Administrator 練習問題 Q20

解説

前提知識

ログイン履歴とは

ログイン履歴（Login History）は、組織やExperience Cloudサイトへのログイン試行を確認する一覧です。成功したログインに加え、Salesforceがユーザーを特定して処理した多くの失敗試行も記録されます。ログインできないユーザーの調査では、まず確認すべき情報です。 記録される主な情報は次のとおりです。

• ログイン日時とユーザー
• 状態（成功／失敗と、失敗の理由）
• IPアドレス、接続元（ブラウザ、APIなど）
• ログイン種別、アプリケーション ［状況］列のコードから、パスワード不正、ログインドメイン、ログイン時間などに関する失敗を特定できます。ただし、入力したユーザー名に末尾の空白や不可視文字があるなど、Salesforceが対象ユーザーを特定できない試行は、そのユーザーの履歴に記録されない場合があります。また、MFAなど本人確認の詳細は［本人確認履歴］も確認します。 確認方法は2つあります。
• 組織全体：［設定］→ クイック検索に「ログイン履歴」
• 個人：［設定］→［ユーザー］→ 対象ユーザーの詳細ページの［ログイン履歴］関連リスト

セットアップ監査証跡との違い

セットアップ監査証跡（Setup Audit Trail）は、管理者が行った設定変更の履歴です。「誰が、いつ、どの設定を変えたか」を追うためのものであって、ログイン試行は記録されません。

設問の状況を分解する

設問の要件はシンプルです。

1. ユーザーがSalesforceにログインできない
2. 管理者はその理由を特定したい ここで大事なのは、設問が求めているのが**「対処」ではなく「原因の特定」**だという点です。ログインできない原因は多岐にわたります。

• パスワードを忘れた・間違えている
• ログインIPアドレス制限の範囲外からアクセスしている
• プロファイルのログイン時間帯制限に引っかかっている
• ユーザーが無効化されている、ライセンスがない
• 確認コード（ID確認）のメールが届いていない これだけ候補がある中で、いきなりどれか1つの対処をするのは当て推量です。まずは失敗のログを見て、どの理由で弾かれているのかを特定するのが正しい順序です。Salesforceの公式ナレッジ記事も、**「管理者はログイン履歴を使って、ユーザーのログイン失敗を引き起こしている具体的なエラーコードを特定できる」**と述べています。

---

選択肢の検討

A. ユーザーのログイン履歴を確認します。 → ⭕ 正解

ログイン履歴の［状況］列にはログイン結果のコードが表示され、パスワード不正、ログインドメイン、ログイン時間などの切り分けに使えます。すべての失敗が必ず対象ユーザーの履歴に残るわけではありませんが、提示された選択肢の中では原因特定の第一手になる唯一の機能です。

B. セットアップ監査証跡を確認します。 → △（惜しいが不正解）

監査証跡には「誰がプロファイルのログインIP制限を変更したか」などの設定変更が残るため、「直近の変更が原因かも」という調査には役立ちます。その意味で惜しい選択肢です。 しかし監査証跡にはログイン試行自体が一切記録されません。設定を何も変えていなければ何も出てこないので、「このユーザーのログインがなぜ失敗したか」の直接の答えにはなりません。 正解との判別基準は、**「ユーザーの行動のログか、管理者の設定変更のログか」**です。ログインは前者です。

C. パスワード履歴を確認します。 → ✕

［パスワード履歴を適用］は、過去のパスワードを保存して再利用を禁止するパスワードポリシーです。管理者がユーザーの過去のパスワードを一覧で「プル」して確認する機能ではなく、今回のログイン失敗理由も示しません。

D. プロファイルのセキュリティトークンをリセットします。 → ✕

まず用語が不正確です。セキュリティトークンはユーザー単位で発行されるもので、プロファイル単位ではありません。 セキュリティトークンは、信頼済みIP範囲外からAPIや一部のデスクトップクライアントで接続するときに使用します。通常のブラウザログインの一般的な対処ではありません。トークンをリセットすると旧トークンは無効になるため、そのユーザーの旧トークンを使う連携は更新が必要です。

