Salesforce セキュリティガイド
j多要素認証に関する考慮事項
| 使用可能なインターフェース: Salesforce Classic (使用できない組織もあります) および Lightning Experience の両方 |
| 使用可能なエディション: Essentials Edition、Group Edition、Professional Edition、Enterprise Edition、Performance Edition、Unlimited Edition、Developer Edition、および Contact Manager Edition |
- サービスベース — デバイスの有効化とも呼ばれるサービスベースの認証は、すべての組織で自動的に有効になります。この機能では、ユーザが不明なブラウザまたはアプリケーションから Salesforce にアクセスするときに検証方法を要求することを促されます。
- ポリシーベース — システム管理者はポリシーベースの多要素認証を有効にします。これは、システム管理者が組織のユーザアカウントを保護するのに最適なツールです。詳細は、以降のセクションを参照してください。
多要素認証を要求する組織ポリシー
すべてのログイン、API を介したすべてのログイン (開発者およびクライアントアプリケーションの場合)、または特定の機能へのアクセスで、第 2 レベルの認証を要求するポリシーを設定します。ユーザは、検証方法を通じて 2 番目の要素を用意します。ユーザは、Salesforce Authenticator アプリケーションや Google Authenticator アプリケーションなどのモバイル認証アプリケーションをモバイルデバイスにダウンロードしてインストールできます。また、U2F セキュリティキーを使用することもできます。ユーザが Salesforce で認証アプリケーションまたはセキュリティキーを登録してその方法を Salesforce アカウントに接続したら、組織のポリシーで MFA が求められる場合は常にこの方法を使用できます。
Salesforce アカウントで ID 検証または MFA が求められると、Salesforce Authenticator モバイルアプリケーション (バージョン 2 以降) からユーザのモバイルデバイスにプッシュ通知が送信されます。ユーザはモバイルデバイスで応答し、アクティビティを検証またはブロックします。ユーザは、アプリケーションのロケーションサービスを有効にして、自宅やオフィスなどの信頼できる場所からの検証を自動化できます。Salesforce Authenticator では、確認コード (「時間ベースのワンタイムパスワード」 (TOTP) とも呼ばれる) も生成されます。ユーザは、2 要素検証のアプリケーションからのプッシュ通知に応答する代わりに、パスワードとコードを入力することを選択できます。または、別の認証アプリケーションから確認コードを取得することもできます。
MFA に通常使用しているデバイスを紛失したか、忘れたユーザのために、仮の確認コードを生成できます。コードの有効期限が生成後 1 ～ 24 時間後に切れるように設定します。コードは有効期限まで繰り返し使用できます。ユーザが使用できる仮のコードは一度に 1 つのみです。以前のコードがまだ有効な間にユーザが新しいコードを必要とする場合は、以前のコードを期限切れにして新しいコードを生成できます。ユーザは、個人設定で自分の有効なコードを期限切れにできます。
多要素認証のカスタマイズ
- すべてのログインで必須にする。ユーザが Salesforce にログインするたびに、MFA ログインの要件を設定します。API ログインに対してこの機能を有効にすることもできます。これには、データローダなどのクライアントアプリケーションの使用も含まれます。詳細は、「多要素認証ログイン要件の設定」または「API アクセスの多要素認証ログイン要件の設定」を参照してください。
- 高保証認証を使用する。MFA がすべてのユーザログインに必要ではないが、特定のリソースを保護する必要があるという場合があります。ユーザがレポートまたは接続アプリケーションを使用しようとすると、Salesforce から ID を検証するよう促されます。詳細は、「セッションセキュリティレベル」を参照してください。
- プロファイルポリシーおよびセッション設定を使用する。まず、ユーザプロファイルで [ログインに必要なセッションセキュリティレベル] を [高保証] に設定します。次に、組織のセッションの設定で、特定のログイン方法にポリシーを適用するようにセッションセキュリティレベルを設定します。組織のセッション設定で、セッションセキュリティレベルをチェックして、[多要素認証] が [高保証] 列にあることを確認します。詳細は、「多要素認証ログイン要件の設定」を参照してください。
高保証セッションセキュリティレベルでの API ログインの使用がサポートされるのは、ユーザ承認ステップを含む認証フローのみです。これらのフローは、OAuth 2.0 更新トークンフロー、Web サーバーフロー、ユーザエージェントフローです。JSON Web トークン (JWT) ベアラーフローなど、その他のフローにはユーザ承認ステップは含まれていません。ユーザ承認ステップのないフローでは、高保証セッションセキュリティレベルでの API ログインはブロックされます。
ユーザは OAuth 承認フロー中に多要素認証で ID を確認するように 2 回促されることがあります。1 回目は、UI セッションで促されます。2 回目は、アクセストークンが UI にブリッジされるときです。この 2 回目がトリガされるのは、高保証セッションセキュリティレベルがアクセストークンに転送されないためです。
- ログインフローを使用する。Flow Builder とプロファイルを使用して、ユーザがログインするときの認証後の要件 (カスタム MFA プロセスなど) を作成します。詳細は、次の例を参照してください。