Salesforce 特権ユーザーのフィッシング耐性MFA対応｜対象者の確認と対応セキュリティキー

Salesforceは2022年2月から、利用規約上すべてのユーザーに多要素認証（MFA）を必須としてきました。これに加えて2026年に、2段階の強化が行われました。①システム管理者や強い権限を持つ「特権ユーザー」にはフィッシング耐性のあるMFAが必須。②それ以外の内部ユーザーにもSalesforce が認める方式のMFAが必須。いずれも日本・韓国のリリースグループは2026年9月1日に適用済みです。

結論

最初に行うべきことは、自社の特権ユーザーを洗い出すことです。特権ユーザーには、フィッシング耐性のあるMFA（セキュリティキー、組み込みAuthenticator、同期パスキー、証明書ベース認証のいずれか）が必須になります。SSO経由でログインしている場合も対象です。IDプロバイダー側でフィッシング耐性のあるMFAを使用し、その事実を示すシグナル（AMR／ACR）をSalesforceへ送る必要があります。シグナルが届かない場合、ユーザーはSalesforce上で改めてフィッシング耐性MFAを求められます。

対象となる「特権ユーザー」とは

以下のいずれかに該当するユーザーが対象です。

システム管理者（System Administrator）プロファイルが割り当てられている
プロファイルや権限セットを通じて、次のいずれかの権限が付与されている
- すべてのデータの編集（Modify All Data）
- すべてのデータの参照（View All Data）
- アプリケーションのカスタマイズ（Customize Application）
- Apex開発（Author Apex）

「管理者は数名だけ」と思っている組織でも、営業責任者や開発担当がこれらの権限を持ち、対象に含まれることがあります。

要件を満たす認証方法、満たさない認証方法

満たす：セキュリティキー（外部のFIDO2／WebAuthnキー）、組み込みAuthenticator（Windows Hello、Touch ID／Face ID など端末の本人確認機能を使うパスキー。同期されるかどうかは端末とプラットフォームの設定によります）、クラウド同期のパスキー（パスワードマネージャーやクラウドキーチェーンで管理するもの。1Password、Bitwarden、iCloudキーチェーンなど）、証明書ベース認証（x.509クライアント証明書）、管理者が発行する一時確認コード

満たさない（特権ユーザーの場合）：Salesforce Authenticator、サードパーティのTOTPアプリ（Google Authenticator、Microsoft Authenticatorなど）

同期パスキーも公式に認められた方法です。端末に組み込まれたAuthenticatorでも、パスワードマネージャーの同期パスキーでも要件を満たします。端末内の生体認証が使えないことだけを理由に、物理キーが必須だとは結論できません。セキュリティキーが有力になるのは、共用端末・スマートフォン持込禁止環境・BYOD禁止など、端末側の生体認証が使えない場合です。詳しくは同期パスキーで足りる会社、ハードウェアキーが必要な会社をご覧ください。

ハードウェアキーが必要なケース、不要なケース

環境	推奨	理由
SSO経由でログインしている（特権ユーザーを含む）	①IdP側でフィッシング耐性MFAを必須にし、AMRまたはACRの値を送る、②Salesforce側でSSOログインにMFAを追加する — のいずれか	シグナルがSalesforceに届けば、Salesforce上で改めてMFAを求められない。届かない場合はSalesforce上でフィッシング耐性MFAが必要になる
Salesforceに直接ログインする、スマホ持込禁止の現場、共用端末	ハードウェアキー	端末側の生体認証（Touch ID・Windows Helloなど）が使えない環境でも、フィッシング耐性のある認証ができる

設定手順

対応ブラウザはChrome・Edge・Safari・Firefoxの最新版です。

セキュリティキーを使う場合

管理者: [設定] ＞ [ID検証]で「ユーザーが物理的なセキュリティキー（U2FまたはWebAuthn）を使用してIDを検証できるようにする」を有効化する
ユーザー: ID検証方法としてセキュリティキーを登録する

