Salesforceにログインできないとき。多要素認証とAuthenticatorの設定

公開 更新 書いた人 大林 諒

Salesforceにログインできない原因は、パスワード、ロック、多要素認証（MFA）の端末、ログインURL、管理者がかけた制限のどれかです。この記事では、社員30名ほどの法人向けサービス会社の営業チーム（営業5名・営業マネージャー1名）を例に、原因の切り分け、MFAの登録と機種変更時の再設定、パスワードのリセットとロック解除、ログイン履歴の読み方を書きます。読み終わると、ログインできない人をすぐ戻せる状態と、管理者自身が締め出されない備えができます。管理者側の作業はシステム管理者で行います。MFAの設定と仮の確認コードは全エディションで使え、ログイン時間帯の制限など差があるものはその都度書きます。画面は Lightning Experience で説明し、Classic の画面の説明は読み飛ばしてかまいません。

この記事の内容
  1. ログインできない原因を先に切り分ける
  2. 多要素認証（MFA）とは何か、今の扱い
  3. 先に決めること
  4. 設計表
  5. 作る手順
  6. スマホを機種変更した・アプリを消したとき
  7. パスワードを忘れた・ロックされたとき
  8. ログイン履歴で失敗理由を調べる
  9. 私のドメインのURLと、ログイン画面を間違えたとき
  10. IPアドレスと時間帯の制限
  11. 退職者のログインを止める
  12. 応用
  13. できないことと、その代わり
  14. よく詰まるところ
  15. 次にやること

ログインできない原因を先に切り分ける

まず本人に「画面に何と出ているか」と「どのURLから入っているか」を聞きます。それでも分からなければ、管理者が「ログイン履歴」を見ます。

原因本人の画面で起きること利用者がやること管理者がやること
パスワード違いユーザー名かパスワードが違うと出る「パスワードをお忘れですか?」から再設定する「パスワードのリセット」を送る
ロックされた何度か間違えた後、ログインできなくなるロックアウトの有効期間（既定15分）が過ぎるのを待つユーザーの詳細で「ロック解除」を押す
MFAの端末を変えた・アプリを消したパスワードは通るが、確認の画面から先へ進めない旧端末があればバックアップから復元する。無ければ管理者に連絡する仮の確認コードを出し、古い検証方法を切断する
IPアドレスの制限社外や自宅から入れない社内ネットワークから入るプロファイルの「ログイン IP アドレスの制限」を確かめる
ログイン時間帯の制限決まった時間の外だけ入れない時間内に入るプロファイルの「ログイン時間帯の制限」を確かめる
ユーザーが無効・凍結正しいパスワードでも入れない管理者に連絡するユーザーの「有効」と凍結の状態を確かめる
私のドメインのURL違いログイン画面は出るが通らない、別の会社の画面に飛ぶ会社のログインURLから入り直す「私のドメイン」のURLを全員に配り直す
Sandboxに本番のURLで入っているSandbox のユーザー名が通らないtest.salesforce.com か Sandbox 専用のURLから入るSandbox のログインURLを伝える

聞く順番は、URL、パスワード、MFAです。パスワード違いと思い込んでいても、Sandbox や古いブックマークを開いているだけのことがよくあります。

多要素認証（MFA）とは何か、今の扱い

パスワードの次にもう1つ確かめる仕組み

多要素認証は、ユーザー名とパスワードに加えて、本人しか持っていないものでもう一度確かめる仕組みです。Salesforceが直接ログインのMFAで使える検証方法は次の4種類です。

検証方法中身強さの区分向いている人
パスキー（組み込み Authenticator）Touch ID・Face ID・Windows Hello・パスワードマネージャーなどフィッシング耐性管理者。PCの指紋や顔認証で入る人
セキュリティキー（パスキー）YubiKey や Titan などのUSB機器フィッシング耐性管理者の予備。スマホを持てない職場
Salesforce AuthenticatorSalesforce の無料スマホアプリ。通知をタップして承認する標準営業など一般のユーザー
サードパーティの認証アプリGoogle Authenticator、Microsoft Authenticator、1Password などのTOTPコード標準すでに別の認証アプリを使っている人

