多要素認証（MFA）特設ページ

多要素認証(MFA) 導入後に発生する可能性がある事象と事前にご理解頂きたいポイント

この記事で学べること多要素認証 (MFA) 導入後に発生する可能性のある事象日々のオペレーションやビジネスを止め無いために事前にご理解頂きたい MFA 利用のポイント背景Salesforce の 2022年2月より MFA の利用を必須化に伴い、非常に多くのお客様に MFA を利用して安全に Salesforce をお使い頂けております。利用の増加に伴い MFA 導入後のトラブルに関するお問い合わせも増えております。この記事では MFA 導入後に発生する可能性がある事象と日々のオペレーションやビジネスを止め無いために理解しておいて頂きたい点を紹介させて頂きます。MFA の運用を検討する一助となれば幸いです。多要素認証 (MFA) 導入後に発生する可能性のある事象Salesforce の MFA 導入後に発生する可能性のある事象として下記のような点が挙げられます。​何らかの障害(例：Salesforce の障害、お使いのスマートフォンの機器/通信障害)の影響で Salesforce の MFA を認証できない認証に必要なデバイスが紛失した・壊れた​いずれの場合でも複数の認証要素(例: スマートフォンで Salesforce Authenticator + セキュリティキー)をあらかじめ登録する事でリスクを低減頂けます。特にシステム管理者様については少なくとも 2 つ以上の検証方法を登録頂く事をビジネスを止めないためのベストプラクティスとして推奨させて頂いております。​MFA を有効化した後でシステム管理者がロックアウトされないようにするには?アクセス回復計画を準備して、通常の検証手段にアクセスできなくなった場合にシステム管理者が実行できる手順を用意しておいてください。次のベストプラクティスを検討してください。・各システム管理者は、少なくとも 2 つの検証手段を登録する必要があります。・バックアップセキュリティキーは、金庫など、職場の安全な場所に保管します。・ユーザと MFA 設定を管理する権限を持つアカウントを少なくとも 2 つ用意します。こうすることで、一方のアカウントがロックアウトされても、他方のアカウントを使用してアクセスを回復できます。通信障害等で Salesforce Authenticator の プッシュ通知が来ない場合通信障害や Salesforce の障害等が発生した際によく頂くお問い合わせとして Salesforce Authenticator の プッシュ通知が来ず認証ができないというご相談を頂きます。このような場合、下記のヘルプサイトに記載のように  Salesforce Authenticator に表示されている 6 桁のコードでも Salesforce にログイン頂く事が可能な場合がございますので、まずこちらを一度お試し下さい。​​Salesforce Authenticator のトラブルシューティングブラウザ上に表示される Salesforce のモバイルデバイスの確認ページで、「お困りですか？」をタップしてから、「別の検証方法を使用してください」をタップします。SalesforceAuthenticator からの 6 桁のコードを入力します。これは、電話がオフラインの場合でも機能します。​下記操作手順のステップとなりますので、ご参照下さい。(*Summer’22 リリース時点の画面キャプチャとなります。)​​お困りですか？をクリックします​​「別の検証方法を使用して下さい」をクリックします​「認証アプリケーションからのコードを使用」をクリックします​表示される画面の「確認コード」に Salesforce Authenticator に表示されている 6 桁のコードを入力し、「検証」をクリックします​補足:SSO (Single Sign On) を利用されているお客様最後に蛇足とはなりますが Salesforce の MFA 必須化に伴い複数のアプリケーションをご利用のお客様では SSO を導入され SSO の ID プロバイダーでの MFA を利用されるお客様も増加いたしました。直接 MFA とは関連いたしませんが Salesforce のベストプラクティスでは SSO を利用されているお客様におかれましても管理者の方については ID プロバイダーでの障害発生時に備えて直接ログインの経路を残す事が推奨されております点、ご認識置き頂き、一部のユーザーについては並行して Salesforce への直接ログイン頂く経路と MFA の設定をして頂きますとトラブル時の対応がスムーズになるかと存じます。ご参照いただければ幸いです。 ​シングルサインオンの FAQhttps://help.salesforce.com/s/articleView?id=sf.sso_tips.htm&type=5&language=ja​メモ：Salesforce システム管理者のログイン認証情報は無効にしないことをお勧めします。システム管理者は、ユーザ名とパスワードを指定して直接 Salesforce にログインできる必要があります。これは、SSO 停止などの問題に対応できるようにするためです。​学習ツール今から始める Salesforce MFA対策セミナー（MFA導入事例）https://play.vidyard.com/pNUeSkRji6hjjpwiRk2Xdq.html​実際に導入後にトラブルが発生したお客様にて、どのように対応されたかという点が事例が公開されております。ご参照下さい。MFA サポートプランの設定https://help.salesforce.com/s/articleView?id=sf.mfa_establish_support_plan.htm&type=5&language=jaMFA の運用計画を検討頂く際にご参照下さい。まとめこの記事では MFA の導入後に発生する可能性があるトラブルに対して、(特に管理者について) 2 つ以上の検証要素をあらかじめ準備頂く事が継続的なビジネスの運営に有効である旨を説明させて頂きました。また、通信障害や Salesforce で障害が発生した際に Salesforce Authenticator をお使いのお客様からよく頂戴するご質問としてプッシュ通知が来ず認証できないという点がありますが、そのような場合は Salesforce Authenticator の画面上に表示されます 6 桁のコードを入力することでログインいただける可能性がある旨、説明させて頂きました。上記の情報等を踏まえて、MFA 導入後の運用を円滑に進めて頂ければ幸いです。

