MFAおよびフィッシング耐性MFA適用後のパスキープロンプトと一時的な適用猶予の動作

パスキー優先 MFA 登録フロー

すべてのユーザーのログイン操作に関する重要なアップデートについてお知らせします。すべてのユーザーに対し、ログイン時にデフォルトでパスキーの登録が求められるようになりました。詳細はリリースノートをご参照ください。 

ユーザーがMFAを登録せずにログインしようとすると、システムは「Create a Passkey」というプロンプトを表示します。割り当てられた権限に基づいて決定されるユーザーの種類によっては、 「Create a Passkey」ボタンのすぐ下に別の検証方法を選択するオプションが表示される場合もあります。 

ユーザーの種類は、割り当てられた権限によって以下のように定義されます。

1. 特権ユーザー（管理者を含む）：以下の特権管理権限のうち少なくとも1つが割り当てられているユーザー： 

   1. システム管理者プロファイル（またはそこから複製されたカスタムプロファイル）または

   2. すべてのデータの編集 権限、または

   3. すべてのデータの参照 権限、または

   4. アプリケーションのカスタマイズ 権限、または

   5. Apex 開発 権限

2. 非特権ユーザー:システム管理者プロファイル (または複製されたカスタムプロファイル)、すべてのデータの編集、すべてのデータの参照、アプリケーションのカスタマイズ、または Apex 開発 のいずれの権限も持たないユーザー。

ユーザーの種類に応じたログインフローについては、以下を参照してください。

適用猶予設定の使用例と期待される動作

注: 以下のユースケースの詳細については、簡潔にするために、組織全体の MFA 設定 [ 設定-> ID 検証]「Salesforce 組織へのすべての直接 UI ログインに多要素認証 (MFA) が必要」を「組織全体の MFA 設定 "MFA を要求"」と表記します。