公式ヘルプは、2つ以上の検証方法を登録するよう強く勧めています。メールやSMSのワンタイムパスワードは Experience Cloud サイトの社外ユーザー向けで、社内の営業は使えません。

必須化の扱い

公式ヘルプでは、Salesforceが2026年の夏にMFA要件を適用すると案内されています。ナレッジ記事「全従業員ユーザーに対するMFA（多要素認証）の適用準備」によると、対象は本番と Sandbox の両方、直接のUIログインとシングルサインオンの両方で、日本と韓国のリリースグループの適用日は2026年9月1日です。適用後は次のように変わります。

  • 「ID 検証」の「Salesforce 組織へのすべての直接 UI ログインに多要素認証 (MFA) が必要」がオンになる。公式は解除できないとする一方、猶予期間の案内では一時的に外せるとも書いている。外しても特権ユーザーは免除されない
  • 「除外ユーザーの多要素認証を放棄」権限を持つユーザーも登録を求められる。除外を続けるには Salesforce サポートの承認が要る
  • 未登録のユーザーは、次のログインで登録を求められる
  • 新しく登録する人には、まずパスキーの作成が勧められる
  • トライアルから契約に移った組織には、30日間の猶予期間が付かない

管理者は Salesforce Authenticator では足りない

もう1つのナレッジ記事「システム管理者を含む特権ユーザーに対するフィッシング耐性のある多要素認証（MFA）の適用準備」によると、システム管理者プロファイルを持つユーザーと、「すべてのデータの編集」「すべてのデータの参照」「アプリケーションのカスタマイズ」「Apex 開発」のどれかを持つユーザー（権限セット経由も含む）は、パスキーかセキュリティキーが必須です。Salesforce Authenticator とTOTPアプリは要件を満たしません。

見落としやすいのは、営業マネージャーにレポートを全件見せたくて「すべてのデータの参照」を権限セットで付けている場合です。マネージャーも特権ユーザーになり、スマホのアプリでは入れなくなります。権限は「プロファイルと権限セットの違い。Salesforceの権限の付け方」のとおり必要な範囲に絞ります。

先に決めること

ここを決めずに始めると、管理者が休んだ日に誰も戻せなくなります。

誰にどの検証方法を使わせるか

例の営業チームでは、営業5名と営業マネージャーは Salesforce Authenticator、管理者はパスキーとセキュリティキーに分けます。営業は外出先でも通知をタップするだけで済み、管理者は特権ユーザーなのでPCの指紋認証か顔認証のパスキーを主にし、セキュリティキーを予備にします。

管理者を2人置く

締め出されたユーザーを戻せるのは、仮の確認コードを出せる人だけです。公式ヘルプには、唯一のシステム管理者がMFAで締め出されたら Salesforce カスタマーサポートに問い合わせる、と書かれています。その間、営業は誰も戻せません。実際に回っている会社では、代表と管理担当の2人をシステム管理者にし、片方が入れなくなったらもう1人が戻します。管理者を増やせない場合は、一般ユーザーの1人に後で書く「ユーザーインターフェースで MFA を管理」権限だけを付けます。

機種変更のときの手順を社内で決めておく

スマホを買い替える前に本人がバックアップを取る、という1行を社内のルールにします。バックアップがあれば管理者の手を借りずに移せます。

設計表

例の営業チームの設定です。

対象主の検証方法予備締め出されたときに戻す人
営業5名Salesforce Authenticatorなし（管理者が仮の確認コードで戻す）管理者2名
営業マネージャーSalesforce Authenticatorサードパーティの認証アプリ管理者2名
管理者（代表）パスキー（PCの指紋認証）セキュリティキーもう1人の管理者
管理者（管理担当）パスキー（パスワードマネージャーの同期パスキー）セキュリティキー代表

確かめる設定の場所です。

設定場所例の会社での値
全員へのMFA「設定」→「ID 検証」「Salesforce 組織へのすべての直接 UI ログインに多要素認証 (MFA) が必要」がオン
パスキーを使えるようにする「設定」→「ID 検証」組み込み Authenticator（パスキー）の項目をオン
パスワードの決まり「設定」→「パスワードポリシー」既定のまま（8文字以上・英字と数字・90日で期限切れ）
MFAを任せる人権限セット「ユーザーインターフェースで MFA を管理」を管理担当に付ける
ログインURL「設定」→「私のドメイン」全員に私のドメインのURLを配る

