この作業の実際の中身
古いGitLabセッションの取り消しはワンクリックに見えますが、実際には2つの異なる効果を持つ確認作業です。1つは選択したセッションだけに限定される効果。もう1つはそのセッションを超えて広がり、記憶されたログイントークンをどこでも終了させる効果です。クリックする前に両方を理解しておけば、自分自身をロックアウトしたり、実際以上に整理されたと誤解したりせずに済みます。
このガイドはオーナー自身のセッション一覧のみを扱います。サーバー管理、Railsコンソールのコマンド、他人のアカウントの変更は対象外です。
ステップ1：セッション一覧に到達し、操作前に読み取る
GitLabのオーナーは「Edit profile」→「Access」→「Active sessions」を開き、不要なセッションを取り消せます。
GitLabのオーナーは「Edit profile」→「Access」→「Active sessions」を開き、不要なセッションを取り消せます。出典
何かを取り消す前に、一覧を「消すもの」ではなく「読むもの」として扱ってください。各項目について、実際に見えている情報を確認します。デバイスやブラウザの説明、最後にアクティブだった時刻、そして自分だと認識できるかどうかです。見覚えのないセッションは、より詳しく調べる理由にはなりますが、他人がパスワードを持っていることの自動的な証拠ではありません。共有コンピューター、古いスマートフォン、もう使っていないブラウザは、どれも見慣れない項目を生み出します。
実用的な順序は次のとおりです。
- 今まさに使用中のセッションを特定し、残すべき項目を知る。
- 説明がつかない項目に印をつける。
- 問題が1つの古いセッションなのか、記憶されたログインに関するより広い懸念なのかを判断する。
- そのうえで初めて取り消す。
ステップ2：現在のセッションがどうならないかを知る
現在アクティブなセッションは、その操作では取り消されません。
現在アクティブなセッションは、その操作では取り消されません。出典
これが最も混乱を招きやすい点です。古いセッションを取り消しても、作業中のブラウザからサインアウトされることはありません。これは便利で、整理作業そのものが中断されないことを意味します。一方で、今使用中のセッションを終了させたい場合、別の項目を取り消しても目的は達成されません。現在のセッションからサインアウトすることは、一覧の項目を取り消すこととは別の操作です。
ステップ3：記憶されたログインへの広い影響を考慮する
セッションを取り消すと、Remember meトークンも全デバイスで取り消されます。
セッションを取り消すと、Remember meトークンも全デバイスで取り消されます。出典
ここが作業の範囲を変える部分です。古い項目を1つ削除するつもりでも、記憶されたログインへの影響はその1項目より広くなります。他のデバイスが記憶されたログインに依存しているなら、それらの記憶されたログインも終了すると想定し、まだ管理下にある認証情報でそれらのデバイスに再びサインインする準備をしてください。
この準備のステップは重要です。取り消す前に、パスワードやアカウントにすでに設定済みの別の回復手段など、自分が管理する方法でまだサインインできることを確認してください。この整理作業の一環として回復手段を削除したり置き換えたりしないでください。アカウントが望む状態になったことを確認するまで、そのままにしておきます。
判断表：1つのセッションか、記憶されたログインの広範なリセットか
| 確認したこと | 取り消しで起こること | 準備すべきこと |
|---|---|---|
| 自分の古いデバイスだと認識できる古いセッションが1つ | そのセッションを終了。現在のセッションはアクティブのまま。Remember meトークンは全デバイスで終了 | 記憶されたログインに依存していたデバイスで再びサインインする |
| 説明がつかないセッション | 上記と同じ | 侵害の証拠ではなく、サインインのセキュリティを見直すきっかけとして扱う |
| 今使用中のセッションを終了させたい | 一覧のセッションを取り消してもこれはできない | 現在のセッションから別途サインアウトする |
| 見覚えのない項目が複数 | 各取り消しは同じ広い記憶ログイン効果を伴う | 繰り返しの取り消しが必要か判断し、回復手段はそのまま保つ |
ステップ4：結果を正直に確認する
何が変わったかを確認する場所はセッション一覧です。対象とした項目が消えていること、使用中のセッションがまだ存在することを確認します。次に、記憶されたログインの変更で影響を受けると想定したデバイスを確認し、必要に応じて再びサインインします。
一覧が伝えられることと伝えられないことに注意してください。項目が一覧から消えることは、そのセッションが取り消されたことを示します。それ自体では、そのセッションがなぜ存在したのか、誰が使用したのか、アカウントの他の何かが変わったのかは分かりません。見覚えがないためにセッションを取り消したなら、妥当な次の行動は、問題が片付いたと決めつけるのではなく、サインインのセキュリティを見直すことです。
よくある失敗の道筋
- 作業中のセッションを誤って取り消す。 現在のセッションはその操作では取り消されないため、この特定のミスは起こりません。ただし別途サインアウトすると確認作業が中断されます。サインアウトする前に確認を終えてください。
- 1回の取り消しで全デバイスが整理されたと想定する。 記憶されたログインへの影響は単一セッションより広いものの、セッション一覧はこれまでサインインしたすべての場所を完全に示すものではありません。
- 回復手段を早すぎる段階で削除する。 アカウントが望む状態になったことを確認するまで、自分が管理する回復経路を保ってください。
- 見覚えのない項目を侵害が証明されたものとして扱う。 それはさらなる確認の手がかりであり、結論ではありません。
役立つ次の作業
GitLabのセッションは1つのアカウントにすぎません。懸念がより広いものであれば、セッションと人物を切り分ける同じ規律は他の場所にも当てはまります。セッションを人物と誤認せずにGoogleアカウントのデバイスを見直すガイドでは、別のアカウントについてその区別を順を追って説明しており、ここを終えた後の自然な次のステップです。
懸念の一部がユーザー名に公的に何が結びついているかであるなら、ユーザー名検索は公開されている一致を手がかりとして示せます。TraceSeekは3,000+のプラットフォームを対象とし、最初のスキャンは無料で20–30秒かかります。公開されている一致は手がかりであり、所有の証明ではなく、ユーザー名検索は完全なアカウント一覧ではありません。