テストのポイント

この記事で学べること多要素認証 (MFA) のテストをする際のポイントを理解することができますMFA のテスト多要素認証のテストの推奨事項は製品毎に異なっております。​MFA 実装のテスト ​この記事では Salesforce Platform で構築された製品 (Sales Cloud や Service Cloud 等) におけるテストの推奨事項について紹介させて頂きます。その他の製品におけるテスト時の推奨事項は上記ヘルプ記事内の各製品毎のヘルプページへのリンクをご参照頂ければ幸いです。 Salesforce Platform で構築された製品 における MFA のテストテストに利用する環境検証に利用する環境ですが、本番環境で実施する前に Sandbox 環境、もし利用できる Sandbox 環境が無い場合には Developer Edition 組織をサインアップ頂き、そちらの環境でのテスト実施を推奨しております。テストに利用するユーザテストを実施する際には、テストを実施頂くシステム管理者のアカウントについては誤って自身がロックアウトされるのを防ぐため、システム管理者権限の無いテストユーザを作成頂き、テストユーザのアカウントを使用する事を推奨しております。テストで確認することテストで確認頂く事としてはテストユーザとしてログインし、選定頂いた検証方法*での登録フローの実施・完了検証方法登録後、Salesforce に正常にログイン頂けるかを確認エンドユーザーが検証用のデバイスを忘れた場合を想定して、管理者アカウントで仮のコードの発行仮のコードを利用してのログインの流れの確認といった点があげられます。​*Salesforce Authenticator、 3rd party の TOTP アプリケーション、セキュリティキー 等。学習ツールMFA 実装のテストMFA のテスト (Salesforce Platform で構築された製品)仮のコードによる ID の検証 まとめMFA のテストを実施する上ではまず本番環境ではなく、Sandbox や Developer Edition 組織でお試し頂く管理者ユーザがロックアウトされる事を防ぐため、テストユーザを作成しテストに使用するエンドユーザでの実施事項と管理者で実施しなければならない動作をテストでは検証するといった点がポイントとなる旨、紹介させて頂きました。MFA のテスト計画を立てる際の参考となれば幸いです。どうぞよろしくお願いいたします。

体制とロールアウト戦略の検討ポイント

この記事で学べること多要素認証導入 (MFA) に際しての体制とロールアウト戦略の検討ポイントを把握することができます ロールアウトの計画ロールアウトを成功させるにあたっては、下記の 3 点をプロジェクトの計画の条件に含める事が重要です。ロールアウト戦略変更管理サポートチームロールアウト戦略ロールアウトの戦略を考えていく上では、まずどのユーザに対して MFA を有効化していくかという点を考慮する必要があります。考慮する際には、ユーザが持つ権限が 1 つ考慮する上でのポイントとなります。例えば、“システム管理者権限”を持つユーザは全てのデータへのアクセスや、組織の設定自体も変更可能です。なので、まずはこのような強力な権限を持つユーザに対して優先して MFA を適用頂く事がセキュリティを担保する上で重要となります。​次に、一部のユーザグループから適用を進めるのか、それとも全ユーザに対して同時にロールアウトするのかを検討します。会社の規模等にもよりますが、例えば一部のシステム管理者権限のユーザでパイロットとして開始パイロット後、残りの管理者ユーザや権限が強いユーザで開始最後にその他の一般ユーザーに対して開始といったステップや、部署ごとにロールアウトするといった選択肢が考えられます。​また、ロールアウトのスケジュールを考えるにあたっては、自社内の競合する可能性があるプロジェクトの有無を確認し、同時での稼働開始を避けることもポイントとなります。ロールアウトのプランを計画する際に役に立つ推奨事項とガイドラインについては、下記のヘルプサイトの記事も併せてご参照下さい。​MFA 実装およびテスト計画の定義 変更管理次に変更の管理です。変更の管理の主な目的はエンドユーザーに対して MFA が導入される旨を伝え、実際のリリース日までに告知やトレーニングを通じて MFA の導入に関与してもらい、リリースに備えるという点になります。観点としては、ユーザにどう伝えるのか (コミュニケーションとマーケティング)ユーザをどうトレーニングするのか導入やリリース当日のサポート体制の検討はどうするのかといった事があげられます。サポートチーム3 点目はサポートの体制です。一度 MFA をエンドユーザにロールアウトされますと、例えば認証に使う携帯電話を家に忘れて来てしまった、セキュリティキーを紛失してしまった、といった事が発生する可能性が見込まれます。このような事態に備えて、ポリシーとプロセスを先んじて確立・周知しておくことが重要になります。​また導入にあたってサポートを実施される方に対して、設定やトラブルシューティング、またアクセスの復旧手順を整え、事前にトレーニングを施すことも重要です。​併せて、新しく会社に入社された方が最初から MFA を利用できるような運用(例：入社時の実施必須事項に追加する)も継続的な運用の観点から大切なポイントとなります。学習ツール管理者向け多要素認証クイックガイド多要素認証ロールアウトの計画MFA 実装のサポートの準備 まとめこの記事では、MFA のロールアウトにあたっては、​ロールアウト戦略変更管理サポートチームの 3 つの観点をプロジェクトの計画を立てる際に条件として含める事が重要である旨を紹介させて頂きました。お客様毎にロールアウトの戦略も変わってくるものと想定されます。上記の内容をご参照の上で、ロールアウトの戦略・体制作りの検討をお願い致します。

