詳細情報:
MFA 用の組み込み Authenticator
Windows Hello、Touch ID、Face ID などの組み込み認証サービスを使用すると、多要素認証 (MFA) を簡単に検証できます。ユーザーは、指紋、虹彩、または顔認識スキャン (場合によっては、デバイスのオペレーティングシステムでユーザーが設定した PIN またはパスワード) を使用して ID をすばやく検証できます。組み込み Authenticator (プラットフォーム認証とも呼ばれる) は、ユーザーが個別の認証アプリケーションや物理的なセキュリティキーを必要とするのではなく、組み込みメカニズムに依存するため、MFA 要件が合理化されます。また、フィッシング攻撃にも強いため、セキュリティも高くなります。
この種別の方法では、最も簡単な MFA ログイン環境が提供されます。ユーザーが Salesforce ユーザー名とパスワードを入力すると、組み込み Authenticator によって生体認証、PIN、またはパスワード識別子の入力が求められます。これでユーザーはログインできます。
モバイル認証アプリケーションを使用できない場合、組み込み Authenticator が適切なオプションになります。たとえば、会社提供のモバイルデバイスを所有していないユーザーに対してこのオプションを検討します。また、PCI 準拠環境や、ユーザーの作業デバイスに物理的なセキュリティキーのポートがない状況では、組み込み Authenticator が適切な場合があります。
要件と考慮事項
-
Salesforce Platform で構築された製品の場合、ユーザーがこのオプションを使用できるようにするには、Salesforce システム管理者が組み込み Authenticator の使用を有効にする必要があります。「Enable Built-In Authenticator for Identity Verification in Salesforce Orgs (Salesforce 組織での ID 検証のための組み込み Authenticator の有効化)」を参照してください。
-
ユーザーが組み込み Authenticator を Salesforce に登録するには、デバイスでこのサービスを有効にし、生体認証、PIN、またはパスワードを使用して ID を検証するように設定する必要があります。
-
ユーザーのデバイス、オペレーティングシステム、ブラウザーで FIDO2 Web 認証 (WebAuthn) 標準がサポートされている必要があります。詳細は、FIDO Web サイトと WebAuthn ガイドを参照してください。
-
組み込み Authenticator サービスでサポートされる、指紋、虹彩、または顔認識スキャナーがデバイスに付属している必要があります。
-
組み込み Authenticator は、Edge ブラウザーの Chromium 以外のバージョンではサポートされていません。
-
組み込み Authenticator は Salesforce モバイルアプリケーションでの MFA 検証には使用できません。ユーザーがモバイルアプリケーションにログインするには、Salesforce Authenticator などの代替検証方法を登録する必要があります。
-
組み込み Authenticator は、Experience Cloud サイトでは使用できません。
-
API 経由で Salesforce にアクセスするユーザーは、組み込み Authenticator を使用して ID を検証することはできません。
-
データローダーの OAuth ログインでは、組み込み Authenticator の使用はサポートされていません。
詳細は、「FIDO2: Web Authentication (WebAuthn) (FIDO2: Web 認証 (WebAuthn))」、またはユーザーの組み込み Authenticator に関するドキュメントを参照してください。
バックグラウンド
組み込み Authenticator を登録すると、ユーザーのアカウントに固有の非公開鍵と公開鍵のペアが作成されます。非公開鍵はユーザーのデスクトップまたはモバイルデバイスに安全に保存され、ユーザーの生体認証データによって保護されます。非公開鍵とユーザーの生体認証データは、ユーザーのデバイスから離れることはなく、Salesforce と共有されることもありません。ユーザーがアカウントにログインすると、ブラウザーによってデバイスのオペレーティングシステムがコールされ、ユーザーが登録した組み込み Authenticator が起動します。ユーザーのブラウザーとオペレーティングシステムに応じて、ユーザーは Touch ID、Face ID、Windows Hello などの認証機能を使用して ID を検証します。
WebAuthn 準拠の組み込み Authenticator には、フィッシングや中間者 (man-in-the-middle) 攻撃への耐性があります。主な理由は、ユーザーの非公開鍵が、ユーザーのアカウントに関連付けられたドメインにバインドされているためです。たとえば、ユーザーが悪意のあるサイトを使用するように仕掛けられたとします。サイトが組み込み Authenticator にログイン要求の承認を求めると、Authenticator は、サイトのドメインが期待されるものではないことを認識し、ユーザーのログインを回避します。