作る手順

1. 組織のMFA設定を確かめる

  1. 画面右上の歯車アイコンから「設定」を開きます。Starter の組織では歯車アイコンから「高度な設定を開く」を選びます。
  2. 「クイック検索」に「ID」と入力します。
  3. 「ID 検証」を選びます。
  4. 「Salesforce 組織へのすべての直接 UI ログインに多要素認証 (MFA) が必要」にチェックが入っていることを確かめます。
  5. 入っていなければチェックを入れ、「保存」をクリックします。
「ID 検証」の画面。MFAを必須にするチェックボックスと、パスキーを使えるようにするチェックボックス
「ID 検証」の画面。MFAを必須にするチェックボックスと、パスキーを使えるようにするチェックボックス

変更には「アプリケーションのカスタマイズ」権限が要ります。適用後はチェックが入り、外す前提では考えません。

2. パスキーとセキュリティキーを使えるようにする

  1. 同じ「ID 検証」の画面を開きます。
  2. 「ユーザーが Touch ID や Windows Hello などの組み込み Authenticator (パスキー) を使用して ID を検証できるようにする」にチェックを入れます。
  3. 同じ画面のセキュリティキー（U2F または WebAuthn）を使えるようにする項目にもチェックを入れます。
  4. 「保存」をクリックします。

MFAが適用された組織では、パスキーは自動で有効になり、オフにできません。この2つは組織の全員が使えるようになり、管理者だけに絞ることはできません。

3. 管理者がパスキーを作る

管理者は営業より先に、自分のパスキーを作ります。

  1. Salesforce にログインした状態で、右上のアバターから「設定」（個人設定）を開きます。
  2. 「クイック検索」に「パスキー」と入力し、「パスキー」を選びます。
  3. 「パスキーを追加」をクリックします。
  4. 本人確認を求められたら、今使っている方法で確かめます。
  5. 「Create Passkey」をクリックします。
  6. ブラウザーやPCの案内に従い、指紋や顔、PCのPINで保存を終えます。
個人設定の「パスキー」ページ。「パスキーを追加」ボタンのある状態
個人設定の「パスキー」ページ。「パスキーを追加」ボタンのある状態

パスキー優先の登録画面は今のところ英語表示だけと公式に書かれていて、「Create Passkey」は英語のまま出ます。「パスキー」のページが無ければ、個人設定の「高度なユーザーの詳細」の組み込み Authenticator の欄から追加します。

パスキーには、作ったPCでしか使えないもの（デバイスバインド）と、パスワードマネージャーで端末間に同期されるもの（同期パスキー）があります。複数のPCで管理作業をするなら、同期パスキーにするか、セキュリティキーを1本用意します。デバイスバインドのパスキーを2台目のPCで作るには、そのPCでの最初のログインに別の検証方法か仮の確認コードが要ります。セキュリティキーも同じ「パスキー」のページで追加します。挿し込むのが遅れるとタイムアウトするので、手元に用意してから始めます。

4. 営業が Salesforce Authenticator を登録する（初めてのログイン）

未登録の営業がログインすると、検証方法を選ぶ画面が出ます。営業には次の手順を渡します。

  1. スマホに Salesforce Authenticator を入れます。iPhone は App Store、Android は Google Play から入れます。
  2. PCのブラウザーで Salesforce にユーザー名とパスワードでログインします。
  3. 検証方法を選ぶ画面が出たら「Salesforce Authenticator」を選び、「続行」をクリックします。
  4. スマホでアプリを開きます。初めて開いたときに「アカウントの接続が初めてか」と聞かれたら「はい」をタップします。
  5. アプリで「アカウントの接続」をタップします。2語の語句が表示されます。
  6. PCの画面の「2 単語の語句」欄にその語句を入力し、「接続」をクリックします。
  7. スマホのアプリで「接続」をタップします。

