概要
このページでは、フィッシング耐性MFA（多要素認証）として組み込みAuthenticatorを使った場合の、設定と動作確認の手順を紹介します。
A. はじめに（組み込みAuthenticatorとは）
設定を始める前に、今回登録する「組み込みAuthenticator」や、関連する用語について解説します。これらは、近年の非常に強力なセキュリティ対策の仕組みです。
-
標準MFA（多要素認証）
Salesforce Authenticatorなどのスマートフォンアプリに届く通知を承認したり、6桁の確認コード（ワンタイムパスワード）を入力したりする従来の認証方式です。
-
フィッシング耐性MFA
標準MFAの弱点（偽のログイン画面に騙されてコードを入力してしまうフィッシング詐欺など）を克服した、より安全な認証方式のことです。
-
パスキー（Passkey）
「フィッシング耐性MFA」を実現するための世界標準の暗号技術（仕組み）のことです。パスワードを使わずに、安全かつ簡単にログインできるように作られています。
-
組み込みAuthenticator（オーセンティケーター）
-
「パスキー」の仕組みを、お使いのパソコンやスマートフォンで利用できるようにしたものです。具体的には、お使いの端末の以下のような機能を利用します。
Windowsの場合: Windows Hello（顔認証、指紋認証、PINコード入力）
Mac / iPhoneの場合: Touch ID（指紋認証）、Face ID（顔認証）
-
B. 初期設定
B-1. システム管理者のメールアドレス変更
システム管理者アカウントに設定されているメールアドレスが、お客様のメールアドレス以外（Cariot提供のアドレス等）のものが登録されている場合は、下記WEBマニュアルの手順に沿って必ず変更してください。
https://cariot.zendesk.com/hc/ja/articles/52373919056665#h_01GFPZN2ZSGMTCF6PNV8XKXN66
※お客様のメールアドレスが登録されている場合は、そのまま「B-2. 検証方法の設定」へお進みください
B-2. 検証方法の設定
| （注意） こちらの設定はシステム管理者の方が1回だけ実施していただければかまいません。 また、Cariotのご契約開始が2025年以降の一部のお客様では、すでに設定がデフォルトで有効になっている場合がありますが、すべてのお客様でご確認をお願いいたします。 |
手順1. システム管理者としてログインします。
手順2. 設定（歯車アイコン） → 検索ボックスで「ID」で検索 → 「ID 検証」を選択してください。
手順3. 設定画面で、下記の3つのチェックボックスをすべてチェックしてください。
- ユーザーが Touch ID や Windows Hello などの組み込み Authenticator を使用して ID を検証できるようにする
- ユーザーが物理的なセキュリティキー (U2F または WebAuthn) を使用して ID を検証できるようにする
- パスキーによるパスワードなしのログインを許可
手順4. チェックを入れた後、画面の一番下にある「保存」ボタンをクリックして登録を完了してください。
C. 運用環境に応じたAuthenticatorの選択
ご自身のCariotを操作する環境に合わせて、登録する組み込みAuthenticatorの種類を選択します。基本的には以下の「おすすめパターン」を参考に選んでいただくのがスムーズです。
パターン①：1台の専用端末（自分専用のPCなど）だけでCariotをご利用する場合
- 【おすすめ】 PC内蔵の認証（Windows Hello、MacのTouch IDなど）
- 特徴： そのPC自体が鍵になるため、最も手軽に素早くログインできます。
※もし「PCの生体認証がうまく動かない」「スマホの方が使い慣れている」といった場合は、1台での運用であっても、パターン②のスマートフォンで設定していただいても問題ありません。
▼ 設定方法は下記のリンクよりご確認いただけます。
D-1. ログイン中に登録する：1台の専用端末（自分専用のPCなど）だけでCariotをご利用する場合
E-1. ログイン時に登録する：1台の専用端末（自分専用のPCなど）だけでCariotをご利用する場合
パターン②：複数の端末（会社のPC、共有のPC、Cariotモバイルアプリなど）でCariotをご利用する場合
- 【おすすめ】 スマートフォンをキーとして認証
- 特徴： どの端末からでもログインできるように、持ち運びができる鍵を使用します。
※認証を行う際は、ログインしようとしているPCの近くにスマートフォンがあることが必要です。また、PCとスマートフォンの両方で「Bluetooth」がONになっていることを確認してください。（物理的に近くにない場合や、BluetoothがOFFの場合は認証ができません）
▼ 設定方法は下記のリンクよりご確認いただけます。
D-2. ログイン中に登録する：複数の端末（会社のPC、共有のPC、Cariotモバイルアプリなど）でCariotをご利用する場合
E-2. ログイン時に登録する：複数の端末（会社のPC、共有のPC、Cariotモバイルアプリなど）でCariotをご利用する場合
D. 組み込みAuthenticatorの登録：すでにログイン中の画面から登録を開始する場合
