Administrator 練習問題 Q143

解説

前提知識

• 多要素認証（MFA: Multi-Factor Authentication）：パスワードに加えて、パスキー、セキュリティキー、認証アプリなどの別の確認要素を要求する認証方式。認証情報の窃取やcredential stuffingによるアカウント乗っ取りを防ぐための主要な対策である。
• Salesforceは従業員ユーザーによる本番組織・SandboxのUIログインにMFAを要求しており、2026年6月からログイン時の技術的な適用を開始している。直接ログインとSSOのどちらにも要件がある。

設問の状況を分解する

• 問われているのは、ログイン資格情報が不正利用された場合を含むSalesforceアカウントへの不正ログイン防止である。
• レコードをログイン後に誰へ共有するかではなく、本人確認を強化する設定を選ぶ。

選択肢の検討

• A ✕：TLSは通信経路を暗号化するための基盤である。TLS／HTTPS要件を無効にすることはセキュリティを低下させる方向であり、不正アクセス防止策ではない。現行Salesforceでは主要なHTTPS要件は強制適用され、無効化できない設定もある。
• B ⭕：MFAはパスワードとは別の確認要素を要求するため、パスワードが漏えいしても第三者がログインするリスクを大幅に下げる。選択肢の中で、認証段階の不正アクセス防止に直接対応する。
• C ✕：組織全体のデフォルト（OWD）は、認証済みユーザーが他のユーザーのレコードへ持つ基準アクセスを定める共有設定である。ログイン本人確認を強化する機能ではない。
• D ✕：［ログインページでキャッシュとオートコンプリートを有効化］は、ブラウザーにユーザー名を保存してログイン操作を簡略化する設定であり、追加の本人確認を提供しない。Salesforce公式ではこの設定はデフォルトで有効とされるが、不正ログインを防ぐ回答にはならない。

管理者としての対処手順

1. ユーザーがSalesforceへ直接ログインするか、SSOを使用するかを確認する。
2. 直接ログインでは、MFAの適用状態と、各ユーザーにパスキー、Salesforce Authenticator、対応する認証アプリなどの検証方法が登録されていることを確認する。
3. SSOでは、IdP側のMFAまたはSalesforce MFAを使用し、SalesforceのMFA要件を満たす構成になっていることを確認する。
4. 特権ユーザーについては、現在のフィッシング耐性MFA要件と対応する検証方法を確認する。
5. ログイン履歴やIdentity Verification Historyを監視し、登録・ログイン失敗をフォローする。

あわせて覚えておきたいポイント

• MFAは認証を強化する。OWDは認証後のレコード共有を制御する。この2つを混同しない。
• TLS／HTTPSは通信を保護し、MFAはログインする人物を追加要素で確認する。両者は異なる層のセキュリティ対策である。
• 2026年時点ではMFAは単なる推奨設定ではなく、対象となる従業員ユーザーのログイン要件である。

出典（Salesforce公式）

• Understand MFA Requirements — 従業員ユーザーの本番組織・SandboxへのUIログインでMFAが必要であり、2026年6月から技術的な適用が開始されることを裏付ける。
• Enable MFA for Direct Login — 直接ログイン時にユーザー名・パスワードに加えて検証方法を要求するMFA設定を裏付ける。
• Organization-Wide Default Access Settings — OWDがオブジェクトごとのレコードアクセス基準を制御する設定であり、ログイン認証とは異なることを裏付ける。
• Modify Session Security Settings — ログインページのキャッシュとオートコンプリートがユーザー名を保存する利便性設定であること、およびセッション・HTTPS関連設定の役割を裏付ける。
• Secure HTTPS Connections Are Enforced in Domains — SalesforceがHTTPSを強制し、関連する無効化可能な設定を削除したことを裏付ける。

Salesforce公式ドキュメント↗