セキュリティ実装ガイド
jログイン制限の設定
| 使用可能なエディション: Salesforce Classic と Lightning Experience の両方 |
| 使用可能なエディション: すべてのエディション |
組織のデータを不正なアクセスから保護するために、いくつかのオプションでログイン制限およびアクセス制限を設定できます。
- ログイン時間帯の制限
- プロファイルごとに、ユーザがログインできる時間帯を設定できます。次のトピックを参照してください。
- ユーザインターフェースログインの 2 要素認証
- プロファイルごとに、ユーザインターフェースを使用してログインするときに 2 つ目の認証方法を使用するようユーザに要求できます。「2 要素認証ログイン要件の設定」を参照してください。
- API ログインの 2 要素認証
- プロファイルごとに、標準のセキュリティトークンではなく、確認コード (時間ベースのワンタイムパスワードまたは TOTP ともいう) を要求できます。ユーザは、確認コードを生成する認証アプリケーションを各自のアカウントに接続します。「API ログインの 2 要素認証」権限があるユーザは、アカウントのパスワードのリセット時など要求されたときは常に標準のセキュリティトークンではなくコードを使用します。「API アクセスの 2 要素認証ログイン要件の設定」を参照してください。
- ログイン IP アドレス範囲の制限
- Enterprise Edition、Performance Edition、Unlimited Edition、Developer Edition、および Database.com Edition の場合、ユーザがどのアドレス範囲からログインできるかを指定する [ログイン IP アドレスの制限] のアドレスを個々のプロファイルに設定できます。プロファイルに設定された [ログイン IP アドレスの制限] 以外のアドレスからログインしたユーザは Salesforce 組織にアクセスできません。次のトピックを参照してください。
Contact Manager Edition、Group Edition、および Professional Edition の場合、[ログイン IP アドレスの制限] を設定します。[設定] から、[クイック検索] ボックスに「セッションの設定」と入力し、[セッションの設定] を選択します。
- すべてのアクセス要求に対するログイン IP アドレス範囲の適用
- Salesforce へのすべてのアクセスを、ユーザプロファイルの [ログイン IP アドレスの制限] に含まれている IP アドレスに制限することができます。たとえば、[ログイン IP アドレスの制限] で定義された IP アドレスからユーザが正常にログインしたとします。その後で、[ログイン IP アドレスの制限] に含まれない新しい IP アドレスを持つ異なる場所に移動します。ユーザがブラウザを更新するか、クライアントアプリケーションからのアクセスも含め Salesforce にアクセスしようとすると、拒否されます。このオプションを有効にするには、[設定] から、[クイック検索] ボックスに「セッションの設定」と入力し、[セッションの設定] を選択して、[すべての要求でログイン IP アドレスの制限を適用] を選択します。このオプションは、ログイン IP アドレスが制限されたすべてのユーザプロファイルに影響します。
- 組織全体の信頼できる IP アドレス範囲
- すべてのユーザについて、ユーザがログインの問題が発生することなく常にログインできる IP アドレス範囲のリストを設定できます。これらのユーザは、追加の確認情報を提供すれば組織にログインできます。「組織の信頼済み IP 範囲の設定」を参照してください。
ユーザがユーザインターフェース、API、または Salesforce for Outlook、Connect Offline、Connect for Office、データローダなどのデスクトップクライアントを使用して Salesforce にログインした場合は、Salesforce がそのログインが正当かどうかを次の方法で確認します。
- Salesforce は、ユーザのプロファイルにログイン時間帯の制限が設定されているかどうかを確認します。ユーザのプロファイルにログイン時間帯の制限が設定されている場合、指定された時間帯以外のログインは拒否されます。
- ユーザに「ユーザインターフェースログインの 2 要素認証」権限がある場合は、ログイン時に Salesforce が 2 つ目の認証を行うようユーザに求めます。ユーザのアカウントが Salesforce Authenticator などのモバイル認証アプリケーションにまだ接続されていない場合は、Salesforce がユーザにまずアプリケーションに接続するよう求めます。
- ユーザに「API ログインの 2 要素認証」権限があり、認証アプリケーションをアカウントに接続済みの場合は、ユーザが標準のセキュリティトークンを使用すると、Salesforce がエラーを返します。ユーザは、標準のセキュリティトークンではなく、認証アプリケーションで生成された確認コード (時間ベースのワンタイムパスワード) を入力する必要があります。
- Salesforce は次に、ユーザのプロファイルに IP アドレスの制限が設定されているかどうかを確認します。ユーザのプロファイルに IP アドレスの制限が設定されている場合、指定された IP アドレス以外の IP アドレスからのログインは拒否されます。[すべての要求でログイン IP アドレスの制限を適用] セッション設定が有効になっている場合、クライアントアプリケーションからの要求も含め、ページ要求ごとに IP アドレス制限が適用されます。
- プロファイルベースの IP アドレス制限が設定されていない場合は、過去に Salesforce へのアクセスに使用されたデバイスからユーザがログインしているかどうかを確認します。
- Salesforce が認識するデバイスやブラウザからユーザがログインしている場合は、ログインが許可されます。
- 信頼できる IP アドレスのリストに含まれる IP アドレスからのログインであれば、ログインは許可されます。
- 信頼できる IP アドレスからのログインでも、Salesforce が認識するデバイスやブラウザからのログインでもない場合は、ログインがブロックされます。
- ユーザインターフェースを使用してアクセスする場合は、Salesforce Authenticator (バージョン 2 以降) を使用して検証するか、確認コードを入力するようユーザに求められます。
-
API またはクライアントを使用してアクセスする場合は、ユーザがログインパスワードの末尾にセキュリティトークンを追加する必要があります。また、ユーザプロファイルに「API ログインの 2 要素認証」が設定されている場合は、ユーザが認証アプリケーションで生成された確認コードを入力します。
セキュリティトークンは Salesforce から自動生成されるキーです。たとえば、パスワードが mypassword で、セキュリティトークンが XXXXXXXXXX の場合は、ログイン時に「mypasswordXXXXXXXXXX」と入力する必要があります。また、クライアントアプリケーションによっては、別個にセキュリティトークン用の項目があります。
セキュリティトークンを取得するには、Salesforce ユーザインターフェースを通じてパスワードを変更するか、セキュリティトークンをリセットします。ユーザがパスワードを変更するか、セキュリティトークンをリセットすると、Salesforce がユーザの Salesforce レコードのメールアドレス宛に新しいセキュリティトークンを送信します。セキュリティトークンは、ユーザがセキュリティトークンをリセットするか、パスワードを変更するか、またはパスワードがリセットされるまで有効です。
ログイン制限の設定に関するヒント
ログイン制限を設定するときには、次の点を考慮してください。
- ユーザのパスワードが変更されると、セキュリティトークンがリセットされます。API またはクライアントを使用してログインする場合は、自動生成されるセキュリティトークンをユーザがパスワードの末尾に追加するまで、ログインがブロックされる場合があります。
- パートナーポータルとカスタマーポータルのユーザは、ログインを行うためにコンピュータをアクティベートする必要はありません。
- 次のイベントは、組織のログインロックアウト設定で定義されているとおり、Salesforce からロックアウトされるまでの無効なパスワードによるログイン試行回数のカウントの対象となります。
- ユーザに ID 検証が求められた場合
- API またはクライアントを使用して Salesforce にログインするためにパスワードの末尾に追加したセキュリティトークンまたは確認コードが正しくなかった場合