多要素認証の導入に必要なコスト

この記事で学べること多要素認証を導入する際にコストが発生し得るポイントを大まかに把握することができます。導入にコストが発生するポイント多要素認証を導入するためには、いくつかコストがかかる可能性があります。導入計画時において、どのような点にコストがかかるかを事前に知ることで予算計画を立てやすくできます。​費用が発生する可能性があるものとしては、下記になります。設定費用物理デバイス費用モバイルデバイスセキュリティキー※社内のユーザトレーニングやドキュメント作成は除く。シミュレーションしてみようシミュレーション 1前提状況従業員 10 名 程度従業員はモバイルデバイスを保有している多要素認証の設定は自分たちで実施する​既にモバイルデバイスを従業員の方が持たれており、設定はご自身で実施可能という場合では追加で発生するコストはありません。​設定を実施し、多要素認証を使い始めてみましょう。設定方法については下記の記事も併せてご参照下さい。​最も基本的な多要素認証(MFA)の設定方法を知ろう​シミュレーション 2前提状況従業員100名従業員はモバイルデバイスを保有していない多要素認証の設定は自分たちで実施する​このような場合、セキュリティーキーをご利用頂く、もしくはモバイルデバイスを持ち込み頂くという二つの選択肢があります。仮にセキュリティーを利用する場合でセキュリティキーを 1 つ 2000 円とした場合(セキュリティーの価格については各ベンダーへお問い合わせをお願い致します。)、200,000 円 (2000(単価)×100(ユーザ)) の費用がかかります。​モバイルデバイスをご利用頂く場合は社用携帯を配布するのか、もしくは従業員の私用携帯を持ち込み可とするかで費用に差異が発生いたします。​シミュレーション 3前提状況従業員 1,000 名シングルサインオン利用中だが、シングルサインオン側での MFA は未適用設定は外部委託している​SSOへのMFA適用費用 + 外部委託費 が発生します。このような場合は、外部委託をされているベンダー様とも相談の上で、見積もりを実施する必要があります。​学習ツールSalesforce 多要素認証に関するFAQ 管理者向け多要素認証クイックガイド​まとめ多要素認証を導入する際にコストが発生し得るポイントとしては設定費用物理デバイス費用の 2 点が考えられます。自社の状況とシミュレーションの内容を照らしあわせて、導入のご計画をお願いいたします。

多要素認証で安全にアクセス〜 MFA の必要性と適応のヒント

概要リモートワークによるオフィス外からのアクセス、ログイン情報を侵害する可能性のある脅威の増加など、昨今セキュリティを取り巻く状況が急激に変化しています。「多要素認証 ( MFA ) 」はアクセスを効果的に安全にするソリューションで、将来的に Salesforce へのアクセスに必須の設定となります。MFA の導入背景や適用の際に役立つリソースをご紹介します。​https://play.vidyard.com/BY9Lxsj1A73yP5ykzKE9Pr

最も基本的な多要素認証(MFA)の設定方法を知ろう

本資料の目的遅くとも2022 年 2 月 1 日までに、Salesforce 製品 (パートナーソリューションを含む) に画面からログインするすべての内部ユーザに対して、MFA（多要素認証。以降「MFA」と記載） を有効にしていただく必要があります。本資料では、MFA の対象となる全てのユーザに対して、SalesforceのMFA を有効にする手順をご説明します。​本資料は、既にSalesforceのコア製品（Sales CloudやService Cloudなど）をご利用のお客様を対象にしております。これから、新たにユーザの作成を行う新規のお客様については、こちらを参照してください。​MFA の概要MFA は、ログインセキュリティを強化し、セキュリティ上の脅威からビジネスやデータを保護するための最も簡単で効果的な手段と言えます。​MFA を有効にすると、ユーザ名とパスワードだけではログインができなくなります。ログインするためには、追加でSalesforce Authenticator等の（第2の認証方法）で[承認]をする必要があります。​なお、組織内のユーザが MFA を使用してログインする準備が整っていない状態で、Salesforceユーザ全員に対して MFA を有効にすると、誰もログインができなくなってしまいます！そのため、まずは一般ユーザやテスト用ユーザで MFA を有効化してみましょう。（所要時間は約15分です）その後、皆様へ操作方法の説明をして展開するようにしましょう。前提事項本手順書では、権限セットを使用する方法で説明しています組織の設定によっては、本手順書の画面とお客様の画面が異なる場合がありますモバイル端末はiPhoneの画面ショットです。Android端末をご利用の場合は表示が異なります第2の認証方法として、Salesforce Authenticatorを使用する手順です本手順書は、Salesforceの MFA を有効化する手順です。（SSOをご利用のお客様の手順は含まれません）MFA 移行のベストプラクティスは、Salesforceの設定画面にある[多要素認証アシスタント]をご確認ください不明点は弊社テクニカルサポートへお問い合わせ下さい（お問い合わせ方法はこちら）設定手順ここまでの説明を含む、具体的な設定手順はこちらをご確認ください。

