管理者の2段階認証を設定する

2段階認証をオンにすると、管理者アカウントはパスワードに加えて認証アプリの6桁のコードを入力しないとログインできません。パスワードが流出しても、認証アプリのある端末がなければログインできません。このドキュメントでは、管理者が自分のアカウントに2段階認証を登録する方法、リカバリーコードの扱い方、すべての管理者に2段階認証を必須にする方法を案内します。

始める前に

• 2段階認証は管理者アカウントだけが使えます。一般ユーザーのアカウントには表示されません。
• Google AuthenticatorやMicrosoft AuthenticatorなどのTOTP方式の認証アプリをインストールしたスマートフォンが必要です。
• 登録の途中で現在のパスワードをもう一度入力します。
• 管理者の2段階認証を必須にするポリシーをオンにするには、セキュリティ設定の権限を持つ管理者が先に自分のアカウントに2段階認証を登録する必要があります。

2段階認証画面を開く

管理者ページの/manages/account/mfaが2段階認証画面です。次のいずれからでも開けます。

• 管理者ページ右上のユーザーメニューの2段階認証
• セキュリティ管理 > セキュリティ設定の管理者の2段階認証カードにある設定画面を開く
• ユーザー管理 > ユーザー一覧で自分のアカウントを開き、自分の2段階認証を設定
• ワークスペースのアカウント設定にある2段階認証項目の設定または管理

画面の認証アプリによる2段階認証パネルに、現在の状態がオンまたはオフで表示されます。

2段階認証を登録する

1. 認証アプリによる2段階認証パネルで設定を選択します。
2. 本人確認で現在のパスワードを入力し、次へを選択します。
3. 認証アプリに登録に表示されたQRコードを認証アプリで読み取ります。QRコードを読み取れない場合は、キーをコピーでキーをコピーし、認証アプリに直接入力します。
4. 認証アプリに表示された6桁のコードを入力し、確認を選択します。画面に表示された時間内に確認する必要があり、時間が過ぎると最初からやり直します。
5. リカバリーコードが10個表示されます。コピーまたはファイルに保存で安全な場所に保管します。
6. リカバリーコードを安全な場所に保存しましたにチェックを入れ、完了を選択します。

パネルの状態がオンに変わり、オンにした日付が表示されます。次回のログインから、パスワードのあとに認証コードを求められます。

2段階認証でログインする

1. ログイン画面でIDとパスワードを入力します。
2. 2段階認証画面で、認証アプリに表示された6桁の認証コードを入力し、確認を選択します。
3. 認証アプリを使えない場合は、リカバリーコードを使うを選択し、保存しておいたリカバリーコードを1つ入力します。一度使ったリカバリーコードは再び使えません。

間違ったコードは、パスワードの間違いと同じようにログイン失敗として集計されます。何度も間違えると、セキュリティ設定のログイン保護の基準に従ってログインがしばらくブロックされます。認証画面に長く留まると認証の時間が過ぎ、最初からログインし直す必要があります。

リカバリーコードが残りわずかになると、2段階認証画面に案内が表示されます。リカバリーコードを新しく発行するを参照してください。

リカバリーコードを新しく発行する

1. 2段階認証画面のリカバリーコードで新しく発行を選択します。
2. 認証アプリの6桁のコードを入力し、発行を選択します。このときはリカバリーコードを使えません。
3. 新しいリカバリーコード10個を保存し、完了を選択します。

新しく発行すると、以前のリカバリーコードはすべて使えなくなります。保管していた以前のコードは新しいコードに置き換えます。

2段階認証をオフにする

1. 認証アプリによる2段階認証パネルでオフにするを選択します。
2. 現在のパスワードと、認証アプリの6桁のコードまたはリカバリーコード1つを入力し、オフにするを選択します。

オフにするとパスワードだけでログインでき、保存しておいたリカバリーコードもすべて無効になります。管理者の2段階認証を必須にするポリシーがオンの場合は、オフにしたあとすぐに再登録しないと他の機能を使えません。

すべての管理者に2段階認証を必須にする

1. 先に自分のアカウントに2段階認証を登録します。登録していない状態ではポリシーをオンにできません。
2. セキュリティ管理 > セキュリティ設定で管理者の2段階認証カードを開きます。
3. 管理者の2段階認証を必須にするをオンにします。
4. 右上の保存を選択して確認します。

ポリシーをオンにすると、次のように動作します。

既定値はオフです。ポリシーをオンにしたら、管理者に登録方法を前もって案内します。

他の管理者の2段階認証をリセットする

管理者が認証アプリとリカバリーコードの両方を失った場合は、最高管理者がそのアカウントの2段階認証をリセットできます。

1. ユーザー管理 > ユーザー一覧で該当する管理者を選択します。
2. 2段階認証項目で2段階認証をリセットを選択します。
3. 確認ウィンドウの内容を確認し、リセットを選択します。

リセットすると、そのアカウントの認証アプリの登録とリカバリーコードが削除され、ログイン中だったセッションもすべて終了します。次回のログインはパスワードだけで行い、必須ポリシーがオンの場合はログイン後に再登録が必要です。自分のアカウントはこの方法ではリセットできず、2段階認証をオフにするでオフにします。

すべての管理者がロックされたときに復旧する

2段階認証を通過できる管理者が1人もいない場合は、サーバーにアクセスできる運用者がターミナルでリセットします。ほかのユーザー管理コマンドと同じく、サーバーを停止した状態で実行し、コンソールアクセスパスワードを求められます。

~/setfn-spacebuilder user mfa reset <ユーザーアカウント>

実行条件とサーバーを停止する方法は、コマンドでサーバーを管理するを参照してください。

注意事項

• 2段階認証の登録・解除、リカバリーコードの再発行、他の管理者のリセットは、すべて監査ログの認証領域に記録されます。監査ログを確認するを参照してください。
• 2段階認証を登録またはオフにすると、そのアカウントの他のログインセッションはすべて終了します。パスワードを変更すると、進行中だった2段階認証のログイン段階も無効になります。
• 2段階認証を登録・解除したり、リカバリーコードを新しく発行したりすると、ログインと同意画面を経て接続したAIツール（MCP OAuth接続）も切断されるため、AIツールから再接続します。
• 2段階認証の情報を保護する暗号化キーは、サーバーの設定フォルダのsecrets/admin-mfa/に保存されます。サーバーをバックアップするときは、このフォルダも一緒にバックアップします。復元したサーバーにこのキーがないと、すべての管理者の2段階認証の確認が失敗するため、コマンドで各管理者の2段階認証をリセットしてから再登録します。
• サーバーを再起動すると、進行中だったログインの2段階認証の段階が消えるため、最初からログインし直します。

関連ドキュメント

• セキュリティ設定
• 監査ログを確認する
• アカウント・セキュリティのポリシーを設定する
• コマンドでサーバーを管理する