Cariotにログインした状態から登録を開始する手順です。Cariotを操作する環境に合わせて（パターン①1端末 or パターン②複数端末）に合わせて操作を行ってください。
実際の画面はマニュアルと多少異なる可能性がございます。予めご了承くださいませ。
D-1. パターン①：1台の専用端末（自分専用のPCなど）だけでCariotをご利用する場合
手順1. 個人プロフィールの設定（右上のプロフィールアイコン）をクリックし、「高度なユーザーの詳細」を選択してください。
手順2. ユーザーの詳細画面の上のメニューから「組み込み Authenticator」を探してください。カーソルをあてるとポップアップが表示されるので、「追加」ボタンをクリックしてください。
|
（参考） |
手順3. 「ID を検証」or「モバイルデバイスを確認」画面に遷移します。設定済みの認証方法で、認証を行ってください。
※もし下記のような画面になった場合は、ユーザーに設定されているメールアドレス宛に「Salesforce で ID を確認」といった件名のメールが届きます。メールの内容を確認し、表示されている確認コードを入力してから「検証」ボタンをクリックしてください。
手順4. MFAの登録を促す画面が表示されます。「Create Passkey」ボタンをクリックします。
手順5. 表示される画面の流れに沿って、組み込みAuthenticator（パスキー）を登録します。
| パスキーの登録画面はご利用中の環境によって異なります。 WindowsであればWindows Hello（顔認証・PIN）、MacであればTouch IDなどの画面がポップアップします。画面の指示に従って認証を行ってください。 |
※Microsoft Edgeをお使いで、パスキーの保存先の選択肢が「iPhone、iPad、またはAndroidデバイス」「セキュリティキー」のみの場合は、Windows Helloがセットアップされていない可能性があります。
H. 補足説明：Microsoft Edgeでの設定について にて事前設定を行ってください。
Windows Helloのセットアップが完了していると、下記のような画面が表示されます。
手順6. ログインが成功すると、ログイン後のホーム画面が表示されます。
※ユーザー詳細画面が表示される場合がござます。その際は画面を閉じていただいて問題ございません。
D-2. パターン②：複数の端末（会社のPC、共有のPC、Cariotモバイルアプリなど）でCariotをご利用する場合
※認証を行う際は、ログインしようとしているPCの近くにスマートフォンがあることが必要です。また、PCとスマートフォンの両方で「Bluetooth」がONになっていることを確認してください。（物理的に近くにない場合や、BluetoothがOFFの場合は認証ができません）
手順1. 個人プロフィールの設定（右上のプロフィールアイコン）をクリックし、「高度なユーザーの詳細」を選択してください。
手順2. ユーザーの詳細画面より、「セキュリティキー (U2F または WebAuthn)」の右側にある[登録]をクリックしてください。
手順3. 「ID を検証」or「モバイルデバイスを確認」画面に遷移します。設定済みの認証方法で、認証を行ってください。
※もし下記のような画面になった場合は、ユーザーに設定されているメールアドレス宛に「Salesforce で ID を確認」といった件名のメールが届きます。メールの内容を確認し、表示されている確認コードを入力してから「検証」ボタンをクリックしてください。
手順4. MFAの登録を促す画面が表示されます。「Create Passkey」ボタンをクリックします。
手順5. 「スマートフォン、タブレット、またはセキュリティキーを使用する」を選択してください。
手順6. 「iPhone、iPad、またはAndroidデバイス」をクリックします。
手順7. 表示されたQRコードをスマートフォンで読み込み、パスキーの設定を行います。
・iOS の場合：「パスキーを保存しますか？」と表示されたら保存場所を選択して [パスキーを追加] をタップ
・Android の場合：「パスキーを作成する」>「続行」
※ご利用のスマートフォンによって画面表示などが異なる場合がございます
手順8. ログインが成功すると、ログイン後のホーム画面が表示されます。
※ユーザー詳細画面が表示される場合がござます。その際は画面を閉じていただいて問題ございません。
E. 組み込みAuthenticatorの登録：ログイン時に登録を開始する場合
「A. 初期設定」がされていると、組み込みAuthenticatorを登録していないユーザーがログインした場合に、組み込みAuthenticatorの登録が求められるようになります。この場合、ログインに関する一連の操作の中で、組み込みAuthenticatorを登録します。Cariotを操作する環境に合わせて（パターン①1端末 or パターン②複数端末）に合わせて操作を行ってください。
実際の画面はマニュアルと多少異なる可能性がございます。予めご了承くださいませ。
E-1. パターン①：1台の専用端末（自分専用のPCなど）だけでCariotをご利用する場合
手順1. ログイン画面からユーザー名（ログインID）とパスワードを使ってログインします。