---

管理者としての対処手順

1. ［設定］→［ユーザー］→ 対象ユーザーを開き、［ログイン履歴］関連リストを確認する。または［設定］→クイック検索「ログイン履歴」で組織全体を見る。
2. 対象ユーザーの直近の行を見、［状態］列の失敗理由を確認する。
3. 理由に応じて対処を分ける。
   • 「パスワードが無効」→ パスワードをリセットする
   • 「信頼できないIPアドレス」→ プロファイルのログインIPアドレスの制限や、組織の信頼できるIP範囲を見直す
   • 「ログイン時間制限」→ プロファイルのログイン時間帯を確認する
   • 「ユーザーは非アクティブ」→ ユーザーを有効化する
4. ログイン履歴に該当する失敗行がない場合は、ユーザー名の入力誤り、末尾の空白・不可視文字、アクセスしているログインURLなどを確認する。MFAやID確認の失敗が疑われる場合は［本人確認履歴］も確認する。
5. 必要ならログイン履歴をCSVまたはGZIPでダウンロードし、他のユーザーでも同じ失敗が起きていないか確認する。

⚠️ ログイン履歴は無限に残るわけではありません。画面では直近20,000件、過去6か月分までしか参照できません。古い履歴を遡る場合は、先にCSVやGZIP形式でダウンロードしておく必要があります。

---

あわせて覚えておきたいポイント

Salesforceには「履歴」と名のつく機能が複数あり、試験ではこれらを並べて惑わせてきます。何のログかで整理してください。

機能	記録されるもの	使う場面
ログイン履歴	ログインの成功・失敗とその理由、IP、接続元	ログインできない原因の特定、不審アクセスの調査
セットアップ監査証跡	管理者による設定変更	「誰がこの設定を変えたのか」の追跡
パスワード履歴（ポリシー）	過去のパスワードを再利用禁止の判定用に保持する設定	同じパスワードの使い回しを禁止する
項目履歴管理	レコードの項目値の変更	「金額を誰が書き換えたのか」の追跡
プロファイルのログインIP範囲／ログイン時間帯	記録ではなくアクセス条件の設定	ログインできる場所・時間を制限する

もう1つ、**「ユーザーとしてログイン」**という機能も覚えておくと便利です。ログイン履歴で原因が絞れたあと、実際にそのユーザーの画面で検証する際に使います。ただしこれは「ログイン後の見え方」を確かめるものであって、ログイン失敗の原因を見るものではありません。

---

出典（Salesforce公式）

• Admin Guide: Resolve User Login Problems — 「管理者はログイン履歴を使用して、ユーザーのログイン失敗を引き起こしている具体的なエラーコードを特定できる」（本問の決定的根拠）
• Monitor Login History（Salesforce Help） — ログイン試行を監視でき、画面では過去6か月の最大20,000件を確認できること、および［状況］コードでログイン結果を判別できることを裏付ける。
• Monitor and Audit Security in Salesforce（Salesforce Help） — ログイン履歴と本人確認履歴が別の監査情報であることを裏付ける。
• Salesforce Login Failure Occurs and No Login Failure Shows for the Login History of the User（Salesforce Help） — ユーザー名の不可視文字などにより、失敗が対象ユーザーのログイン履歴に残らない場合があることを裏付ける。
• Setup Audit Trail Control — 「セットアップ監査証跡は、組織における管理上および設定上の変更を追跡する」（監査証跡が設定変更のログであり、ログイン試行のログではないことの根拠）
• Reset Your Security Token（Salesforce Help） — セキュリティトークンがユーザーの個人設定から再発行され、信頼済みIP範囲外からAPIや一部クライアントへ接続するときに使われることを裏付ける。
• Set Password Policies（Salesforce Help） — パスワード履歴が過去のパスワード再利用を防止するポリシーであることを裏付ける。

Salesforce公式ドキュメント↗