> ## Documentation Index
> Fetch the complete documentation index at: https://docs.alforse.com/llms.txt
> Use this file to discover all available pages before exploring further.

# 二要素認証

> 6 桁の認証アプリのコードでサインインを保護し、会社全体で必須にして、デバイスを紛失した場合にアクセスを回復します。

二要素認証では、サインインのたびに、認証アプリが生成する 6 桁の時間ベースのコードが求められます。各ユーザーが自分のアプリを登録し、管理者は会社の全員に登録を必須にすることもできます。

## 仕組み

2 つの要素は別々に管理されており、二要素認証に関する疑問の多くは、この区別で説明できます。

| | 範囲 | 管理者 |
| - | - | - |
| **認証アプリ** | 自分のユーザーアカウント。所属するすべての会社で共通 | 本人（登録と削除）。管理者はリセット可能 |
| **要求事項** | 1 つの会社 | 管理者。**設定 → システム → セキュリティ**で設定 |

認証アプリを登録すると、以降のサインインではすべてコードが求められます。会社の要求事項が決めるのは、認証アプリを*持たない*人に設定を強制するかどうかだけです。

## 認証アプリを設定する

Alforse screenshot**アカウント → セキュリティ：QR コード、コピー可能なシークレット、6 つの入力ボックスの検証フィールドを備えた「認証器アプリを追加」ダイアログ**

最初のコードが検証されるまで、何も有効になりません。

**アカウント → セキュリティ**に移動し、\*\*「認証器アプリを追加」\*\*を選択します。

Google Authenticator、1Password、Authy などの TOTP アプリで QR コードをスキャンします。スキャンできない場合は、コードの下に表示されるシークレットをタップしてコピーし、アプリに手動で入力します。

アプリに表示されている現在のコードを 6 つのボックスに入力し、\*\*「検証」\*\*を選択します。コードが受け付けられた時点で初めて二要素認証が有効になります。その前にダイアログを閉じた場合は、何も保存されません。

二要素認証が有効になると、Alforse からすぐに確認メールが送信されます。身に覚えのないメールが届いた場合は、ただちに要素を削除し、管理者に連絡してください。

### コードを求められるサインイン

* **求められる：** マジックリンク、Google、Outlook、パスキーでのサインイン。
* **求められない：** [シングルサインオン](https://docs.alforse.com/ja/docs/reference/single-sign-on.md)。SSO セッションはすでに ID プロバイダーの MFA を通過しているため、Alforse は独自のコード画面を表示しません。

### 認証アプリを削除する

**アカウント → セキュリティ**で要素の横にあるごみ箱アイコンを選択し、現在のコードを入力します。

## 会社で二要素認証を必須にする

**設定 → システム → セキュリティ**を開きます。

**二要素認証の強制**をオンにします。

その後の動作は次のとおりです。

* 要求事項は、各ユーザーの次回のページ読み込み時に適用されます。
* すべての有効な従業員に、変更を知らせるメールが送信されます。
* 認証アプリを持たないユーザーには、全画面の**「認証アプリをセットアップ」**プロンプトが表示されます。同じ QR コードとコードによるセットアップをその場で完了するか、サインアウトするかのどちらかで、プロンプトをスキップすることはできません。
* **ユーザー → アカウント**に**二要素認証**列が追加され、各ユーザーについて**「有効」**または**「未設定」**が表示されます。この列は、会社が二要素認証を必須にしている間のみ表示されます。

NOTE

**要求事項は会社ごと、認証アプリは個人ごと**

2 つの会社に所属していて、そのうち 1 社だけが二要素認証を必須としている場合、登録を求められるのはその会社にいる間だけです。ただし、登録した後は、どちらの会社を開いても、サインインのたびにコードが求められます。管理された環境では、二要素認証は全員に必須で、スイッチはオンに固定されます。SSO セッションは、そこでも対象外のままです。

## 紛失したデバイスを復旧する

Alforse は、印刷用のバックアップコードを発行しません。代わりに、復旧は管理者の操作として行われるため、すべてのリセットは意図的で追跡可能です。

ユーザーの更新権限を持つ管理者が、**ユーザー → アカウント**を開きます。

管理者が、そのユーザーの行のメニューから\*\*「2要素認証をリセット」\*\*を選択します。

ユーザーは通常のマジックリンクでサインインし、新しいデバイスを登録します。

HEADS UP

**リセットは、そのユーザーが所属するすべての会社に適用されます**

認証アプリは、会社のメンバーシップではなくアカウントに属しているため、リセットするとどこからも削除されます。ユーザー管理の権限は、少なくとも 2 人に付与してください。唯一の管理者がスマートフォンを紛失すると、自力で復旧する方法がなくなります。

## 二要素認証の対象外

* **機械によるアクセス。** [APIキー](https://docs.alforse.com/ja/docs/building/api-keys.md)と連携では、認証が求められることはありません。
* **現場の PIN 操作者。** 操作者は共有端末で PIN を入力してサインインし、認証を求められることはありません。二要素認証は、その端末にサインインした人に適用されます。
* **アクセスできる範囲。** 二要素認証が確認するのは、サインインしている本人であることです。サインイン済みのユーザーが開いたり変更したりできる範囲を制限するには、[権限](https://docs.alforse.com/ja/docs/reference/permissions.md)を使用します。

## トラブルシューティング

| 症状 | 原因 | 対処 |
| - | - | - |
| 読み取ったばかりのコードが拒否される。 | スマートフォンの時計がずれている、または別の会社のエントリのコードを読んでいる。 | スマートフォンをネットワーク時刻に設定する。アプリのエントリのラベルで会社名を確認する。 |
| セットアップ画面から進めない。 | 会社が二要素認証を強制していて、本人が認証アプリを持っていない。 | その画面でセットアップを完了する。スマートフォンがない場合、ほかにはサインアウトするしかない。 |
| **ユーザー → アカウント**に**二要素認証**列がない。 | 会社が二要素認証を必須にしていない。 | 強制をオンにすると、列が表示される。 |
| 管理者が強制をオフにできない。 | 会社が管理された環境にある。 | なし。そこでは二要素認証は必須。 |
| パスキーのユーザーがコードを求められる。 | 想定どおり。パスキーは通常のセッションを作成する。 | なし。コードをスキップするのは SSO セッションだけ。 |


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.