SSOを利用している場合

次のどちらかを選ぶ。①IDプロバイダー側でフィッシング耐性のあるMFAを必須にし、シグナルがSalesforceへ送られているかを確認する。②Salesforce側でSSOログインに対してMFAを有効にする
①を選ぶ場合、AMRとACRの両方が必須ではありません。Salesforce は「必要な階層に対応する AMR または ACR の列にある値を、IdP が少なくとも1つ送ればよい」としています

デバイス紛失時に管理者が一時的な確認コードを生成するなど、アクセス回復の手順を社内であらかじめ定めておいてください。

適用スケジュールについて

Salesforce の公式案内では、特権ユーザーへのフィッシング耐性MFAの適用日が次のとおり示されています（2026-09-16 確認）。

対象	適用日
Sandbox（プレビュー）	2026年7月10日
本番（リリースグループ R0）	2026年7月20日
R1	2026年7月27〜28日
R2a	2026年7月29〜30日
R2b	2026年8月3日
Japan & Korea	2026年9月1日（適用済み）
その他すべて	2026年9月3日

Japan & Korea のリリースグループに属する組織では、2026年9月1日から適用が始まっています。リリースグループは組織のインスタンスで決まり、所在地では決まりません。対象は、システム管理者プロファイル、または「すべてのデータの編集」「すべてのデータの参照」「アプリケーションのカスタマイズ」「Apex 作成」の権限を持つユーザーです。これは特権ユーザーへのフィッシング耐性MFAの話で、全ユーザーのMFA必須化（2022年2月からの契約上の要件）とは別のものです。スケジュールは見直されることがあります。自社の適用日は Salesforce のヘルプドキュメントでご確認ください。

もう一段階：特権ユーザー以外の内部ユーザーへのMFA必須化

上の表は特権ユーザー向け（フィッシング耐性MFA）の日程です。これとは別に、システム管理者・特権ユーザーを除くすべての内部ユーザーにもMFAが必須になりました。こちらはフィッシング耐性が要件ではありません。Salesforce Authenticator、サードパーティのTOTPアプリ、セキュリティキー、組み込みAuthenticator のいずれでも要件を満たします。ただし方式を問わないわけではなく、SMS・音声・メールによる確認は認められません（Salesforce は、すべてのユーザーにフィッシング耐性のある方式を強く推奨しています）。

適用日は Sandbox（プレビュー）2026年7月10日、本番 R0 2026年7月20日から始まり、リリースグループごとに9月3日まで順次です。Japan & Korea は特権ユーザー向けと同じ2026年9月1日で、すでに適用済みです（R2a・R2b の日程は特権ユーザー向けとは異なり、R2a が8月10〜17日、R2b が8月10〜13日です）。

2つの強化はいずれも、従来のMFA除外設定による適用除外を廃止するものです。自社の対象者を「特権ユーザー」と「それ以外の内部ユーザー」に分けて洗い出してください。

必要本数の考え方

当社の推奨構成は、本番用とバックアップ用で1名2本、加えて未登録の在庫として予備10%です（FIDO2 の規格要件ではありません）。2本目は、利用するサービスにあらかじめ別の認証器として登録して初めてバックアップとして機能します。予備10%は未登録の在庫で、紛失・破損・中途入社のときに登録して使います。100名なら220本。製品ページの計算機で人数から本数と概算が出ます。

出典

Salesforceサクセスナビ「2026年6月から開始されるセキュリティ強化に備える」（2026年5月22日公開）：https://successjp.salesforce.com/article/NAI-001221
Salesforce Help「Prepare for Phishing-Resistant MFA Enforcement for Privileged Users, Including Admins」（特権ユーザー向け。適用日・対応方法・SSO時のAMR/ACRの扱い。2026-09-16 確認）：https://help.salesforce.com/s/articleView?id=005321563&language=en_US&type=1
Salesforce Help（特権ユーザー以外の内部ユーザー向けMFA必須化。適用日・対応方法。2026-09-16 確認）：https://help.salesforce.com/s/articleView?id=005321561&language=en_US&type=1
（旧出典）：https://help.salesforce.com/s/articleView?id=005321563&type=1&language=en_US

結論