ユースケース1：デフォルト：適用猶予なし

構成

• 全従業員向けMFAの適用猶予：  なし

• フィッシング耐性MFA（パスキー）の適用猶予：  なし

• 組織全体のMFA設定「MFAを要求」：（全従業員向けMFAの適用猶予承認がないとシステム管理者は制御できません）：Salesforceによって有効化されます

想定動作

• 非特権ユーザー：少なくとも標準MFA（TOTP、Salesforce Authenticator、またはフィッシング耐性MFA）を使用する必要があります。

• 特権ユーザー：フィッシング耐性のあるMFA（パスキー、セキュリティキー、組み込みAuthenticator）を使用する必要があります。

注記

• これは、  Salesforceによって適用される最高レベルのセキュリティ基準と意図された動作です。

• 特権ユーザーは、TOTPまたはSalesforce Authenticatorを使用してフィッシング耐性MFA要件を満たすことはできません。

• システム管理者は、 全従業員向けMFAの適用猶予承認がないと、設定でMFA要件を無効にすることはできません（項目がグレー表示/非表示になります）。

• 非特権ユーザーは、標準MFA要件を満たすために少なくともTOTPアプリを使用する必要があり、デフォルトでパスキーの登録を求められます。

ユースケース2：フィッシング耐性MFA適用猶予のみ承認

構成

• 全従業員向けMFAの適用猶予： なし

• フィッシング耐性MFA（パスキー）の適用猶予：承認済み

• 組織全体のMFA設定「MFAを要求」：（全従業員向けMFAの適用猶予承認がないとシステム管理者は制御できません）：Salesforceによって有効化されます

想定動作

• 非特権ユーザー：少なくとも標準MFAを使用する必要があります

• 特権ユーザー：少なくとも標準MFAを使用する必要があります（フィッシング耐性MFAは求められません）。

注記

• 特権ユーザーは、適用猶予期間中は一時的にフィッシング耐性MFAの要件から標準MFAの要件にダウングレードされます。

• 特権ユーザーには引き続き「パスキーを作成」オプションが表示されますが、「別の検証方法を選択」オプションも同じく引き続き利用可能です。

• システム管理者は、 設定でMFA要件 を無効にすることはできません。

• 非特権ユーザーは、標準MFA要件を満たすために少なくともTOTPアプリを使用する必要があり、デフォルトでパスキーの登録を求められます。

考えられるシナリオ

管理者向けに標準MFAが必要だが、フィッシング耐性MFAをまだ導入できない組織

ユースケース3：全従業員向けMFA適用猶予のみ承認され、組織全体のMFA設定が有効

構成

• 全従業員向けMFAの適用猶予：  承認済み

• フィッシング耐性MFA（パスキー）の適用猶予： なし

• 組織全体のMFA設定「MFAを要求」：  有効（システム管理者が有効のままにすることを選択）

想定動作

• 非特権ユーザー：少なくとも標準MFAを使用する必要があります

• 特権ユーザー：フィッシング耐性MFAを使用する必要があります

注記

• このシナリオは、 ユースケース1と機能的に同一です。

• 相違点：システム管理者は 組織全体のMFA設定「MFAを要求」を無効にすることができますが、無効にしないことを選択した場合のシナリオです

• 特権ユーザーは引き続きフィッシング耐性のあるMFAを使用する必要があります

考えられるシナリオ

組織には「全従業員向けMFAの適用猶予」が承認されており、組織全体のMFA設定「MFAを要求」を無効にするオプションがありますが、MFAの強制適用は維持することを選択する

ユースケース4：全従業員向けMFA適用猶予のみ承認され、組織全体のMFA設定は無効

構成

• 全従業員向けMFAの適用猶予：  承認済み

• フィッシング耐性MFA（パスキー）の適用猶予：なし

• 組織全体のMFA設定「MFAを要求」：無効（システム管理者は無効に設定可能）

想定動作

• 非特権ユーザー：MFAは不要（パスワードのみでのログインが可能）

• 特権ユーザー：フィッシング耐性MFAを使用する必要があります

注記

• システム管理者が組織全体のMFA設定「MFAを要求」を無効にした場合、非特権ユーザーはパスワードのみの認証を使用できます。

• 特権ユーザーは引き続きフィッシング耐性のあるMFAを使用する必要があります

• フィッシング対策MFAの要件は、 組織全体のMFA設定「MFAを要求」から独立しています。

• 「ユーザーインターフェースログインの多要素認証」のユーザー権限を持つユーザーは、適用猶予が承認され、組織全体の「MFAを要求」設定が無効になっている場合でも、引き続きMFAを求められます。このユーザー権限は、システム管理者によって管理されます。

考えられるシナリオ

非特権ユーザー向けにSSOベースのMFAを導入している組織では、より多くの時間が必要となるが、特権ユーザー向けにはSalesforceへの直接ログイン用のフィッシング耐性MFAが実装されている。 

ユースケース #5: 適用猶予が両方とも承認され、組織全体のMFA設定が有効

構成

• 全従業員向けMFAの適用猶予： 承認済み

• フィッシング耐性MFA（パスキー）の適用猶予：承認済み

• 組織全体のMFA設定「MFAを要求」： 有効（システム管理者が有効のままとすることを選択）

想定動作

• 非特権ユーザー：少なくとも標準MFAを使用する必要があります

• 特権ユーザー：少なくとも標準MFAを使用する必要があります

• すべてのユーザーはデフォルトでパスキーの登録を求められますが、別の検証方法を選択するオプションも引き続き利用できます。 

注記

• 両グループとも標準MFAを最低限必要とし、フィッシング耐性MFAは求められません。

考えられるシナリオ

標準MFAの実装を検証するためにMFAの強制適用を選択しましたが、管理者向けにフィッシング耐性MFAをまだ展開できていません

ユースケース #6: 適用猶予が両方とも承認され、組織全体のMFA設定は無効

構成

• 全従業員向けMFAの適用猶予： 承認済み

• フィッシング耐性MFA（パスキー）の適用猶予：承認済み

• 組織全体のMFA設定「MFAを必須にする」： 無効（システム管理者にて無効）

想定動作

• 非特権ユーザー：MFAは不要（パスワードのみでのログインが可能）

• 特権ユーザー：MFAは不要（パスワードのみでのログインが可能）

注記

• 最低レベルのセキュリティ対策― プラットフォームによるMFAは適用されません

• 組織によってはSSO IdPによるMFAの適用に依存する可能性があります

• 「ユーザーインターフェースログインの多要素認証」のユーザー権限を持つユーザーは、適用猶予が承認され、組織全体の「MFAを要求」設定が無効になっている場合でも、引き続きMFAを求められます。このユーザー権限は、システム管理者によって管理されます。

考えられるシナリオ：顧客がすべての要件を実装するためにより多くの時間を必要とする場合。これは、特権ユーザーと非特権ユーザーの両方に対してMFAが一切適用されないことを意味するため、推奨されません。