【Salesforce】多要素認証が一部ユーザーだけ見えない時の監査ログと履歴で追う方法

Salesforceで多要素認証(MFA)を有効にしたのに、一部のユーザーだけMFA設定画面が表示されない、あるいはMFAが適用されないという問題が発生することがあります。このような場合、単純な設定ミスから権限やライセンスの問題まで、原因はさまざまです。本記事では、監査ログとログイン履歴を活用して問題の原因を特定し、適切な対処へ導く方法を具体的に解説します。

多要素認証が一部ユーザーに見えない代表的な原因

最初に、MFA画面が見えない、またはMFAが要求されない主な原因を把握しておきましょう。

一般的な原因としては、次の4つが考えられます。

• プロファイルまたは権限セットの設定漏れ: MFAポリシーの適用対象が「すべてのユーザー」になっていない、または特定のプロファイルを除外している場合。
• ユーザー個別のMFA無効化: 管理者がユーザー詳細画面で「多要素認証」を無効にしている場合。
• ログインIP範囲制限や信頼できるネットワーク: 社内ネットワークからのログインはMFA免除になる設定が影響している可能性。
• ライセンスやエディションの制限: 一部のエディションや無料ライセンスではMFAが強制されない場合があります。

これらの原因を切り分けるために、監査ログとログイン履歴が非常に役立ちます。次の章で具体的な確認手順を説明します。

監査ログで設定状況を確認する手順

まずは、管理設定の監査ログからMFAに関する変更履歴を確認しましょう。これにより、いつ、誰が、どのような設定変更を行ったかが分かります。

監査ログのエクスポート方法

1. 設定(歯車アイコン)> 「監査ログ」のクイック検索ボックスに「監査ログ」と入力し、「監査ログ」をクリックします。
2. 「イベントタイプ」で「ログイン履歴」「ポリシー変更」などMFA関連を選択します。ただし、MFAの設定変更は「セッション管理」の変更として記録されることが多いため、「セッション管理」も確認します。
3. 対象期間を設定し、「レポートをエクスポート」をクリックしてCSVファイルをダウンロードします。
4. CSVを開き、[フィールド名]列で「MfaRequired」「MfaExemptUsers」などのキーワードをフィルターします。
5. 変更前後の値を比較して、対象ユーザーが意図せず除外されていないか確認します。

特に「MfaRequired」が「false」に変更されたレコードがある場合、そのタイミングと変更者を特定できます。管理権限を持たないユーザーが変更している場合はセキュリティ上の問題です。

ログイン履歴からMFAの状態を追跡する方法

次に、特定のユーザーのログイン履歴を確認して、MFAが実際に要求されているかどうかを調べます。これにより、設定と実態の乖離を検出できます。

ユーザーのログイン履歴を確認する手順

1. 設定 > 「ユーザー」のクイック検索 > 「ユーザー」を開きます。
2. 対象ユーザーの名前をクリックし、詳細ページを開きます。
3. 「ログイン履歴」関連リストを表示します。表示されない場合は、ページレイアウトに追加します。
4. 各ログイン行の「ログインの種類」列に「MFAで保護」または「MFAなし」と表示されます。直近のログインでMFAが使用されていない場合、問題の可能性があります。
5. また、「ログインIPアドレス」が信頼できるネットワーク範囲内かどうかも確認すると、IP除外の影響を判断できます。

この履歴から、ユーザーがMFAを経由せずにログインしていることが判明した場合、ポリシー設定の見直しが必要です。

管理設定でMFAポリシーを見直す手順

監査ログとログイン履歴で原因が特定できない場合は、現在のMFAポリシーの設定を直接確認します。

セッション管理のMFAポリシーを確認

1. 設定 > 「セッション管理」を検索して開きます。
2. 「多要素認証」セクションで「MFAを要求」の値を確認します。「すべてのユーザー」になっていれば問題ありませんが、「一部のユーザー」や「なし」になっている場合は設定を見直します。
3. 「MFAを免除するユーザー」に該当ユーザーが追加されていないか確認します。解除する場合はリストから削除します。
4. 「信頼できるネットワークからのログインに対するMFAを免除」が有効だと、社内IPからのアクセスでMFAがスキップされます。必要に応じて無効化します。