多要素認証導入後の確認方法とポイント

この記事で学べること多要素認証 (MFA) 導入後の状況の確認方法確認時におけるポイント導入後の確認方法Salesforce Platform で構築された製品(*注1)での MFA 導入後の定着化の進捗を確認する方法としては下記の 4 つがあります。Salesforce Labs の MFA ダッシュボードアプリケーションID 検証履歴カスタムリストビューLightning Usage アプリケーションこれらのツールを使ってMFAの適用状況を繰り返しモニタリングし、適用の進んでいないユーザからのフィードバックを収集しながら改善を図り、ユーザに対して必要なサポートを提供していく事が重要になります。この記事ではそれぞれの確認方法の目的・操作方法を紹介させて頂きます。確認方法 1. Salesforce Labs の MFA ダッシュボードアプリケーションポイントこの確認方法では AppExchange から専用のパッケージをお使いの組織にインストールします。パッケージには大きく分けて 2 つのコンポーネントが含まれており、それぞれ下記の状況確認・管理が可能です。MFA ビュー: MFA 検証方法を登録したユーザを参照します。仮の確認コードを生成したユーザと、登録済みの検証方法を取り消したユーザを追跡することもできます。ダッシュボードおよびレポート: 組織の MFA 検証活動を監査し、検証方法の登録の進行状況を追跡します。操作方法設定は下記の 3 ステップです。パッケージのインストールMFA リストビューダッシュボード下記から詳細となります。​・パッケージのインストールまず AppExchange から専用のパッケージをお使いの組織にインストールします。Salesforce にログイン頂いた状態で、ブラウザの別のタブを開いて頂き AppExchange の URL へアクセスします。[Get It Now] をクリックし、画面の指示従ってインストールを行います。基本的なパッケージのインストール方法についてはこちらの “パッケージのインストール” のヘルプサイトも併せてご参照下さい。※パッケージのインストール中にエラーが出る、もしくは技術的に不明な点がございましたら弊社サポートまでお問い合わせをお願い致します。​・MFA リストビューパッケージをインストール頂くと、“MFA view” というリストビューをご利用頂けます。[設定] から [クイック検索] ボックスに “ユーザ” と入力頂き、[ユーザ]をクリックします。“すべてのユーザ” の画面にて “ビュー” のプルダウンをクリック頂きますと “MFA view” が追加されていますので、こちらを選択します。このリストビューでは “誰が、何の認証要素を登録しているか” を把握頂く事が可能です。また、例えばいつも使用する認証要素(例：携帯電話)を忘れた又は紛失したユーザに対し、MFA 検証方法を一旦切断するといった操作、または一時的な検証コードもこのリストビューから生成(*注2)できます。※参考の画像のユーザ名はマスキングしています。​留意点として、セキュリティキーの登録状況の項目はデフォルトの状態では項目として表示されていません。必要に応じてリストビューの[編集]をクリックし、“U2F セキュリティキー”を “選択済みの項目” へ追加をお願い致します。​・ダッシュボードダッシュボードのメニューにて “Multi-Factor Authentication (MFA) Dashboard” をクリックしてダッシュボードにアクセスします。このダッシュボードでは、デフォルトで 7 つのコンポーネントが配置されています。​Verification Challenges by Activity:アクティビティ毎(*注3) に使用されている検証要素の回数を確認頂けます。​Verification Challenges by Country: ログイン元の国を確認頂けます。(ログイン元IP により判定されます)​Verification Challenges by City: ログイン元の都市毎での各アクティビティ(*注3) の回数を確認頂けます。(ログイン元IP により判定されます)​Users with Salesforce Authenticator (ゲージグラフ): 組織内における Salesforce Authenticator を認証要素として登録しているユーザ数の進捗を把握頂けます。デフォルトの最大値は 100 となっているのでダッシュボードを編集頂き、お客様の組織に沿った値を設定頂けます。​Users with Salesforce Authenticator(ドーナツグラフ):組織内における Salesforce Authenticator を認証要素として登録しているユーザ数の割合を確認頂けます。​Users with One-Time Password Generator Apps:組織内における TOTP アプリケーショ を認証要素として登録しているユーザ数の割合を確認頂けます。​Users with Temporary Verification Codes:プロファイル毎に一時的な検証コードを生成している回数を確認頂けます。​例えば、Users with Salesforce Authenticator(ドーナツグラフ)で組織内で Salesforce Authenticator を認証要素として登録済みのユーザの割合を把握頂けます。レポートで登録が進んでいないユーザを確認頂きフォローアップのメールを送って頂いたり、理解を深めて頂くために勉強会を開催するといった進め方が可能です。確認方法 2. ID 検証履歴ポイントID 検証履歴では最新の ID 検証レコードを最大 20,000 個まで絞り込み、表示しています。“メソッド”の項目でどのような検証要素を使用しているか確認ができ、“状況”で操作の成否を確認可能です。例えば、上手くログインができていないユーザがいるようであれば、フォローアップが必要な事が分かります。操作方法[設定] から [クイック検索] ボックスに「検証履歴」と入力し、[ID 検証履歴] をクリックします。デフォルトで表示されているリストビュー以外でも、ご要件に沿ってカスタムリストビューを作成頂く事も可能です。デフォルトで用意されている項目の内容、またカスタムリストビュー作成のヒントについては下記のヘルプサイトを併せてご参照下さい。​Monitor Identity Verification History (ID 検証履歴の監視)※参考の画像のユーザ名はマスキングしています。確認方法 3. カスタムリストビューポイントカスタムリストビューは、確定方法 1.で紹介させて頂いた管理パッケージに含まれているリストビューを自身で作成頂くものとなります。運用の制約等で管理パッケージをインストール頂けない場合はこちらの方法をお試し下さい。操作方法作成方法については、下記のヘルプサイトに手順がございますのでご参照下さい。​ユーザの ID 検証方法の表示 確認方法 4. Lightning Usage アプリケーションポイントLightning Usage アプリケーションの [ログイン総計値] タブを使用して、組織のログインを監視できます。多要素認証 (MFA) やシングルサインオン (SSO) など、組織のさまざまな ID サービスを使用してログインしているユーザの数を一覧で確認する事が可能なので、複数のログイン方法を監視するとユーザが MFA を使用せずにログインしているかどうかといったトレンドを把握するのにご利用頂けます。操作方法プリケーションランチャーから [Lightning 利用状況] を見つけて開きます。このアプリケーションで、ページの左側にある [セキュリティ] の [ログイン総計値] をクリックし、関連付けられたデータを表示します。​詳細は下記のヘルプサイトを併せてご参照下さい。Lightning Usage アプリケーションを使用したログインの監視学習ツールMFA の使用状況の監視と分析MFA 使用状況の監視 (Salesforce Platform で構築された製品)まとめこの記事では、MFA の適用状況の管理/確認のツールとして、Salesforce Labs の MFA ダッシュボードアプリケーションID 検証履歴カスタムリストビューLightning Usage アプリケーションの 4 点がある事、またそれぞれのポイント・操作方法について紹介をさせて頂きました。このようなツールを使ってMFAの適用状況を繰り返しモニタリングし、適用の進んでいないユーザからのフィードバックを収集しながら改善を図り、ユーザに対して必要なサポートを提供していく事が適用を進めていく上で非常に重要になります。是非、これらのツールをご活用の上で MFA 適用の推進をお願い致します。​(*注1) Sales Cloud、Service Cloud、Analytics Cloud、B2B Commerce Cloud Marketing Cloud、Audience Studio、Marketing Cloud、Account Engagement（旧 Pardot）、Experience Cloud、Platform、Industries Cloud、Consumer Goods Cloud、Financial Services Cloud、Government Cloud、Health Cloud、Manufacturing Cloud、Philanthropy Cloud、Salesforce Essentials など​(*注3) Lightning Experience をお使い頂いている場合、現在リストビューから一時的な検証コードを生成する処理にてエラーが出る既知の問題がございます。お手数ですが、一時的な検証コードの生成が必要な場合はユーザの詳細ページより生成をお願い致します。Known Issues: Unable to Generate a Temporary Identity Verification Code from within a list view ​(*注3) 例：“Salesforce へのログイン”,“ワンタイムパスワードジェネレータを接続”等

