見出し画像

【物語で学ぶ】2026年7月、Salesforce にログインできなかった月曜の朝 — MFA強制化 対応ガイド

furuCRM 香川


「Action Required」のメール、放置していませんか？
2026年7月、Salesforce の MFA は「契約上の義務」から「ログインできるか／できないか」に変わります。
本記事はちょっと先の未来の 架空のストーリー を交えながら、
一般ユーザと管理者で違う 2段階の対応 を、できる限りわかりやすくご案内します。

🎬 プロローグ：2026年7月20日（月） 朝9時03分

営業課長の 田中さん（架空）は、月曜の朝のコーヒー片手に Salesforce にログインしようとした。
いつものパスワードを入力 → Enter。
「多要素認証の登録が必要です」画面が止まった。スマホには Salesforce Authenticator は入っていない。今すぐ商談メモを見ないと、9時半の客先打ち合わせが詰む。田中さんは情シスの 鈴木さん（架空）に電話した。
「鈴木さん、Salesforce に入れない！」
「すみません田中さん、僕も今、自分のアカウントに入れなくて……」同じころ、鈴木さんの画面にはこう出ていた：
「このアカウントはフィッシング耐性 MFA の登録が必要です」
鈴木さんの Authenticator アプリは、もう「要件を満たさない」。9時14分、社内 Slack の #emergency チャンネルが燃え始めた。

—— こうならないために、本記事を最後までお読みください。

1. 何が起きるのか — ざっくり1枚で

誰がいつから何を求められる全ユーザ（普通の営業・カスタマー対応など）2026/07/20（本番）Authenticator アプリなどの MFA 登録特権ユーザ（管理者・開発者・「View All Data」保持者など）2026/07/01（本番）フィッシング耐性 MFA = Face ID / Touch ID / Windows Hello / YubiKey

ポイントは2つだけ：

  1. 一般ユーザ vs 特権ユーザで要件が違う（しかも特権ユーザの方が先に強制化される）

  2. Authenticator アプリ（Google / Microsoft）は管理者には通用しない

2. 物語の続き：鈴木さん、なぜログインできなかったのか

鈴木さんはずっと Microsoft Authenticator で MFA をしていた。
「ちゃんと MFA 入れてるのに、なんで？」
答えは、Salesforce の新ルールにある。
管理者やデータを大量に扱える人 は、TOTP（6桁コード）ベースのアプリでは「弱い」と判定される。攻撃者はもう、AI 生成のフィッシングサイトで本物そっくりの画面を出して、6桁コードまでリアルタイムで奪える時代。だから Salesforce は、暗号鍵そのものをデバイスに閉じ込める方式 ——
つまり Face ID / Touch ID / Windows Hello / 物理キー（YubiKey） しか認めなくなった。

「特権ユーザ」って誰のこと？
ここがハマりやすいポイント。「うちの管理者は2人だけだから大丈夫」と思っていませんか？

プロファイルだけでなく、権限セット・権限セットグループでこれらが付いている人も全員対象 です。
気づいたら「うちは10人くらい対象だった」というケースが普通にあります。

3. 物語の続き：3週間前の田中課長 — 「うちはまだ余裕でしょ」

6月の最終週、鈴木さんは田中課長に言っていた。
「課長、6月下旬から Sandbox で MFA 強制化が始まります。本番は7月20日です」
「うん、わかったよ。でも僕、今プロジェクトで忙しくてさ。アプリ入れるの、来月の頭でいいかな？」
来月の頭 = 7月1日。その日、Salesforce の特権ユーザ向け強制化が本番で開始。その後、7月20日に 全ユーザ向け強制化が来る。田中課長自身は「特権」ではない一般ユーザだったので、7月1日のタイミングではログインできていた。「ほら、まだ大丈夫じゃん」……そして冒頭の月曜朝に至る。

スケジュール早見表（公式情報ベース）

Sandbox は本番より約1ヶ月早く強制化します。これは「困らせるため」ではなく「本番までに気づけるリハーサル」です。

4. どう対応すれば、田中さんも鈴木さんも困らなかったか

ここからは「冒頭の物語が起きなかった世界線」の話。furuCRM 社内で実際に運用している3つのマニュアルを軸に、対応ロードマップを示します。

Step 1. 自社の「特権ユーザ」を全員洗い出す（管理者作業 / 半日）

Setup → Profiles → System Administrator → Assigned Users
Setup → Permission Sets → Modify All Data などで AssignedUsers を確認

退職者・テスト用アカウント・API 用ユーザが紛れていたら、この機会に整理します。

物語の「あるある」: 過去のプロジェクトで一時的に View All Data を渡したまま、そのユーザの権限を戻し忘れる。本人は普通の営業のつもりが、Salesforce 的には特権ユーザ扱い。