登録すると本人にメールが届きます。以後はパスワードを入れるとスマホに通知が来て、承認をタップすれば入れます。別のサービスでアプリを使っている人は、開いたときに出る6桁のコードではなく、アカウントを追加して2語の語句を出します。パスキーを勧める画面が先に出た場合は、別の方法を選ぶリンクから Salesforce Authenticator を選びます。

5. ログイン済みの人が後から Salesforce Authenticator を接続する

すでに別の方法で入れる人が、Salesforce Authenticator を足すときの手順です。

  1. 右上のアバターから「設定」（個人設定）を開きます。
  2. 「クイック検索」に「高度なユーザーの詳細」と入力して選びます。見つからなければ「個人情報」を選びます。
  3. 「アプリケーション登録: Salesforce Authenticator」の横の「接続」をクリックします。
  4. 求められたら、もう一度ログインするか、メールで届いたコードを入れます。
  5. 「Salesforce Authenticator を接続」の画面が出たら、手順4の4〜7と同じようにアプリで2語の語句を出して入力します。
「高度なユーザーの詳細」の「アプリケーション登録: Salesforce Authenticator」と「接続」リンク
「高度なユーザーの詳細」の「アプリケーション登録: Salesforce Authenticator」と「接続」リンク

1人のユーザーに接続できる Salesforce Authenticator は、一度に1つだけです。

6. ほかの認証アプリ（TOTP）を登録する

営業マネージャーの予備として、Microsoft Authenticator などのTOTPアプリを足します。

  1. スマホかPCに、TOTP（IETF RFC 6238）に対応した認証アプリを入れます。
  2. 個人設定の「高度なユーザーの詳細」を開きます。
  3. 「アプリケーション登録: ワンタイムパスワード認証」の横の「接続」をクリックします。
  4. 求められたら、もう一度ログインします。
  5. 認証アプリで、画面に出たQRコードを読み取ります。読み取れなければ「QR コードをスキャンできません」をクリックし、表示されたキーをアプリに入力します。
  6. アプリに出た今のコードを「確認コード」欄に入れます。
  7. 「接続」をクリックします。

TOTPアプリも、1人に一度に1つだけ接続できます。

7. Salesforce Authenticator のバックアップを取る

機種変更に備えて、営業全員に登録直後にやってもらいます。

  1. スマホで Salesforce Authenticator を開きます。
  2. 通知アイコンから「Enable Backups」、または設定アイコンから「Back Up Accounts」をタップします。
  3. メールアドレスを入力し、「コードを送信」をタップします。
  4. 届いたメールの6桁のコードを入力し、「検証」をタップします。
  5. 4桁以上のパスコードを決めて、2回入力します。

バージョン4.0以降のアプリはメールアドレスでバックアップします。パスコードは復元で要り、10回間違えるとバックアップが消えます。

8. 特定のユーザーだけ先にMFAを試す

MFAの適用前の組織や Sandbox で、全員に広げる前に数人で試すときは、権限で個別に有効にします。

  1. 「設定」の「クイック検索」で「権限セット」を開きます。
  2. 「新規」で「MFA試行」などの名前の権限セットを作ります。
  3. 「システム権限」で「ユーザーインターフェースログインの多要素認証」にチェックを入れて保存します。
  4. 「割り当ての管理」から、試す営業2名に割り当てます。

本番組織の内部ユーザーにはMFAが自動で有効になるため、本番ではこの権限は要らないと公式に書かれています。本番は手順1の設定だけで足ります。

9. MFAの対応を任せる人に権限を付ける

  1. 新しい権限セットを作り、「MFAサポート」などの名前を付けます。
  2. 「システム権限」で「ユーザーインターフェースで MFA を管理」にチェックを入れて保存します。すぐ近くにある「ユーザーインターフェースログインの多要素認証」は、ログインのときにMFAを求める別の権限なので、取り違えないようにします。
  3. 管理担当と、管理者の代わりに対応する人に割り当てます。

