() が '' を返す → false
- メールアドレスの大文字小文字: toLowerCase() で正規化済み
- カンマ区切りの前後スペース: trim() で除去済み

## 動作確認
1. `npm run push:dev` でデプロイ
2. `03_sys_params` シートに `PRIVILEGED_USERS` キーを追加し、自分のメールアドレスを設定
3. スプレッドシートを開き直し、`💾 バックアップ` メニューが表示されることを確認。**他のカテゴリ（`🚀 BizLP` 等、`privileged` フラグ未指定のカテゴリ）は引き続き表示されることも合わせて確認**
4. 別の一般アカウントで開き直し、`💾 バックアップ` メニューが非表示になることを確認。**他のカテゴリは表示され続ける**
5. `setupAllSchemas` を GAS エディタから直接実行し、アラートダイアログが表示されることを確認（一般アカウントで）
6. 特権アカウントで `setupAllSchemas` を実行し、`98_audit_log` に `RUN / setupAllSchemas / 特権操作: DDL全実行` が記録されることを確認
7. `PRIVILEGED_USERS` を空にしてスプレッドシートを開き直し、`💾 バックアップ` メニューが非表示になること（フォールバック発動）を確認。このとき `isPrivilegedUser_()` が `false` を返すため、`privileged: true` が付与されたカテゴリ（`💾 バックアップ`）**のみ**がスキップされ、他の公開カテゴリは従来通り表示される設計であることを確認

### 拡張思考の使用状況
| フェーズ | 拡張思考 | 備考 |
|---------|---------|------|
| 実行前タスク（Read） | あり | メニュー構造・引数順序の正確な把握 |
| 実装（Edit） | なし | Read で確定した内容の書き下しのみ |

推奨実行モデル

変更履歴

仕様書作成プロンプト（再現性・監査性のため必ず記録）

# N-29: GASフェーズ: MFA義務化と特権アカウント分離
## 概要
## 目的
## 現在のコード
## 修正方針
## 影響範囲
## 注意事項
## エッジケース
## 実データ検証
## 関連ドキュメント
## 人間が検討すべき事項
## 実装プロンプト（Claude Code 用）
## 推奨実行モデル
## 変更履歴
## 仕様書作成プロンプト（再現性・監査性のため必ず記録）

あなたはGAS会計システム(bizlp-gas-accounting)のシニア開発者です。
案件 MAS-205「GASフェーズ: MFA義務化と特権アカウント分離」の Part 2（特権アカウント分離）を実装してください。

## 実行前タスク
- `100_config/101_sys_config.js` を Read して onOpen() の全メニュー構造と特権操作関数名を確認
- `000_infra/002_constants.js` を Read して Constants.getParam() の引数・返却値の型を確認
- `000_infra/004_utils.js` を Read して Utils.auditLog() の引数順序を確認
- `03_sys_params` シートに PRIVILEGED_USERS キーが存在しない場合は手動で追加してから実装を開始する

## 修正対象ファイル
`100_config/101_sys_config.js` のみ

## 実装内容
（Phase 1 で確定したメニュー名・行番号・フォールバック設計を元に、具体的な diff 形式または挿入位置指示を記述）

## 制約
- `000_infra/` 配下のファイルは変更しない
- onOpen() のメニュー名文字列は Read で確認した実在する文字列のみ使用する
- Utils.auditLog() の引数順序は必ずシグネチャ通りに渡す

## エッジケース
（Step 2-3a のエッジケーステーブルの内容を転記）

## 動作確認
1. `npm run push:dev` でデプロイ
2. `03_sys_params` シートに `PRIVILEGED_USERS` キーを追加し、自分のメールアドレスを設定
3. スプレッドシートを開き直し、特権メニューが表示されることを確認
4. 別の一般アカウントで開き直し、特権メニューが非表示になることを確認
5. 特権操作を実行し、`98_audit_log` に記録が追記されることを確認
6. `PRIVILEGED_USERS` を空にしてフォールバック動作を確認

### 拡張思考の使用状況
| フェーズ | 拡張思考 | 備考 |
|---------|---------|------|
| 実行前タスク（Read） | あり | メニュー構造・引数順序の正確な把握 |
| 実装（Edit） | なし | Read で確定した内容の書き下しのみ |

<details><summary>展開して表示</summary>

（この instruction タグの全文をそのまま貼り付け）

</details>

{ "file": "dev/dev_mas-205_mfa_privilege_separation.md", "title": "E.1.X N-29 MFA義務化と特権アカウント分離" }

| 2026-04-20 | [dev_mas-205_mfa_privilege_separation.md](dev_mas-205_mfa_privilege_separation.md) | 初版作成。MFA義務化手順とGAS特権アカウント分離の設計を記述 |

git add docs/dev/dev_mas-205_mfa_privilege_separation.md docs/_config.json docs/_internal/changelog.md
git commit -m "docs: N-29 MFA義務化と特権アカウント分離の開発仕様書を作成

Part1(Workspace MFA設定)とPart2(onOpen特権メニュー制御)の2部構成。
PRIVILEGED_USERSキーをsys_paramsで管理する方式を採用。

https://claude.ai/code/session_XXXXX"
git push -u origin docs/dev-N-29