手順2. 初めてログインする場合にはメールによるID検証が求められます。
ユーザーに設定されているメールアドレス宛に「Salesforce で ID を確認」といった件名のメールが届きます。メールの内容を確認し、表示されている確認コードを入力してから「検証」ボタンをクリックしてください。
手順3. MFAの登録を促す画面が表示されます。「Create Passkey」ボタンをクリックします。
手順4. 表示される画面の流れに沿って、組み込みAuthenticator（パスキー）を登録します。
| パスキーの登録画面はご利用中の環境によって異なります。 WindowsであればWindows Hello（顔認証・PIN）、MacであればTouch IDなどの画面がポップアップします。画面の指示に従って認証を行ってください。 |
※Microsoft Edgeをお使いで、パスキーの保存先の選択肢が「iPhone、iPad、またはAndroidデバイス」「セキュリティキー」のみの場合は、Windows Helloがセットアップされていない可能性があります。
H. 補足説明：Microsoft Edgeでの設定について にて事前設定を行ってください。
Windows Helloのセットアップが完了していると、下記のような画面が表示されますので、「続行」で設定をしてください。
手順5. ログインが成功すると、ログイン後のホーム画面が表示されます。
E-2. パターン②：複数の端末（会社のPC、共有のPC、Cariotモバイルアプリなど）でCariotをご利用する場合
※認証を行う際は、ログインしようとしているPCの近くにスマートフォンがあることが必要です。また、PCとスマートフォンの両方で「Bluetooth」がONになっていることを確認してください。（物理的に近くにない場合や、BluetoothがOFFの場合は認証ができません）
手順1. ログイン画面からユーザー名（ログインID）とパスワードを使ってログインします。
手順2. 初めてログインする場合にはメールによるID検証が求められます。
ユーザーに設定されているメールアドレス宛に「Salesforce で ID を確認」といった件名のメールが届きます。メールの内容を確認し、表示されている確認コードを入力してから「検証」ボタンをクリックしてください。
手順3. MFAの登録を促す画面が表示されます。「Create Passkey」ボタンをクリックします。
手順4. 「スマートフォン、タブレット、またはセキュリティキーを使用する」を選択してください。
手順5. 「iPhone、iPad、またはAndroidデバイス」をクリックします。
手順6. 表示されたQRコードをスマートフォンで読み込み、パスキーの設定を行います。
・iOS の場合：「パスキーを保存しますか？」と表示されたら保存場所を選択して [パスキーを追加] をタップ
・Android の場合：「パスキーを作成する」>「続行」
※ご利用のスマートフォンによって画面表示などが異なる場合がございます
手順7. ログインが成功すると、ログイン後のホーム画面が表示されます。
F. 動作確認
組み込み Authenticator を使ったMFAを使ってログインができるかを確認します。
F-1. PC内蔵の認証（Windows Hello、MacのTouch IDなど）
手順1. ログイン画面からユーザー名（ログインID）とパスワードを使ってログインします。その際に「ログイン情報を保存する」にチェックを入れてください。
手順2. 組み込み Authenticator による検証が求められるため「Verify Your Identity」をクリックします。
手順3. 保存された組み込みAuthenticator（パスキー）を使用して検証を行います。
手順4. 検証が成功すると✅️（緑のチェック）マークが表示され、ログイン後の画面に遷移します。
F-2. スマートフォンをキーとして認証
手順1. ログイン画面からユーザー名（ログインID）とパスワードを使ってログインします。
手順2. セキュリティキーによる検証が求められるため「Log In With a Passkey」をクリックします。
手順3. 「iPhone、iPad、またはAndroidデバイス」をクリックします。
手順4. 表示されたQRコードをスマートフォンで読み込み、パスキーの認証を行います。
手順5. 認証が成功すると✅️（緑のチェック）マークが表示され、ログイン後の画面に遷移します。
G. パスワードなしのログイン（PC内蔵の認証の場合のみ）
PC内蔵の認証の場合、パスワードを使わずに安全にログインが可能になります。
※ 「F. 動作確認」でログインする際に「ログイン情報を保存する」をチェックしてログインを行っておく必要があります。
ログイン画面が、ユーザー名とパスワードの入力画面ではなく、ログイン情報が保存されたユーザーの一覧になります。
手順1. 保存されたユーザー名として表示されているユーザー名がログインしたいユーザー名であることを確認し、クリックします。
従来通りのユーザー名(ID)とパスワードでログインをする場合、または、別のユーザーでログインをしたい場合は「別のユーザー名でログイン」をクリックしてください。
