二段階認証(2FA)
二段階認証では、パスワードに加えて認証アプリが生成する6桁のコードを要求します。各自がマイアカウントで自分のアカウントに保護を設定します。有効にすると、パスワードだけで開始されたセッションはサーバー側で拒否されるようになります。
パスワードだけでは十分に守れません。漏れてしまえば、手に入れた人があなたとしてログインできます。二段階認証を有効にすると、ログインには30秒ごとに変わる6桁のコードも必要になり、そのコードはあなたの携帯電話にしか存在しません。パスワードが正しくても、端末を持っていない人は通れません。
自分のアカウントで有効にする
- 画面上部の自分の名前をクリックして、マイアカウントを開きます。
- 二段階認証(2FA)のカードを見つけ、2FAを有効にするをクリックします。
- 認証アプリ(Google Authenticator、Authy、1Passwordなど)を開き、画面に表示されたQRコードを読み取ります。入力したい場合は、そのすぐ下のまたはキーを入力に表示されているキーを使います。
- アプリに表示された6桁のコードを欄に入力し、確認して有効にするをクリックします。
- カードの表示が、このアカウントでは2FAが有効ですに変わります。
コードが拒否された場合は、無効なコードです。再度お試しくださいと表示されます。ほとんどの場合、携帯電話の時計がずれているか、入力の途中でコードの有効期限が切れたことが原因です。次のコードを待ってもう一度お試しください。
設定後のログインの流れ
次にログインするときは、これまでどおりメールアドレスとパスワードを求められ、続いてアプリのコードを入力する2つ目の画面が表示されます。コードを確認したあとにはじめてセッションが開きます。
この要求は見た目だけのものではありません。パスワードだけを提示したセッションがサーバーに届いた場合、そのアカウントで第2要素が確認済みであれば、二段階認証が必要ですという案内とともにアクセスが中断され、サインアウトして入り直すよう求められます。これは画面外からの呼び出しにも同じように適用されるため、コードの画面でブラウザーを閉じても回避できません。
例: 営業チームのマリナさんが火曜日に2FAを有効にします。水曜日、ノートパソコンからログインすると、パスワードを入力したあとにCRMがコードを求めます。彼女はアプリを開いて481902を入力し、ログインします。同じ日、彼女のパスワードを知った誰かが別のパソコンからログインを試みます。パスワードは受け付けられますが、コードの画面が表示され、そこで止まります。
無効にする
- マイアカウントを開きます。
- 二段階認証(2FA)のカードで、無効にするをクリックします。
- このアカウントの二段階認証を無効にしますか、というウィンドウで確認します。
誰が何をできるか
- システムにアクセスできる人は誰でも、自分のアカウントで二段階認証を有効にしたり無効にしたりできます。管理者である必要はありません。
- 他人のアカウントの二段階認証を有効にしたり無効にしたりすることは、誰にもできません。そのための管理者向けボタンはなく、組織全体に二段階認証を強制する設定もありません。導入はアカウントごとです。
- 無効にするにはセッションが開いていれば足ります。この操作でパスワードの再入力は求められないため、開いたまま離席したセッションは現実のリスクとして扱ってください。
💡 二段階認証を有効にしたら、同じカードの「リカバリーコードを生成」をクリックし、10 個のコードをスマートフォン以外の場所に保管してください。各コードは 1 回だけ有効で、ログイン時に入力するとコード画面を通過し、二段階認証が解除されます。新しい端末で設定し直せます。新しく生成すると前のコードは無効になります。同僚の二段階認証を管理者が解除するボタンは今もなく、組織全体に二要素を強制する設定もありません。
よくある質問
- 携帯電話をなくしてログインできません。アプリもキーの控えもない場合、アクセスはできなくなります。まず別の端末で認証アプリを復旧してください。
- 毎回コードを入力する必要がありますか。ログインのたびに必要です。セッションが開いている間は不要です。
- 二段階認証はモバイルアプリや連携にも適用されますか。これは人によるログインを守る仕組みです。システムが使う連携用のキーは別の認証情報であり、設定のAPIで管理します。