本手順書は、自治体環境において Salesforce にログインする際の多要素認証（MFA）を、端末に内蔵された認証機能「組み込み Authenticator（Windows Hello / Touch ID / Face ID）」で行うための設定方法をまとめたものです。設定は次の 2 段階で行います。
💡 なぜ組み込み Authenticator なのか セキュリティ強化により、特権ユーザーのログインに「フィッシング耐性のある MFA」が求められています。組み込み Authenticator（Windows Hello / Touch ID / Face ID）は FIDO2 / WebAuthn を用いる方式で、偽サイトに認証情報を渡さないためフィッシングに強い認証方式です。また、PC に標準搭載された機能で完結し、物理デバイスの追加購入や業務スマートフォンを必要としないため、端末配布状況にばらつきのある自治体に適しています。
| 用語 | 説明 |
|---|---|
| MFA（多要素認証） | ID・パスワードに加えて、もう 1 つの本人確認を組み合わせるログイン方式。 |
| 組み込み Authenticator | 端末に標準搭載された生体認証・PIN 認証機能。Windows Hello（顔・指紋・PIN）、Touch ID、Face ID など。Salesforce 画面上は「組み込み認証システム」と表記されます。 |
| フィッシング耐性 MFA | 偽サイトに認証情報を渡さない暗号方式の MFA。組み込み Authenticator とセキュリティキーが該当します。 |
| FIDO2 / WebAuthn | 組み込み Authenticator やパスキー・セキュリティキーが使う国際標準規格。最新のブラウザーで広く対応。 |
| パスキー | パスワードを使わずにログインできる方式。組み込み Authenticator と同じ仕組み（WebAuthn）を利用します。 |
⚠️ 仮想ブラウザ／仮想端末をお使いの場合の重要な注意 組み込み Authenticator は、ブラウザーが実際に動作している環境の認証機能に紐づきます。三層分離環境のセキュアブラウザや画面転送型の仮想端末では、手元の PC ではなく 仮想環境側の Windows Hello 等が使われます。
- 仮想環境側で Windows Hello（生体・PIN）が設定・利用可能である必要があります。
- セキュリティキーと異なり、USB リダイレクト（デバイス転送）では解決しません。 組み込み Authenticator は OS に内蔵された認証器のため、転送の対象になりません。
- 仮想環境で組み込み認証機能が利用できない場合は、物理セキュリティキー方式の利用をご検討ください。（Salesforce セキュリティキー設定手順書 ）
組織で組み込み Authenticator を使えるようにするための設定です。組織全体で一度だけ実施します。システム管理者で Salesforce にログインして操作してください。