Administrator 練習問題 Q281

解説

前提知識

パスワードロックアウトとは

Salesforceは、ログインに連続で失敗するとアカウントを一時的にロックします。何回でロックするか、ロックを何分間維持するかは、［設定］のパスワードポリシーで定めます。ロックされたユーザーは、時間経過を待つか、管理者が［ロック解除］すれば再びログインできます。

パスワードポリシーとは

パスワードポリシーは、パスワードの有効期限、文字数・複雑さの要件、ロックアウトのしきい値などを定める組織・プロファイル単位の設定です。ここが重要なポイントで、個人のパスワードをリセットしても、ポリシー自体は変わりません。

デバイスの有効化（ID の確認）とは

Salesforceは、認識されていないブラウザーや端末からのログインなど、信頼できないログイン試行に対して追加の本人確認を要求します。利用可能な本人確認方法のうち、優先度が最も高い方法が使用されます。これが「デバイスの有効化」です。 パスワードリセット後は、この検証が求められることがあるので、管理者は「リセットしただけでは入れない可能性」を事前にユーザーに伝える必要があります。ユーザーのメールアドレスが古いままだと、ここで詰まります。

シングルサインオン（SSO）とは

SSOを使う場合、認証のマスタはSalesforceの外側（ID プロバイダー）にあります。したがってSalesforce側の「パスワードを忘れた場合」ではリセットできません。この場合は ID プロバイダー側での対応が必要になります。

🤔 ここがまだモヤッとする方へ：凍結・無効化・ロック解除など、ユーザーのアクセスを止める手段の違いをSalesforceのユーザーは削除できない：無効化と凍結、ライセンスの関係で整理しています。

設問の状況を分解する

1. ユーザーがログインでごたごたしている
2. 管理者にパスワードリセットを依頼してきた
3. 問われているのは「リセットするときに管理者が考慮すべきこと」2つ このタイプの問題は、「リセットの副作用」と「リセットでは解決しないケース」を区別できるかを問っています。初学者がやりがちなのは、「ログインできない→とにかくパスワードリセット」と反射的に動くことです。SSO環境、ロックアウト、端末検証など、原因によって打つ手は変わります。

---

選択肢の検討

A. パスワードをリセットすると、ユーザーのパスワードポリシーが変更されます。 → ✕

パスワードポリシーは、［設定］のパスワードポリシー画面やプロファイルで別途管理される設定です。個人のパスワードをリセットしても、ポリシーの内容は何も変わりません。

B. シングルサインオンのユーザーは、「パスワードを忘れた場合」のリンクを使用して自分でパスワードをリセットできます。 → ✕

事実が逆です。SSOユーザーはこのリンクからパスワードをリセットできません。公式のFAQでも「Passwords cannot be reset for Single Sign-On Users.」と明記されています。

C. ロックアウトされたユーザーのパスワードをリセットすると、そのユーザーのアカウントは自動的にロック解除されます。 → ⭕ 正解

Salesforce公式ヘルプは、ロックアウトされたユーザーのパスワードをリセットすると、そのユーザーのアカウントが自動的にロック解除されると明記しています。パスワードを変更せずロックだけを解除したい場合は、ユーザー詳細の［ロック解除］も使用できます。

D. パスワードをリセットした後、Salesforceに正常にログインするためにデバイスの有効化が必要になる場合があります。 → ⭕ 正解

公式ヘルプに「システム管理者がパスワードをリセットすると、Salesforce に正常にログインするにはデバイスの有効化が必要になる場合があります」と明記されています。ユーザーのメールアドレスが有効か、確認コードを受け取れるかを事前に確かめることが、管理者の考慮事項になります。

---

管理者としての対処手順

1. まず原因を分ける：ロックアウトか、パスワード失念か、SSOの問題か
2. SSOユーザーなら、Salesforce側でのリセットでは解決しないので ID プロバイダー側に回す
3. ロックアウトだけを解除する場合は、［設定］→［ユーザー］で対象ユーザーを選び、［ロック解除］を実行する。パスワードもリセットする場合は、そのリセットによってロックも自動解除される
4. パスワードをリセットする場合は、事前にユーザーのメールアドレスが現行のものか確認する
5. リセット後、確認コードによるデバイスの有効化が必要になる場合があるとユーザーに伝える
6. 組織全体の規則を変えたいなら、別途［パスワードポリシー］を見直す

症状	打つ手
連続失敗でロックされた	［ロック解除］、パスワードリセット、またはロック期間の経過を待つ
パスワードを忘れた	管理者によるパスワードリセット
SSO環境で入れない	ID プロバイダー側で対応
ログイン規則を変えたい	パスワードポリシーの設定
退職者のアクセスを止めたい	凍結、その後無効化

---

あわせて覚えておきたいポイント

• デバイスの有効化は、認識されていないブラウザーや端末などのログインで追加の本人確認を求める仕組みです。信頼済みIP範囲、プロファイルのログインIP範囲、強力な認証方法などの設定により動作が異なります。
• パスワードポリシーは組織全体とプロファイル単位で設定でき、プロファイル側の設定が優先されます。
• 試験では「ロック解除」「パスワードリセット」「凍結」「無効化」の使い分けがよく問われます。目的が「再び入れるようにする」なのか「入れないようにする」なのかで分けて覚えてください。

---

出典（Salesforce公式）

• ユーザーのパスワードのリセット — ロックアウトされたユーザーのパスワードリセットでアカウントが自動解除されること（選択肢C）と、リセット後にデバイスの有効化が必要になる場合があること（選択肢D）を裏付けます。
• Device Activation for Salesforce Orgs — 認識されていないブラウザーや端末、IP範囲、認証方法などに応じてデバイスの有効化が要求される現在の動作を裏付けます。
• パスワードポリシーの設定 — パスワードの有効期限やロックアウトのしきい値などは［設定］で別途管理する（選択肢Aが誤りである根拠）
• Unlock Users — ロックされたユーザーに対して管理者が［ロック解除］を実行できること
• SSO and Password Management FAQ — 「Passwords cannot be reset for Single Sign-On Users. Please contact your System Administrator to reset your password.」（選択肢Bが誤りである根拠）

Salesforce公式ドキュメント↗