概要
このページでは、フィッシング耐性MFA（多要素認証）の一つであるセキュリティキーとして「YubiKey（ユビキー）」を使った場合の、設定と動作確認の手順を紹介します。
目次
| 目次 |
| A. はじめに |
| B. YubiKeyの種類 |
| C. YubiKeyの登録：すでにログイン中の画面から登録を開始する場合 |
| D. YubiKeyの登録：ログイン時に登録を開始する場合 |
| E. 動作確認 |
| F. よくある質問 |
A. はじめに
設定を始める前に、今回登録する「YubiKey（ユビキー）」や、関連する用語について解説します。
Cariotでは、お客様にアカウントを不正ログインから守り、安全にご利用いただくためにMFA（多要素認証）の導入をお願いしています。MFAの方式は、フィッシング詐欺などの高度な攻撃に耐性のある「フィッシング耐性MFA」と、確認コードなどを用いた「標準MFA」に大別されます。
このうち「フィッシング耐性MFA」は、パソコンやスマートフォンに組み込まれている仕組みを利用した「組み込みAuthenticator」と、物理的な「セキュリティキー」があります。今回説明するYubiKeyは、この「セキュリティキー」に該当します。
YubiKeyは、以下のような小型のUSBデバイスです。
|
Cariotでは、システム管理者に対するフィッシング耐性MFAの手段として複数の選択肢を用意しており、以下の基準での選択を推奨しています。
※ 組み込みAuthenticatorやスマートフォンを利用する場合の手順については、「組み込みAuthenticatorの登録」を参照してください。 |
B. YubiKeyの種類
YubiKeyには複数の種類（モデル）が存在します。
ログインに要求される「フィッシング耐性MFA」の基準はすべての種類で満たされています。お使いのパソコンの規格や用途に合わせて選択してください。
（ご参考）YubiKeyラインナップ
https://www.securitykey.yubion.com/yubikey-lineup
特に指定やこだわりがなければ、スタンダードなモデルである「YubiKey 5 NFC」または「YubiKey 5C NFC」を、お使いのパソコンのUSB形状に合わせて選択することをおすすめします。本マニュアルの手順も、この2つのいずれかを使用している前提で解説しています。
YubiKey 5 NFC (USB Type-A) |
YubiKey 5C NFC (USB Type-C) |
|---|---|
それ以外の種類は以下のような用途に向いています。
-
指紋認証を利用してより安全に運用したい場合：
「YubiKey Bio」または「YubiKey C Bio」 -
iPhone/iPadでもログインしたい 場合：
「YubiKey 5 Ci」 -
PCに常時装着し、、持ち運び時の邪魔にならないようにしたい場合：
「YubiKey 5 Nano」または「YubiKey 5C nano」
C. YubiKeyの登録：すでにログイン中の画面から登録を開始する場合
Cariotにログインした状態から登録を開始する手順です。
実際の画面はマニュアルと多少異なる可能性がございます。予めご了承くださいませ。
手順1. 個人プロフィールの設定（右上のプロフィールアイコン）をクリックし、「高度なユーザーの詳細」を選択してください。
手順2. ユーザーの詳細画面にある「セキュリティキー (U2F または WebAuthn)」の右側にある[登録]をクリックしてください。
手順3. 「ID を検証」or「モバイルデバイスを確認」画面が表示されます。設定済みの認証方法で、認証を行ってください。
※ 「IDを検証」画面が表示されている場合、ユーザーに設定されているメールアドレス宛に「Salesforce で ID を確認」といった件名のメールが届きます。メールの内容を確認し、表示されている確認コードを入力してから「検証」ボタンをクリックしてください。
手順4. MFAの登録を促す画面が表示されます。「Create Passkey」ボタンをクリックします。
手順5. 「スマートフォン、タブレット、またはセキュリティキーを使用する」を選択してください。
手順6. 「セキュリティキー」をクリックします。
手順7. お手元のYubiKeyをパソコンのポートに挿入してください。
|
（Macをご利用の場合） |
手順8. （初回のみ）セキュリティキーの暗証番号（PIN）を作成する必要が求められます。
任意のPINを入力してください。
※ 有効なPINは6〜63文字（設定変更で4文字も可）で、英数字・記号・スペースが使用できます。利便性を考えると「4〜8桁の数字」がおすすめです。
PINの入力失敗回数には上限があり、超えるとデバイスがロックされます。「1111」などの推測されやすい番号を避ければ、短い桁数でも安全性が担保されます。
入力後、「OK」ボタンをクリックします。
|
（ご注意） 作成したPINは忘れないよう、厳重に管理してください。 万が一紛失した場合、専用のツール（YubiKey Manager）を使用して再設定することは可能ですが、保存されている資格情報はすべて消去されますのでご注意ください。 なお、本ツールは弊社サポートの対象外となります。恐れ入りますが、お客様ご自身の責任においてご利用いただきますようお願いいたします。 https://www.yubico.com/support/download/yubikey-manager/ |
