Administrator 練習問題 Q245
ユーザーがユーザーインターフェースを介してSalesforceにログインする場合、システムは認証をチェックする2つの設定はどれですか。2つの答えを選択してください
左の□で回答を選択。本文を押すと横線で除外でき、もう一度押すと戻せます。
2つ選択してください（0/2）
正答：C. ユーザーのプロファイルログイン時間の制限 / D. ユーザーインターフェイスログインのアクセス許可に対するユーザーの2要素認証
解説
前提知識
認証・ログイン制御の主要な仕組みと、それぞれの適用単位
Salesforceには、ログインを制御する仕組みが複数あり、どの単位（プロファイル、権限セット、ロール、組織全体）に設定するかが重要です。
| 仕組み | 設定単位 | 適用場面 |
|---|---|---|
| ログインIP範囲 | プロファイル | 範囲外のIPアドレスからのログインをブロック |
| ネットワークアクセスの信頼済みIP範囲 | 組織全体 | 信頼済みネットワークからのログインで追加の本人確認を求める頻度を下げる。範囲外を自動的にブロックする設定ではない |
| ログイン時間制限 | プロファイル | 時間帯外のログインをブロック |
| ユーザーインターフェースログインの多要素認証 | ユーザー権限（権限セットまたはプロファイル）と組織のMFA適用設定 | ブラウザなどのUIからの直接ログイン時に追加認証を要求 |
| MFA for API/CLI Logins | 権限セット | API・CLI経由のログインに追加認証を要求（UIログインとは別の権限） |
「ロールにはIP制限を直接設定できない」という重要な事実
Salesforceのロールには、IPアドレス制限を直接設定する項目はありません。ログインをブロックするIP範囲はプロファイルで設定します。組織全体の［ネットワークアクセス］で設定する信頼済みIP範囲は、追加の本人確認に関係する別の設定であり、範囲外のログインを自動的に拒否するものではありません。
📌 「ロールにはない設定項目」が選択肢に混ざっていないかを確認するのも大切です。「ロールのIP制限」は存在しない設定なので、選択肢にあっても即座に除外できます。
設問の状況を分解する
設問は「ユーザーインターフェース（UI）経由でログインするときにシステムがチェックする2つの設定」を問っています。ポイントは2つあります。
- その設定が実在するか（ロールにIP制限という設定は存在しない）
- その設定がUIログインに適用されるか（APIログイン専用の認証は対象外）
選択肢の検討
A. APIログイン権限の2要素認証 → ✕
これはAPI・CLI経由のログインに適用される権限であり、UI経由のログインでは別の権限（D）がチェックされます。設問が問う「UI経由のログイン」の文脈とは一致しません。
B. 役割のIPアドレスの制限 → ✕
SalesforceのロールにはIPアドレス制限を設定する項目自体が存在しません。範囲外からのログインをブロックする［ログインIP範囲］はプロファイルで設定します。組織全体の信頼済みIP範囲は追加の本人確認に関する別設定です。
C. ユーザーのプロファイルログイン時間制限 → ⭕ 正解
プロファイルで設定されたログイン時間は、ユーザーがSalesforceへアクセスできる時間帯を制御します。許可時間外はログインできないため、UIログイン時に適用される設定です。
D. UIログインのアクセス許可に対する2要素認証 → ⭕ 正解
［ユーザーインターフェースログインの多要素認証］は、ブラウザなどのUI経由ログインに対応するユーザー権限です。AのAPIログイン用権限とは適用経路が異なるため、本問の選択肢ではDが該当します。現在の本番組織では、内部ユーザーの直接UIログインにMFAが組織全体で適用される場合があり、必ずしも各ユーザーへのこの権限の個別付与だけで運用するとは限りません。
管理者としての対処手順
- 業務要件として時間帯を制限する場合は、対象ユーザーのプロファイルで［ログイン時間］を設定する。
- UIログインのMFAについて、組織全体の適用状態を確認する。個別のユーザー権限で適用する構成では、［ユーザーインターフェースログインの多要素認証］を含む権限セットまたはプロファイルを使用する。
- API・CLIログインを対象とする認証制御は、UIログインとは別に検討する。
- 範囲外のIPからのログインを拒否する場合は、ロールではなくプロファイルの［ログインIP範囲］を設定する。［ネットワークアクセス］の信頼済みIP範囲とは目的が異なる。
あわせて覚えておきたいポイント
- 「IP制限はプロファイル単位、ロールには存在しない」という事実は、認定試験で何度も問われる重要ポイントです。
- MFAの選択肢では、UIログイン用とAPIログイン用の権限を区別します。ただし、現在の組織ではMFAが組織全体で適用されることもあるため、実務では組織設定も確認します。
- ログイン時間制限もIP制限と同様、プロファイル単位で設定します。
出典（Salesforce公式）
- Salesforce Network Access and Profile-Based IP Restrictions — プロファイルのログインIP範囲と、組織全体の信頼済みIP範囲の目的・動作が異なることの根拠
- Continuously Enforce Login IP Ranges — ログインIPレンジがプロファイル設定であることの根拠
- Meet the Multi-Factor Authentication Requirement by Assigning Permission Sets — ［ユーザーインターフェースログインの多要素認証］権限を権限セットまたはプロファイルで付与する方式の根拠（本問の直接の根拠）