多要素認証の検証方法と選び方

この記事で学べることSalesforce の多要素認証の検証方法検証方法ごとの特長多要素認証の検証方法多要素認証には“お客様が知っている要素”と“持っている要素”を組み合わせていただく必要がございます。ここでは“持っている要素”について、検証方法としてどのような選択肢が用意されているかをご紹介いたします。Salesforce としては現在下図の通り、4 つの検証方法をサポートしております。まず１つ目は、Salesforce Authenticator モバイルアプリケーションという Salesforce が提供しているアプリケーションを使用した方法です。iOSまたはAndroidが利用可能なモバイルデバイスを持っていれば、Salesforceアカウントに無料で簡単に接続できますので、もっともおすすめの方法となります。次に２つ目は、サードパーティ製Authenticatorアプリケーションを利用した方法です。こちらもモバイルデバイスが必要となり、Google Authenticator、Microsoft Authenticator、Authy などのRFC-6238の規格に準拠したアプリケーションであれば認証可能でございます。３つ目は、セキュリティキーを利用した方法となります。会社のポリシー上モバイルデバイスそのものやアプリの利用が制限されている場合もあるかもしれません。その場合、持っている情報としてセキュリティキーを利用することが手段としてございます。最後に 4 つ目は、組み込み認証を利用した方法となります。こちらも、会社のポリシー上モバイルデバイスそのものやアプリの利用が制限されている場合に、持っている情報として組み込み認証を利用することが手段としてございます。​なお、多要素認証の認証方法として、SMSテキストメッセージ、電話、電子メールを使用した方法はサポートしておりません。これは、電子メールの認証情報が漏洩したり、テキストメッセージや電話が傍受されたりする可能性を考慮しているためです。悪意のある者が実際のモバイルデバイスや物理的なセキュリティキーを操作することは、電子メールアカウントへの侵入や携帯電話番号のハッキングに比べてはるかに困難であることが理由としてございます。​検証方法の選び方まず、現在どのような認証方法を使用しているか確認し、その状況に基づいてどのような方法がよいか下記のフローを用いて確認します。​次に、Salesforceで用意している検証方法ごとの特長をご紹介いたします。記載されている情報をご確認いただき、自社に適した検証方法の検討をお願いいたします。​なお、自社組織でシングルサインオンを利用している場合については、ご利用中のIDプロバイダの製品仕様をご確認の上、多要素認証の適用をご検討ください。考慮事項やコストを鑑みると、Salesforce Authenticator を使った方法が導入のハードルが低く、始めやすくなっております。利用可能なモバイルデバイスがありましたら、Google Play または App Store からダウンロードできますのでぜひお試しいただけますと幸いです。設定方法については、管理者向け多要素認証クイックガイドをご活用ください！​学習ツールSalesforce Authenticator (ヘルプ)Salesforce 多要素認証に関するFAQ 管理者向け多要素認証クイックガイドまとめ検証方法としては大きく分けて4パターンあり、自社に適した方法を選択しましょうSalesforce Authenticator を使った方法が比較的始めやすいです