手順9. パスキーを保存するために「セキュリティキーにタッチしてください。」あるいは「パスキーとセキュリティキー：セキュリティキーを差し込んでタッチしてください。」と表示されます。
手順10. YubiKeyの金属部分に触れてください。
※ ここで行っているタッチは、少量の電荷を送ってキーを起動させるものであり、指紋認証ではありません（指紋認証モデルを除く）
手順11. ホーム画面に遷移すれば、登録完了です。
D. YubiKeyの登録：ログイン時に登録を開始する場合
手順1. ログイン画面からユーザー名（ログインID）とパスワードを使ってログインします。
手順2. 初めてログインする場合にはメールによるID検証が求められます。
ユーザーに設定されているメールアドレス宛に「Salesforce で ID を確認」といった件名のメールが届きます。メールの内容を確認し、表示されている確認コードを入力してから「検証」ボタンをクリックしてください。
手順4. MFAの登録を促す画面が表示されます。「Create Passkey」ボタンをクリックします。
手順5. 「スマートフォン、タブレット、またはセキュリティキーを使用する」を選択してください。
手順6. 「セキュリティキー」をクリックします。
手順7. お手元のYubiKeyをパソコンのポートに挿入してください。
手順8. YubiKeyの挿入を待ち受ける画面になります。
手順9. YubiKeyをお使いのパソコンに挿入し、タッチしてください。
手順10. （初回のみ）YubiKeyを挿入するとセキュリティキーの暗証番号（PIN）を作成する必要が求められます。
任意のPINを入力してください。
※ 有効なPINは最小6文字（設定変更で4文字も可）から最大63文字で、英数字・記号・スペースが使用できます。利便性を考えると4〜8桁の数字が扱いやすいです。PINの入力失敗回数には上限があり、超えるとデバイスがロックされるため、「1111」などの推測されやすい番号を避けていただければ、短い桁数でも一定の安全性が担保されます。
入力後、「OK」ボタンをクリックします。
|
（ご注意） 作成したPINは忘れないよう、厳重に管理してください。 万が一紛失した場合、専用のツール（YubiKey Manager）を使用して再設定することは可能ですが、保存されている資格情報はすべて消去されますのでご注意ください。 なお、本ツールは弊社サポートの対象外となります。恐れ入りますが、お客様ご自身の責任においてご利用いただきますようお願いいたします。 https://www.yubico.com/support/download/yubikey-manager/ |
手順11. （お使いの環境によっては手順11から手順13は省略される場合があります）IDの検証画面がでるため「検証」ボタンをクリックします。
手順12. パスキーの選択で「セキュリティ キー」を選択します。
手順13. 登録したPINを入力します。
手順14. ログインが完了します。
E. 動作確認
YubiKeyを使ったMFAを使ってログインができるかを確認します。
手順1. ログイン画面からユーザー名（ログインID）とパスワードを使ってログインします。
手順2.セキュリティキーによる検証が求められるため「Log In With a Passkey」をクリックします。
手順3. 「セキュリティ キー」をクリックします。
手順4. YubiKeyを挿入し、タッチしてください。
手順5. 認証が成功すると✅️（緑のチェック）マークが表示され、ログイン後の画面に遷移します。
F. よくある質問
Q.複数の組織にログインする場合、組織の数だけYubiKeyを購入する必要がありますか？
いいえ。
1本のYubiKeyに複数のキー（資格情報）を登録することができるため、ログインする組織またはアカウントごとに購入する必要はありません。
Q.YubiKeyは常時パソコンに装着している必要がありますか？
いいえ。
ログインする時にのみ装着していただければ問題ありません。
Q.YubiKeyは指紋認証ですか？
原則として指紋認証ではありません。
YubiKeyシリーズの中で指紋認証に対応したモデルは以下の2つであり、この2つ以外は指紋の識別は行っていません。
- YubiKey Bio
- YubiKey C Bio
Q.複数の利用者がログインする必要がありますが、1本のYubiKeyを使うことができますか？
指紋認証に対応している「YubiKey Bio」「YubiKey C Bio」以外のモデルについては、1本のYubiKeyを複数の利用者で共有可能です。
Q.YubiKeyを紛失してしまいました
YubiKeyの再購入および再登録が必要です。
再登録のために、Salesforce上でセキュリティキーの解除が必要になるため、お問い合わせフォームにてお問い合わせください。
なお、仕組み上、紛失されたYubiKeyの遠隔初期化やリモートリセットは承れませんので、あらかじめご了承ください。