手順2. 組み込みAuthenticatorを使ってIDを検証し、ログインします。
H. 補足説明：Microsoft Edgeでの設定について
Microsoft Edgeで組み込みauthenticatorを設定する際に、「このサイトではデバイスを使用できません」と表示される可能性があります。
上記のような画面が表示された場合は、PC側の設定を行ってから組み込みauthenticatorの設定を行ってください。
手順1. パソコンの設定を開きます。
手順2. 左側メニューの中の「アカウント」をクリックし、ページをスクロールします。
手順3. ページ下部にある「パスキー」をクリックします。
手順4. 「このデバイスでパスキーを使用するには、Windows Hello PINを設定する必要があります」＞「セットアップ」をクリックします。
手順5. ご希望のサインインオプションをクリックし、「セットアップ」をクリックします。
※ここでは例として「PIN（Windows Hello）」で設定します。
手順6.任意のPINを設定し、「OK」をクリックします。
手順7. Cariotのログイン画面に戻り、ユーザー名/パスワードを入力し、「組み込みauthenticatorを登録」と表示されたら「登録」をクリックします。
手順8. 「パスキーを保存する」と表示されたら、「続行」をクリックします。
手順9. 先ほど手順6でご自身で設定したPINを入力します。
手順10.改めてログイン画面に戻り、ユーザー名・パスワードを入力します。
すると手順9で保存したパスキーが表示されます。
手順11. 下記のような画面に遷移したらログイン成功です。
※下記ような表示になった場合：
アカウント名の右に記載された「ログアウト」をクリックし、ログインをし直すことで設定が完了します。
I. よくある質問
Q.組み込みAuthenticatorによるログインは安全なのですか？
はい。従来のパスワードや標準MFA（Salesforce Authenticatorなど）と比べて安全性が高く、現代の認証方式として標準的かつ強固な仕組みに基づいています。
組み込みAuthenticatorは、端末に内蔵されたWindows HelloやTouch IDなどの生体認証・PINを利用し、パスキーという仕組みでログインします。
パスキーには以下のような特徴があり、これが安全であると言える理由となっています。
-
秘密情報をネットに流さない
パスキーでは公開鍵暗号方式と呼ばれる暗号方式を採用しています。端末の外に出ない「秘密鍵」で署名するだけで認証が完了するため、パスワードのような秘密情報をサーバーに送ることがなく、漏洩の心配がありません。 -
生体認証・PINで秘密鍵を保護
秘密鍵は端末内で厳重に保管されており、使用には顔認証・指紋・PINなど本人確認が必須です。仮に端末を盗まれても秘密鍵単体では使えません。 -
フィッシングサイトで作動しない
パスキーは登録したドメインでのみ動作します。偽サイトへ誘導されても、パスキーは応答しないためフィッシング被害を防ぎます。
| パスワード | 標準MFA（Salesforce Authenticator等） | パスキー | |
| 覚える必要 | あり | なし | なし |
| 漏洩時の影響 | あり（不正ログインに直結） | あり（OTP生成を悪用される恐れ） | なし |
| フィッシング耐性 | 低い | 低い | 高い |
| 使い回しリスク | 起こりがち | 不可能 | 不可能 |
Q.すでにSalesforce AuthenticatorでMFAを設定しています。組み込みAuthenticatorの登録は必要ですか？
はい。システム管理者の場合、フィッシング耐性のあるMFAとして組み込みAuthenticator（またはセキュリティキー）が必須となります。
2026年7月1日からのセキュリティ要件強化に伴い、システム管理者に限り「フィッシング耐性のあるMFA」の導入が義務付けられます。そのため、Salesforce Authenticatorだけでは要件を満たせなくなります。
必ず組み込みAuthenticatorの登録を行ってください。
なお、システム管理者以外のユーザー（Cariot管理者、Cariotユーザー、Cariotドライバー）については、これまで通りSalesforce Authenticatorのみで問題ありません（組み込みAuthenticatorの登録は推奨扱いとなります）。
Q.私の端末では組み込みAuthenticatorが登録できないのですが、どうすればよいでしょうか？
お使いの端末の仕様や、社内のセキュリティポリシー等によっては、組み込みAuthenticatorが利用できない場合があります。その場合は、同様に新要件を満たすことができる「セキュリティキー」の利用をご検討ください。
組み込みAuthenticatorが使えない場合も、フィッシング耐性のあるMFA要件を満たす方法として、以下のようなセキュリティキーがご利用いただけます。
YubiKey（ユビキー）
Titan（タイタン）セキュリティキー
セキュリティキーの詳細、設定については下記のWEBマニュアルページをご覧ください
セキュリティキーはお客様ご自身でご購入いただくか、導入・手配についてご不明な点がある場合は、Cariotカスタマサポート窓口 までお気軽にお問い合わせください。