多要素認証(MFA) : プロダクト別情報一覧

この記事で学べることプロダクト毎 (Sales/Service Cloud, Marketing Cloud, Commerce Cloud) の MFA 関連情報が分かります。記載のリンクよりお使いの製品に関する情報をご確認ください。全製品共通* 多要素認証(MFA)コミュニティ 日本*Salesforce 多要素認証のFAQSalesforceへ安全にアクセスするために知っておくべき情報〜多要素認証Core 製品 (Sales/Service Cloud 等)ドキュメント: 多要素認証の管理者ガイドドキュメント: 管理者向けのシステム管理者ガイド[オンデマンド・アクセラレータ] Platform: 多要素認証Webinar: 【より安全にSalesforceへアクセスするための「多要素認証」の設定】 2020/8/28【動画】まだ間に合う！5分で理解、15分で設定するMFA(多要素認証) 2022/10/19 uploadMarketing CloudMarketing Cloud Messaging & Journeysヘルプサイト: 多要素認証ヘルプサイト: Marketing Cloud の多要素認証に関する FAQナレッジ: Salesforce Marketing Cloud における多要素認証 (Multi-Factor Authentication (MFA)) 設定手順Webinar: Marketing Cloud 多要素認証 (MFA) の導入と設定 2020/9/25Video: MFA の設定Marketing Cloud 多要素認証(MFA)対策ガイドSocial Studioヘルプサイト: Understand Multi-Factor Authentication in Social Studioドキュメント: Social Studio 多要素認証機能のご紹介Commerce Cloud多要素認証の導入QuipQuip 多要素認証(MFA)適用に向けたガイドTableauTableauテクニカルサポート情報ページ

