Salesforceには、顧客情報や商談、売上の見込みなど、営業やサポートの中心となるデータが集まっています。アカウントが乗っ取られると、顧客データの流出やなりすましによる被害が取引先にまで広がるおそれがあります。
Salesforceは2022年2月1日から、製品へのアクセスに多要素認証（MFA）を必須としています。この記事では、SalesforceのMFAにYubiKeyを使う方法を、管理者の設定とユーザーの登録手順に分けて説明します。
SalesforceのMFA義務化とは
Salesforceは、パスワードだけではアカウントへの不正アクセスを防ぎきれないとして、すべてのユーザーにMFAの利用を契約上の要件として求めています。現在は、Salesforce製品への直接ログインでMFAが自動的に有効になっており、ログインのたびにパスワードに加えて、もう1つの確認方法が必要です。
なお、シングルサインオン（SSO）でログインしている場合は、SalesforceではなくSSOのIDプロバイダー側でMFAを設定します。
Salesforceで使えるMFAの確認方法
| 確認方法 | フィッシング耐性 | スマートフォン | 特徴 |
|---|---|---|---|
| セキュリティキー（YubiKeyなど） | ◎ 高い | 不要 | USB・Lightning・NFCに対応した物理的な鍵。インストールもコード入力も不要 |
| 端末内蔵の認証機能 | ◎ 高い | 不要（端末に内蔵） | Windows Hello、Touch ID、Face IDなど、パソコンやスマートフォンに組み込まれた認証機能を使う |
| Salesforce Authenticator | △ 中程度 | 必要 | スマートフォンのアプリに届くプッシュ通知で承認する |
| サードパーティの認証アプリ | ✕ 低い | 必要 | Google AuthenticatorやMicrosoft Authenticatorなどで、時間ごとに変わるコード（TOTP）を生成して入力する |
※スマートフォンでは表を横にスクロールしてご覧いただけます。
Salesforceは、WebAuthnまたはU2Fの規格に対応したセキュリティキーをサポートしており、対応製品の例としてYubiKeyを挙げています。
SalesforceのMFAにYubiKeyを選ぶ理由
- フィッシングに強い：YubiKeyは正規のSalesforceのログインページでしか応答しないため、偽のログイン画面にだまされても認証は成立しません。
- スマートフォンが不要：社用スマートフォンを配布していない部署や、店舗・倉庫など端末の持ち込みが制限された現場でも使えます。
- ログインが速い：コードを読み取って入力する必要がなく、YubiKeyにタッチするだけで確認が終わります。
- ほかのサービスにも使える：1本のYubiKeyを、Microsoft 365やGoogle Workspaceなど、Salesforce以外の多くのサービスにも登録できます。
Yubicoによれば、Security Keyシリーズ、YubiKey Bioシリーズ、YubiKey 5シリーズ、YubiKey 5 FIPSシリーズは、いずれもSalesforceのMFA要件を満たしています。お使いの環境に合うモデルはYubiKey製品一覧から確認できます。
管理者向け：セキュリティキーの利用を許可する
- Salesforceの「設定」を開き、クイック検索ボックスに「セッションの設定」と入力して開きます。
- 物理セキュリティキー（U2FまたはWebAuthn）による本人確認をユーザーに許可する項目を有効にします。
- 設定を保存します。
- ユーザーに、YubiKeyの登録手順と、登録を完了する期限を案内します。
多くの社員に展開する場合は、まず情報システム部門や管理者アカウントで試験的に運用し、問題がないことを確認してから全社に広げるのがおすすめです。
ユーザー向け：YubiKeyを登録する手順
- Salesforceにログインし、画面右上のプロフィールアイコンから「設定」（個人設定）を開きます。
- 「私の個人情報」の「高度なユーザーの詳細」を開きます。
- 「セキュリティキー（U2FまたはWebAuthn）」の横にある「登録」を選びます。
- 本人確認を求められたら、画面の案内に従って確認します。
- YubiKeyをUSBポートに挿して、金色の部分にタッチします。PINを設定している場合は、PINを入力します。
- 登録が完了したことを確認します。
次回からは、パスワードを入力した後にYubiKeyへのタッチを求められます。YubiKeyを挿してタッチすれば、ログインは完了です。
※メニューの名前や配置は、Salesforceのエディションや更新によって異なる場合があります。詳しくはSalesforceの公式ヘルプで確認してください。
組織で導入するときのポイント
- バックアップの確認方法を用意する：YubiKeyの紛失や故障に備えて、2本目のYubiKeyやSalesforce Authenticatorなど、別の確認方法も登録しておくよう案内します。
- 紛失時の手順を決めておく：キーをなくしたときの連絡先と、管理者が一時的に確認方法をリセットする流れを、あらかじめ社内で共有しておきます。
- 優先度の高いユーザーから始める：システム管理者や、大量の顧客データにアクセスできるユーザーから展開すると、早く効果を得られます。
- SSOを使う場合はIDプロバイダー側で設定する：Microsoft Entra IDなどでSSOを使っている場合は、IDプロバイダー側でYubiKeyによるMFAを必須にします。
よくある質問
- SalesforceのMFAは必須ですか？
はい。Salesforceは2022年2月1日から、製品へのアクセスに多要素認証（MFA）を契約上の要件としています。現在は、Salesforce製品への直接ログインでMFAが自動的に有効になっています。
- SalesforceでYubiKeyを使うには、管理者の設定が必要ですか？
はい。管理者がセッションの設定で、物理セキュリティキー（U2FまたはWebAuthn）による本人確認を許可しておく必要があります。許可されていれば、各ユーザーが自分でYubiKeyを登録できます。
- スマートフォンを持っていない社員でもMFAに対応できますか？
できます。YubiKeyはスマートフォンもアプリのインストールも不要で、USBに挿すかNFCでかざすだけで使えます。Salesforceも、モバイル端末を使えないユーザーにはセキュリティキーが適していると案内しています。