プロファイルや権限セットでMFAの強制を制御している場合もあるため、「プロファイル」または「権限セット」の「多要素認証の要件」設定も確認してください。

【比較表】ユーザーごとのMFA有効状態の確認方法

以下の表は、MFAが一部ユーザーに見えない問題を調査するための主な確認方法をまとめたものです。

確認方法	確認対象	メリット	デメリット
ユーザー詳細画面の「多要素認証」セクション	個別ユーザーのMFA有効/無効	即座に確認可能、直感的	ポリシーやプロファイルの影響は分からない
セッション管理のMFAポリシー	全体設定と免除ユーザーリスト	ポリシー全体を把握できる	ユーザー個別の状態との関連が分かりにくい
監査ログ(変更履歴)	設定変更の履歴	いつ・誰が変更したか特定できる	少し手間がかかる
ログイン履歴	実際のMFA使用状況	実行動を確認できる	過去のログインのみ、未来予測はできない

失敗パターンと対処法

ここでは、実際によくある失敗パターンとその対処法を具体的に紹介します。

パターン1:管理者が誤ってユーザー個別にMFAを無効にしていた

ユーザー詳細の「多要素認証」セクションで「無効」になっている場合、管理者が意図せずチェックを外した可能性があります。対処として、該当ユーザーの設定を「有効」に変更してください。この変更は即座に反映されます。

パターン2:プロファイルの「MFAを要求」がオフになっている

プロファイル設定で「多要素認証の要件」がオフになっていると、そのプロファイルに属する全ユーザーにMFAが適用されません。プロファイルを編集して「MFAを要求」をオンに設定します。権限セットにも同様の設定があるため、合わせて確認しましょう。

パターン3:信頼できるネットワークの範囲が広すぎる

社内ネットワークのIP範囲を信頼できるネットワークに設定していると、そのIPからのログインではMFAが免除されます。リモートワークなどで自宅IPからログインする場合はMFAが必要ですが、設定によっては社内ネットワークとみなされて免除されることがあります。必要に応じてIP範囲を限定するか、免除機能を無効にします。

よくある質問

Q1. 監査ログをエクスポートする権限がありません。どうすればよいですか?

監査ログのエクスポートには「監査ログの表示」権限が必要です。システム管理者に依頼するか、自分が管理者である場合はプロファイルに権限を追加してください。

Q2. ログイン履歴に「MFAで保護」と表示されないユーザーがいます。どういう意味ですか?

そのユーザーがMFAを経由せずにログインしたことを示します。原因としては、ユーザー個別の設定、プロファイル、IP免除などが考えられます。前述の手順で確認してください。

Q3. MFAポリシーを「すべてのユーザー」にしたのに、一部のユーザーに設定画面が表示されません。

「すべてのユーザー」はデフォルトで全てのユーザーにMFAを要求しますが、ユーザー個別の「MFA無効」やプロファイルの除外設定が優先されます。個別設定を確認してください。

Q4. 監査ログで変更者に「Automated Process」と表示されました。何ですか?

自動化プロセス(例えば、Apexバッチやフロー)による変更です。管理者が意図しない自動変更が原因である可能性があるため、該当の自動化処理を特定して見直す必要があります。

Q5. MFA設定を変更したのに、すぐに反映されないのはなぜですか?

通常は即時反映されますが、キャッシュの影響で数分かかることがあります。また、ユーザーが既にログインしている場合、次回ログイン時から適用されます。強制的に適用するには、ユーザーのセッションを切断する必要があります。

まとめ

Salesforceの多要素認証が一部ユーザーに見えない問題は、監査ログとログイン履歴を活用することで原因を効率的に特定できます。最初にユーザー個別の設定とプロファイルを確認し、次にセッション管理のポリシー全体を見直しましょう。会社PCで作業する場合は、必ずシステム管理者の指示に従い、不必要な設定変更は避けてください。この記事で紹介した手順を参考に、迅速に問題を解決できるようになってください。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。