この権限で、仮の確認コードの発行、検証方法の切断、「ID 検証履歴」の参照ができます。公式ヘルプは、システム管理者でもこの権限が要るとしています。

スマホを機種変更した・アプリを消したとき

旧スマホが手元にある

本人だけで済みます。

  1. 旧スマホのアプリでバックアップを取っていることを確かめます（手順7）。
  2. 新しいスマホに Salesforce Authenticator を入れます。
  3. 最初の画面で「バックアップからの復元」をタップします。
  4. 「Restore with Email Address」をタップし、バックアップに使ったメールアドレスを入れます。
  5. 届いたコードを入れ、バックアップのパスコードを入れます。

復元すると、旧スマホではそのアカウントを使えなくなります。すでにアカウントが接続されているスマホには復元できません。

バックアップが無いときは、旧スマホで入れる間に、個人設定の「高度なユーザーの詳細」で「アプリケーション登録: Salesforce Authenticator」の「切断」を押し、旧スマホのアプリでアカウントを左にスワイプして削除します。その後、新しいスマホで手順5をやり直します。Salesforce Authenticator だけを登録していた場合は、次のログインで別の方法の登録を求められます。

旧スマホが無い（壊れた・アプリを消した・初期化した）

管理者の作業になります。公式ヘルプが勧める順番は、仮の確認コードを出す、検証方法を切断する、本人が登録し直す、仮の確認コードを期限切れにする、です。

  1. 「設定」の「クイック検索」で「ユーザー」を開きます。
  2. 対象の営業の名前をクリックします。名前の横の「編集」は押しません。
  3. 「仮の確認コード」の横の「生成」をクリックします。
  4. 求められたら、管理者自身の本人確認をします。
  5. 有効期限を1〜24時間から選び、「コードを生成」をクリックします。
  6. 表示されたコードを、電話や対面で本人に伝えます。
  7. 「完了」をクリックします。
  8. 同じ画面の「アプリケーション登録: Salesforce Authenticator」の横の「切断」をクリックします。
ユーザーの詳細画面。「仮の確認コード」の「生成」と、「アプリケーション登録: Salesforce Authenticator」の欄
ユーザーの詳細画面。「仮の確認コード」の「生成」と、「アプリケーション登録: Salesforce Authenticator」の欄

本人はパスワードの後にこのコードを入れて入り、新しいスマホで手順5の接続をやり直します。済んだら、管理者は同じ画面から仮の確認コードを期限切れにします。

「完了」を押すとコードは二度と表示されず、メールでも送られません。押す前に伝え終えます。コードは期限まで何度でも使え、1人に同時に1つ、1時間に6つまで出せます。無効のユーザーには出せず、管理者が本人の代わりに登録することもできません。スマホを盗まれた・落とした場合は、公式ヘルプはさらに、今のセッションの削除と、ふだんと違う動きが無いかの確認を勧めています。

パスキーやTOTPアプリの場合

同じユーザーの詳細画面で、パスキーは「組み込み Authenticator」の欄の「削除」、TOTPアプリは「アプリケーション登録: ワンタイムパスワード認証」の「切断」、セキュリティキーは「セキュリティキー (U2F または WebAuthn)」の「切断」で外します。どれも、同じ種類の新しい方法を登録する前に、古いものを外す必要があります。

パスワードを忘れた・ロックされたとき

本人が再設定する

  1. ログイン画面の「パスワードをお忘れですか?」をクリックします。
  2. ユーザー名を入れ、「続行」をクリックします。
  3. 個人設定のメールアドレスに届いたメールのリンクを開きます。
  4. MFAの確認か、セキュリティの質問への回答を済ませます。
  5. 新しいパスワードを入れます。

リンクの期限は24時間です。再設定ではMFAかセキュリティの質問が求められるので、MFAを求められてスマホも無い場合は、本人だけでは戻れません。先に仮の確認コードを出してもらいます。

管理者がリセットする

  1. 「設定」の「クイック検索」で「ユーザー」を開きます。
  2. 対象のユーザー名の左のチェックボックスにチェックを入れます。
  3. 「パスワードのリセット」をクリックします。

本人にリセット用のメールが届き、ロック中ならロックも外れます。セキュリティトークンも新しくなるので、データローダなどでトークンを使う人は入り直しが要ります。

ロックを解除する

  1. 「設定」の「ユーザー」で、ロックされたユーザーの名前をクリックします。
  2. 「ログインの失敗回数」で、何回失敗したかを確かめます。
  3. 「ロック解除」をクリックします。