Salesforceへ安全にアクセスするために知っておくべき情報〜多要素認証

最終更新日:2022/6/08​昨年来の働き方改革や昨今のウィズコロナ時代のリモートワークの増加など、これまでと違った条件下での業務遂行を必要とされる声をあちこちで伺う機会が増えてきました。​これまでの就業環境と変わることで関心が高まっているのが「 Salesforce への安全なアクセス」。特にサイバーセキュリティに関わる事案やニュースを日本でも目にする機会が増えてきており「安全性と利便性を確立する上で Salesforce で何ができるのか？」そんなご質問も増えてきている実感があります。​そこで今回システム管理者の皆さまに、安全なアクセスを実現するために知っておいていただきたい情報をまとめました。ぜひこちらのサイトを定期的にご確認いただき、安全で安心できる業務環境を構築していきましょう。1.安全なアクセスを実現するための Salesforce とお客様の役割Salesforce に対する安全なアクセスと一言でいっても、その安全なアクセスは製品として何ができるのかなどの「提供されているもの」と、その製品をどう使うのかなど「提供されているものをどう使うか」の視点は欠かせません。この視点を、Salesforce が責任を持って提供すべきものと、お客様が責任を持って確認・判断・実行すべきもの、で表現したのが「Salesforceのセキュリティパートナーシップ」です。Salesforce がその提供する製品において安全なアクセスを実現するための機能を提供し、その機能の利用を判断いただけるような情報を提供し、ある場合にはその機能を標準設定(デフォルト)として提供するなどの提供者としての責任を果たしつつ、お客さまにおいて、それぞれのコンプライアンス基準やセキュリティ基準に準拠した機能を検討・適用・監視・維持していただく活動を通じて、始めて持続的な安全なアクセス環境が実現できる。そんな相互の協力が不可欠な取り組みを表現しています。​2.境界防御の先にあるクラウド時代のセキュリティを考慮する [*2] [*3][*4]昨今のサイバー攻撃の方法の多様化や範囲の拡大の影響を考えると、最新のセキュリティ制御機能の理解と評価がお客さまにとってセキュリティ管理の上で重要性を増していることは間違いありません。特に業務システムのクラウドシフトが進むにつれて、従来の境界防御モデル (Firewall や VPN などで「信頼できる接続」によって社内・社外の境界を設けて、不正侵入や情報漏えいを防ぐモデル)だけでは安全性を担保しきれない環境に変わりつつあります。海外では今年 4 月に米国東海岸の 45％ の住民に燃料を供給するパイプラインの操業がハッキングにより停止に追い込まれる事例が発生し、日本でもランサムウェアや VPN 環境での情報漏えいなど境界防御だけでは防ぎきれない事例が報告され始めています。この「すべてのユーザ・デバイス・アプリケーション・ネットワークが安全と言えず攻撃される可能性がある」状況に対応する「ゼロトラストモデル」が提唱され、それぞれの要素が脅威にさらされている前提でその防御のための対策が注目され始めており、Salesforce ではその対策要素の一つである IAM(Identity and Access Management) の強化を通じてお客さまに安全なアクセス環境を提供する取り組みを推進しており、その具体的な施策として多要素認証 (MFA : Multi Factor Authentication) の適用を利用規約上必須とし、推進しています。 この取組みの重要性は Salesforce とお客さまだけの関係において重要というものではなく「お客さまの顧客」、例えばCommunity Cloud や Commerce Cloud を通じて提供しているサービス利用者にあたる「お客さまの顧客やパートナー」向けにも安全性と利便性を両立したサービスを提供する手段として注目され始めています。​また、多要素認証の推進については Salesforce の外に目を向けても、世間のトレンドとなりつつあります。例えば、先般アメリカではバイデン大統領が 2021/5/12 に連邦政府のサイバーセキュリティ対策として多要素認証及び暗号化を採用する大統領命令に署名をしました。併せて、Google 社が多要素認証のデフォルト化を検討したり、 Twilio 社も必須化のアナウンスを出すなど、海外のトレンドとしては多要素認証のデフォルト化が進んでいます。​スプートニク 日本ニュース 2021年6月8日 通常の過失：職員のミスでコロニアル・パイプラインがクラッキングSecurity Magazine 2021年5月13日 President Biden signs executive order to strengthen U.S. cybersecurity defensesSecurity Magazine 2021年5月10日 Google wants to enable MFA by defaultTwilio BLOG 2020年12月3日 Twilio Account Login Change: Mandatory Two-Factor Authentication​一方、日本においても 経済産業省が全国の企業におけるサイバー攻撃実態や被害事例とりまとめた情報に記載されているようなリスト型攻撃による不正ログイン事案の継続的発生とその対応策としてのセキュリティ強化策の示唆や、“ID・パスワードのみ利用可能な会員制サイトやクラウドメールアカウント等が、流出したID・パスワードのリストを利用した「リスト型攻撃」により不正ログインされる事案が継続的に発生”“ログイン機能に二段階認証や二要素認証を導入することでウェブサイトへのアクセスに関わるセキュリティを強化したり、個人情報の機微度に応じて分割して管理し、データへのアクセス権別に設定するなどのシステム構造の見直しが大切に。”情報処理推進機構の“情報セキュリティ 10大脅威 2021”の組織向けの第2位 標的型攻撃による機密情報の窃取にて指摘されている状況は、3位・4位・8位・10位の脅威と複合して、窃取されたユーザID・パスワードによる不正アクセスリスクは「信頼できるネットワーク環境下」においても増加しており、ログインユーザの保護の簡易かつ効果的な方法の一つとして多要素認証に注目が集まってきています。“企業や民間団体そして官公庁等、特定の組織から機密情報等を窃取することを目的とした標的型攻撃が継続して発生している。攻撃者は新型コロナウイルスの感染拡大による社会の変化や、それに伴うテレワークへの移行という過渡期に便乗し、状況に応じた巧みな手口で金銭や機密情報等を窃取する。”​日本経済新聞 2020年8月24日 記事 VPN脆弱性対応、日本企業に隙「ゼロトラスト」不可欠日本経済新聞 2020年8月25日 記事 VPN情報流出、懸念されるリスクは？経済産業省 2020年6月12日 報告書 昨今の産業を巡るサイバーセキュリティに係る状況の認識と、今後の取組の方向性についての報告書を取りまとめました より 昨今の産業を巡るサイバーセキュリティに係る状況の認識と今後の取組の方向性について（概要版）（PDF形式：1,057KB）情報処理推進機構 2021年3月25日 情報セキュリティ 10大脅威 2021 併せて、弊社の外部ブログにも多要素認証の重要性について記事を投稿させて頂いております。こちらも併せてご参照下さい。​不正ログインを99.9%防止「多要素認証」の重要性 3.現在の利用状況と利用可能なセキュリティ制御機能を理解し評価するSpring’ 22 時点で Salesforce が多要素認証の機能を提供可能な製品は、次の製品を含む、Salesforce Platform 上に構築あれたすべての製品: Sales Cloud、Service Cloud、Analytics Cloud、B2B Commerce Cloud、Experience Cloud、Industries 製品 (Consumer Goods Cloud、Education Cloud、Financial Services Cloud、Government Cloud、Health Cloud、Manufacturing Cloud、Nonprofit Cloud、Philanthropy Cloud)、Marketing Cloud—Audience Studio (旧 DMP)、Marketing Cloud—Pardot、Platform、Salesforce Essentials、Salesforce Field Service、パートナーソリューションB2C Commerce CloudHerokuMarketing Cloud—DatoramaMarketing Cloud—Email Studio、Mobile Studio、Journey BuilderMarketing Cloud—SocialMuleSoft Anypoint PlatformQuip 製品Tableau Onlineです。