Step 2. 組織側で MFA を有効化する（管理者作業 / 5分）

[1枚目の furuCRM 社内マニュアル『組織のMFA設定を有効化』] に沿って：

  1. システム管理者でログイン

  2. 設定 → クイック検索「ID 検証」

  3. ✅「Salesforce 組織へのすべての直接 UI ログインに多要素認証 (MFA) が必要」

  4. ✅「ユーザーが Touch ID や Windows Hello などの組み込み Authenticator を使用して ID を検証できるようにする」

  5. 保存

ここを早めに有効化しておくと、ユーザは強制化の日を待たずに自分のタイミングで登録できる猶予期間 を持てます。

Step 3. 一般ユーザに Salesforce Authenticator を入れてもらう（一般ユーザ作業 / 5分／人）

[2枚目の furuCRM 社内マニュアル『Salesforce Authenticator』] に沿って：

  • iOS: App Store で Salesforce Authenticator

  • Android: Google Play で Salesforce Authenticator

  • ログイン時に表示される「2語の英単語」をアプリで入力 → 接続

これで田中さんの「ログインできない朝」は防げます。

💡 ポイント：Authenticator アプリは特権ユーザには「不十分」だが、一般ユーザには「ちょうどよい」。混同しないように。

Step 4. 管理者・特権ユーザは「パスキー」を登録する（特権ユーザ作業 / 5分／人）

ここが鈴木さんの救済策。[3枚目の furuCRM 社内マニュアル『Face ID』] に沿って：

  1. iPhone の Safari で対象ユーザでログイン

  2. 「組み込み Authenticator を登録」画面 → 登録

  3. 「パスキーを追加」 → Face ID で認証

  4. 名称を入力（デフォルト可）→ 保存

これで次回からは：

PC でログイン → ID 検証画面で「検証」
   → Windows セキュリティ「iPhone, iPad, または Android デバイス」を選択
   → QR コードが表示 → iPhone のカメラでスキャン
   → 「パスキーでサインイン」→ Face ID で認証 → ログイン完了

PC が Mac でも Windows でも、iPhone を介してパスキーで認証できます。
もちろん Windows Hello（指紋・顔）/ Mac の Touch ID が使える端末なら、そちらの方が運用は楽です。

Step 5. 「2つ以上の方式」を登録する（特権ユーザ作業 / 必須）

物語ifルート：「鈴木さん、iPhone を落としてしまった……」
1つしか方式を登録していないと、自分で復旧できない最悪のロックアウト が発生します。

Salesforce は特権ユーザに 2つ以上の方式の登録 を推奨しています。

Step 6. SSO 利用組織は IdP 側もチェック（情シス作業）

Okta / Azure AD / Ping などで SSO を使っている場合：

  • IdP 側で MFA が 強制 されているか

  • 特権ユーザに対して WebAuthn / FIDO2 が選択肢に入っているか

  • 緊急用の「SSO Bypass」アカウントには Salesforce ネイティブの MFA を別途設定

⚠️ 「SSO 入れてるから安心」は誤解 ：Salesforce 側からは IdP の MFA 設定は検知できません。

5. もう一つの物語：API 連携が止まる夜

同じ会社の開発リード 佐藤さん（架空）は夜10時に電話を取った。
「夜間バッチが落ちてます！ Salesforce から 401 が返ってきます！」
原因は、長年動いていた API 統合用ユーザ。Username + Password の OAuth Password Flow で動いていたが、MFA 強制化により インタラクティブ認証が必須 になり、バッチが止まった。

API ユーザの落とし穴と対策

落とし穴対策Username/Password でバッチが動いていたOAuth 2.0 JWT Bearer Flow（証明書ベース）に切替「サービスアカウント」を MFA 免除していた「Waive MFA」権限は 自動免除されなくなる。設計から見直し連携ツールで MFA 対応が未確認ベンダー側のサポート状況を6月中に確認

6. 推奨タイムライン（6月の動き方）

今すぐ（6月第1〜2週）
├─ 特権ユーザ棚卸（Step 1）
├─ 組織側 MFA 有効化（Step 2）
└─ 管理者は先に Face ID / Touch ID 登録（Step 4）

6月第3週
├─ 全社向け案内：マニュアル配布、Q&A セッション開催
└─ API 統合ユーザの設計見直し（Step 5 別ルート）

2026-06-22（Sandbox 強制化）  ★リハーサル開始
├─ Sandbox でログインフローを実機確認
└─ 出てきた問題を本番展開前に解決

2026-07-01（本番：特権ユーザ強制化）
└─ 鈴木さん（管理者）は登録済みなので何事もなく出社

2026-07-20（本番：全ユーザ強制化）
└─ 田中さん（営業）は登録済みなので何事もなく出社

7. エピローグ：もう一つの月曜日

もう一つの世界線。
2026年7月20日（月）9時03分、田中課長は同じようにコーヒー片手にログインを試みた。
「あ、認証来た」
スマホで Salesforce Authenticator の通知を承認。3秒で商談メモが開いた。
鈴木さんは7月1日の朝、Face ID 認証で問題なくログインしていた。9時半の客先打ち合わせは、何事もなく始まった。——違いは、ほんの1〜2時間の準備だけだった。

まとめ — 一言で

「Authenticator アプリは一般ユーザ用。管理者は Face ID か物理キー。バックアップももう1個。」

これだけ覚えて、6月中に動けば大丈夫です。

参考リンク

⚠️ 本記事の登場人物（田中課長・鈴木さん・佐藤さん）はすべて架空です。実在する人物・団体とは関係ありません。日付・対象権限は公開情報をもとにしていますが、最新情報は Salesforce 公式ドキュメントでご確認ください。

📌 この記事が役に立ったら、スキ・コメント をいただけると励みになります。

#Salesforce #MFA #セキュリティ #Passkey #FaceID #SystemAdmin #PhishingResistant #2026年6月強制化

いいなと思ったら応援しよう！