「ロック解除」はロック中にしか出ません。ロックまでの回数は「パスワードポリシー」の「ログイン失敗によりロックするまでの回数」、自動で外れるまでの時間は「ロックアウトの有効期間」（既定15分）で決めます。パスワードポリシーの既定は、8文字以上・英字と数字を含む・90日で期限切れです。期限切れはログイン時に変更を求められるだけで、締め出されはしません。

ログイン履歴で失敗理由を調べる

本人の説明で原因が分からないときは、ログイン履歴を見ます。

  1. 「設定」の「クイック検索」に「ログイン履歴」と入力して選びます。
  2. 一覧で、対象のユーザー名とログイン時刻の行を探します。
  3. 状況の列で、成功か、どの理由で失敗したかを読みます。
  4. 「アクセス元 IP」と「アプリケーション」の列で、どこから何を使って入ろうとしたかを確かめます。
「ログイン履歴」の一覧。ユーザー名・ログイン時刻・アクセス元 IP・状況の列が見える状態
「ログイン履歴」の一覧。ユーザー名・ログイン時刻・アクセス元 IP・状況の列が見える状態

画面には過去6か月分が最大20,000件まで出ます。それ以上はCSVかGZIPを選んで「今すぐダウンロード」をクリックします。「すべてのログイン」を選ぶとAPI経由も入ります。見るには「ログイン履歴の監視」か「ユーザーの管理」の権限が要ります。ヘルプの対象エディションは Professional・Enterprise・Unlimited などで、Starter と Pro Suite は記載がありません。

ダウンロードしたファイルの「ログイン状況」列はコードで出ます。よく見るものです。

コード意味当てはまる原因
0ログインに成功しました本人はすでに入れている
102・20037ユーザー名が見つからないか、パスワードが無効ですパスワード違い、ユーザー名違い
501指定されたドメインからログインできませんIPアドレスの制限
502指定された時刻にログインしてくださいログイン時間帯の制限
503ユーザーは組織ドメインからログインする必要があります私のドメインのURL違い
20014パスワードのロックアウトが有効になっていますロックされた
20018ユーザーが無効としてマークされていますユーザーが無効

毎日ロックされ、API 経由の失敗が並んでいるときは、古いパスワードのままの連携ツールが試し続けています。ツール側を直すまで繰り返します。

私のドメインのURLと、ログイン画面を間違えたとき

すべての組織には「私のドメイン」があり、本番のログインURLは https://会社の名前.my.salesforce.com の形です。login.salesforce.com からも入れますが、会社のログインポリシーで止めていると入れません。その画面から会社のURLへ移るには、「カスタムドメインを使用」をクリックしてドメイン名を入れます。

自社のURLは「設定」の「私のドメイン」で確かめます。同じ画面の「ルーティングおよびポリシー」の「編集」で「https://login.salesforce.com および https://welcome.salesforce.com からのログインを防止」を選ぶと、全員が私のドメインのURLから入る形にそろいます。

入ろうとしている先使うURL
本番組織私のドメインのURL、または https://login.salesforce.com
Sandbox会社の名前--Sandbox名.sandbox.my.salesforce.com、または https://test.salesforce.com

Sandbox は作成や更新の後、test.salesforce.com から入れるまで24〜48時間かかることがあり、その間は専用のURLから入ります。私のドメインの名前を変えるとログインURLも変わるので、全員のブックマークを直してもらいます。

IPアドレスと時間帯の制限

ログイン IP アドレスの制限は、プロファイルの「ログイン IP アドレスの制限」に許可する範囲を足す設定です。1つでも範囲を入れると、それ以外からのログインは拒否され、全部消すとどこからでも入れます。プロファイルで管理できるのは Enterprise・Unlimited などで、Professional は「プロファイルとページレイアウトの編集」のアドオンが無ければ組織全体の「ネットワークアクセス」だけです。「ネットワークアクセス」の信頼済み IP 範囲はログインを止めず、範囲の外で本人確認を求めるだけです。