[*1]他のすべての Salesforce 製品でも積極的に多要素認証の機能の開発に取り組んでおり、他の製品で 利用可能になった時点でリリースノートにてお知らせする予定です。多要素認証やセキュリティ強化の対象となった機能については、各製品のリリースノートやヘルプ記事などを通じてその機能概要の説明や設定方法をご案内しておりますが、特に注力している多要素認証の概要や設定になどに関する情報はウェブセミナーや Trailblazer Community などを通じて英語だけでなく日本語でのガイダンス資料やデモ動画を提供し、お客さまの理解や評価に役立つ情報発信に努めています。参考リソースをご参照いただきご活用いただければと思います。​4.適用・展開を計画する最新のセキュリティ管理と機能をお客さま環境に適用・展開する方法は、「製品機能の理解」「セキュリティ管理の現状把握」「適用タイムラインの決定」を行う事前準備、事前準備に基づいて「特権的ユーザ数の最小化」「パイロットユーザへの適用」「パイロットユーザからの学び」を行う試行段階、試行段階の教訓を踏まえた全社適用に向けた「役員コミュニケーション計画」「ユーザとのコミュニケーション計画」「変更管理計画」を策定するオーソドックスな段階的展開が実行における課題や計画の実現性を高めるうえで望ましいと方法と考えています。この計画に基づいてユーザへの「適用推進キャンペーン」など通じた適用推奨、その適用進捗を確認するため履歴設定やレポートやビューなどの監視設定、設定した監視情報のダッシュボード等を通じた定期的な適用状況監視により計画の進捗確認と適用促進を繰り返す事も不可欠の要素と言えます。これらの適用準備や展開監視を支援するツールとして「セキュリティ管理の現状把握」にはセキュリティ状態チェック機能、「監視設定」や「適用状況監視」には2FAダッシュボードなどがSales Cloud、Service Cloud、Platformなどで利用可能ですので、これらツールを利用することも忘れずに覚えておきましょう。セキュリティ状態チェック（ヘルプ記事）2FAダッシュボード（AppExchange)5.SalesforceへのアクセスにおけるMFA要件 [*2]認証ユーザの認証情報取得への攻撃が昨今さらに強くなっている環境における、安全なアクセスを担保する手段として2022 年2 月より Salesforce へのアクセス時に MFA を要件とする旨のご案内を 2021 年 2 月に配信させていただきました。このアクセス要件は、認証ユーザにおけるセキュリティを複数の認証要素を用いることで担保するソリューションおよび情報を、前述のセキュリティパートナーシップにおけるSalesforceの責任においてお伝えするものです。この MFA 要件は「UI経由でログインする Salesforce の Internal User」を対象(*1)に、Salesforce へのアクセス時に知っている情報 (ユーザ ID とパスワード) 以外の要素での追加認証 (Authenticator や Hardware Key など各個人が持っている情報など) を必須とする内容となっています。​この対象ユーザの UI 経由のログインは、単純に Salesforce のログイン画面 (UI) にユーザ名とパスワードを入力する最もシンプルな形態の場合には、その入力後に持っている情報 (Authenticator や Hardware Key など)を利用して本人を認証する事を意図していますが、複数システムを利用されているお客様においては別システムにおける ID とパスワード認証を経てその認証情報を Token などの形態で Salesforce に連携させることでログインを完結させる SSO(Single Sign-On *2) を利用されるお客様も少なからずいらっしゃいます。この外部での認証情報をもって Salesforce にアクセスされているお客様においても、その外部認証時における多要素認証を実施いただいた上で Salesforce にアクセスいただく (前述のセキュリティパートナーシップにおけるお客様の責任に該当する内容) 事がセキュリティ担保の上で不可欠となりますが、その適用状況(外部認証における多要素認証の適用)に関しては現時点で弊社で判断可能な内容ではございません(*3) ので、弊社にてその準拠状況を監視ならびに制御するもの、できるものではなく、お客様のビジネスにおける安全性確保の観点においてご対応いただきたい内容と考えています。​(*1) 組織外の認証ユーザとなる Experience Cloud の外部ユーザ、Chatter Free や外部 Chatter ユーザ、E-Commerce のユーザ、および認証が発生しないゲストユーザ、システム間連携のために利用される都度 UI ログインが発生しない API やIntegration 用ユーザは必須要件の対象外(*2) Reverse Proxy など代理認証も広義での SSO と定義される場合もありますが、SAML や OpenID Connect などによる外部認証を SSO と定義しており、代理認証は Salesforce への通常の UI 経由のログインとして扱われるため Salesforce 側での MFA が必要(*3) SSO で利用される OpenID Connect は、amr 属性 (Authentication Method Reference) でMFAの利用可否をSpring’21から Salesforce で識別可能。SAML においても将来的に AuthContext 属性によって MFA 適用された SSO を識別可能にする予定考慮事項本ブログは定期的に更新されます。毎月一度は必ずご確認ください。最後にいかがでしたでしょうか。今回ご紹介した Salesforce への安全なアクセスの基本知識については、Trailhead で学習することも可能です。検討の基礎知識の再確認の意味でも、こちらのモジュールを完了させておきましょう。Trailheadで自己学習ユーザ認証 / Identityの基本 / セキュリティの基本​参考リソース [*1]Salesforceのセキュリティの基本（ヘルプ記事）Spring’21 IDとアクセス管理（リリースノート :更新）Salesforce セキュリティガイド（開発者ガイド）Salesforce 多要素認証のFAQ（ヘルプ記事 : 更新[*1] ）Marketing Cloud の多要素認証に関する FAQ (ヘルプ記事)* MFA - Getting Started *（Trailblazer Communityの多要素認証のグループ : 英語）管理者向けガイド多要素認証（MFA）設定マニュアル  (日本語)多要素認証の管理者ガイド（日本語）管理者向けのシステム管理者ガイド (日本語)Admin Guide to Multi Factor Authentication（English）動画Webセミナーの資料と動画（Trailblazer Community へのログイン要）2020年8月28日 開催 より安全にSalesforceにアクセスするための「多要素認証」の設定2020年9月25日 開催 Marketing Cloud 多要素認証 (MFA) の導入と設定Marketing Cloudの多要素認証の設定 (動画解説)多要素認証がアカウントへのアクセスを保護する仕組み (CCで日本語字幕選択可能)Salesforce Authenticator の概要(CCで日本語字幕選択可能)アクセラレータウェブセミナー[オンデマンド・アクセラレータ] Platform: 多要素認証 (オンデマンド録画 : New)資料[JP]Social Studio 多要素認証機能のご紹介信頼性の高いCommerce Cloudの設計 多要素認証の導入 ステップガイド改定[*1] Spring’22 での対応状況を踏まえて更新[*2] 2021年2月にご案内の”【重要】多要素認証への対応のお願い”の送信に基づく追記[*3] 海外の事例を追加 [*4] 弊社公開ブログ記事を追加