いつもお世話になっております。
現在9月1日の管理者/特権ユーザー向けのフィッシング耐性 MFA 必須化に向けてお客様のMFAの設定方法の確認などを進めております。
その中で気になったのがフィッシング耐性MFAに該当する認証方法として挙げられている以下の認証方法です。
- セキュリティキー
- 組み込み Authenticator (Touch ID、Face ID、Windows Hello など)
セキュリティキーは元々MFAに対応する認証手段のため混乱はないのですが、組み込みAuthenticatorについて不安があります。
具体的には「Touch ID、Face ID、Windows Hello など」の認証手段と、Googleアカウントやモバイルデバイスなどに登録する形のパスキーについて、何か違う点があるのか？、
あるいは名前が挙がっていないだけでPINを使うパスキーとして認証情報を保存できるのであれば同じ扱いで良いのか？という点が良くわからず、不安に感じています。
例えば、別の質問で他の方が紹介されていた以下の記事の「パターン2. デスクトップのブラウザから登録～スマートフォンを認証器としてログイン」の方法が、
今回のフィッシング耐性MFAに該当するのであればとても気が楽になるのですが、いかがでしょうか。
https://successjp.salesforce.com/article/NAI-001294
よろしくお願い申し上げます。
@慶一郎 寒河江 さん
「Touch ID、Face ID、Windows Hello など」の認証手段と、Googleアカウントやモバイルデバイスなどに登録する形のパスキーについて、何か違う点があるのか？
Touch ID、Face ID、Windows Hello
- 「本人確認を行う仕組み（Authenticator）」です。
- 生体認証やPINで、端末内に保存された秘密鍵の利用を許可します。
パスキー（Passkey）
- 「認証情報そのもの（公開鍵・秘密鍵のペア）」です。
- Googleアカウント、Appleアカウント(iCloud Keychain)、パスワードマネージャーなどに保存され、複数デバイス間で同期できます。
との違いがあって、別の概念みたいです。 ただSalesforceのフィッシング耐性MFAでは、両者が組み合わさって利用されるため、実運用上はどちらも「パスキー認証」として扱われている感じがしています。（正直なところ私もモヤモヤしています）
私自身はGoogleのパスワードマネージャーを使っていますが、ログイン履歴を見ると
パスワードマネージャーパスキーによるパスワードなしのログイン,成功
と表示されてMFAではログインしてないのですが、問題なく接続できているのも不思議です。
この状態でLightning Loginを設定しようとするとエラーになってしまいます。
どうもMFAを使っていないためのエラーのようですが...