ログイン時間帯の制限は、プロファイルの「ログイン時間帯の制限」で曜日ごとに決めます。使えるのは Enterprise・Performance・Unlimited・Developer で、Professional では使えません。時間が切れると、画面は見えても操作できなくなります。

退職者のログインを止める

ユーザーは削除できず、無効化します。「設定」の「ユーザー」で「編集」をクリックし、「有効」のチェックを外して保存します。リードの既定の所有者などになっていて無効化できないときは、ユーザーの詳細で「凍結」を押してログインだけ止めます。凍結ではライセンスは空きません。公式ヘルプは、退職者の検証方法をすべて切断することも勧めています。

応用

検証方法の登録状況を一覧で見る

「ユーザーインターフェースで MFA を管理」の権限があると、「ID 検証履歴」から検証方法のレポートを開けます。予備の方法を登録していない人を見つけて、登録してもらいます。

問い合わせ先をパスワードの画面に出す

「パスワードポリシー」の「メッセージ」と「ヘルプリンク」に社内の連絡先を入れると、リセットできなかった人へのメールと秘密の質問の画面に出ます。

できないことと、その代わり

できないこと代わりの手
管理者が本人の代わりに検証方法を登録する仮の確認コードで入ってもらい、本人に登録してもらう
MFAの適用後に組織全体のMFAを止め続ける公式は解除できないとしている。自動テストなどの除外は Salesforce サポートに承認を求める
特権ユーザーが Salesforce Authenticator やTOTPアプリで入るパスキーかセキュリティキーを登録する。広い権限を一般ユーザーに配らない
仮の確認コードを後から見直す期限切れにして出し直す
1人に Salesforce Authenticator を2台つなぐ1台にし、予備はTOTPアプリかパスキーにする
唯一の管理者が締め出されたときに社内で戻す管理者を2人にする。戻せなければ Salesforce カスタマーサポートに問い合わせる
Professional でログイン時間帯を制限する時間外の利用は社内ルールで止める

よく詰まるところ

症状原因直し方
仮の確認コードの「生成」が見つからないユーザー名の横の「編集」から開いているユーザーの名前そのものをクリックして詳細画面を開く
管理者がスマホのアプリで入れなくなった特権ユーザーにフィッシング耐性のMFAが必須になったパスキーかセキュリティキーを登録する
営業マネージャーだけパスキーを求められる「すべてのデータの参照」などを権限セットで持っている権限を絞るか、マネージャーにもパスキーを作ってもらう
機種変更後、通知が旧スマホに届く復元か切断をしていないバックアップから復元するか、管理者が切断して再接続する
新しいスマホで「接続」すると、すでに接続済みと出る1人に接続できる Salesforce Authenticator は1つだけ古い接続を切断してから接続する
2台目のPCでパスキーが使えないデバイスバインドのパスキーを作った同期パスキーかセキュリティキーにするか、PCごとにパスキーを作る
TOTPのコードが通らないスマホの時計がずれている時刻を自動設定にし、最新のコードを入れる
「パスワードをお忘れですか?」で再設定できないMFAの端末も失くしている管理者が仮の確認コードを出してから再設定する
毎朝ロックされる連携ツールが古いパスワードで試し続けているログイン履歴の API の行からツールを特定してパスワードを直す
正しいパスワードなのに入れない別の組織や Sandbox のURLを開いている私のドメインのURLから入り直す
社外からだけ入れないプロファイルにログイン IP アドレスの制限がある範囲を足すか、社内から入る

次にやること

ログインが安定したら、営業が毎日使う画面を整えます。最初の設定は「Salesforceの使い方入門。取引先・取引先責任者・商談のつながりと最初の設定」にまとめています。営業マネージャーにどこまで見せるかを権限セットで組み直すなら「プロファイルと権限セットの違い。Salesforceの権限の付け方」、そもそもどの機能を自社で設定するかの全体像は「Salesforceとは。できることと、自社で設定するときの全体像」に書いています。見せたくないデータを権限と入力規則で守る話は「Salesforceの入力規則とアクセス権。入力漏れと見せたくないデータを防ぐ」へ進みます。

あわせて読む

画面に出てくる言葉の意味はSalesforce用語集で引けます。