> ## Documentation Index
> Fetch the complete documentation index at: https://help.comdesk.com/llms.txt
> Use this file to discover all available pages before exploring further.
# 多要素認証（MFA）
> Comdesk Leadの多要素認証（MFA）の仕組みと、管理者による認証ポリシー設定、ユーザーのパスキー登録・ログイン手順について説明します
## 多要素認証（MFA）とは
MFAは、ID・パスワードに加えてもう一つの認証要素を組み合わせることで、なりすましログインのリスクを大幅に減らすセキュリティ機能です。
Comdesk Leadでは、フィッシング耐性の高い **パスキー認証（FIDO2 / WebAuthn）** をご利用いただけます。パスキーは指紋・顔認証・PINなど、お使いの端末の生体認証機能や画面ロックと連携して本人確認を行う仕組みで、従来のパスワードのみの認証よりも安全性に優れています。
万が一メールアカウントやパスワードが第三者に漏えいした場合でも、パスキーが登録されていない端末からのログインを防ぐことができます。
### 誰が設定できるか
* 認証ポリシーの変更は、**システム管理者**、または **カスタムユーザー種別で「セキュリティ管理」の権限が付与されているユーザー** のみ行えます。
* 設定は **テナント全体** に一括で適用されます。ユーザーごと・部署ごとに異なる方式を設定することはできません。
## 設定できる項目一覧
| 項目 | 選択肢 | 内容 |
| ----------- | ------------------------------------------ | --------------------- |
| 多要素認証（MFA） | パスキー認証 / メール認証（ワンタイムPINコード） / MFA無効 | テナント全体に適用する認証方式 |
| MFA記憶期間 | 1セッション / 1日 / 7日間 / 30日間 | 一度認証した後、再度認証を求めるまでの間隔 |
| セッションタイムアウト | 30分 / 60分 / 90分 / 120分 / 240分 / OFF（デフォルト） | 無操作時に自動ログアウトするまでの時間 |
* **パスキー認証**：最も安全性の高い認証方式です。
「メール認証（OTP）へのフォールバックを許可」をオンにすると、共有PC・スマホ非所持者などパスキーでの認証が難しいユーザーが、パスキーを忘れた・使えない場合にメール認証（ワンタイムPINコード）で代替ログインできるようになります。
オフの場合、パスキー以外の方法ではログインできません。
* **メール認証（ワンタイムPINコード）**：メールで届く確認コードを利用する方式です。
* **MFA無効**：多要素認証を利用しない方式です（ID・パスワードのみでログインできます）。
セッションタイムアウトは、多要素認証（MFA）の設定とは別の、独立した項目です。
## 実際の設定手順
管理画面左メニューの「Manage」内、**セキュリティ管理** を開きます（テナント設定とは別のメニュー項目です）。
現在の設定内容（多要素認証／MFA記憶期間／セッションタイムアウト）が一覧表示されます。内容を変更する場合は、左上の **編集** をクリックします。
「セキュリティ管理」の項目編集画面が開きます。
認証方式から以下のいずれかを選択します。
* **パスキー認証**：最も安全性の高い認証方式です。
必要に応じて「メール認証（OTP）へのフォールバックを許可（共有PC・スマホ非所持者向け）」のチェックボックスもオンにできます。
これは、パスキーを忘れた・利用できないユーザーが、メール認証（ワンタイムPINコード）で代わりにログインすることを許可するかどうかの設定です。
* **メール認証（ワンタイムPINコード）**：メールで届く確認コードを利用します。
* **MFA無効**：多要素認証を利用しません。
あわせて「MFA記憶期間」を設定します。「セッションタイムアウト」はMFAとは独立した設定項目で、初期値は「OFF」（自動ログアウトなし）です。必要に応じて時間を設定してください。
内容を確認し、**保存** をクリックします。
### パスキー認証を選択した場合の挙動
* 保存後、次回ログイン時からすべての対象ユーザー（一般ユーザー・管理者を含む）にパスキーの登録・認証が必須となります。
* パスキー未登録のユーザーがログインすると、通常の画面の前に **パスキー登録ウィザード** が表示されます。お使いの端末の生体認証（指紋・顔認証）または画面ロックのPINを使って登録すると、通常のComdesk Lead画面に進めるようになります。登録が完了するまでは、架電・顧客対応などの通常の操作画面はご利用いただけません。
### 設定前にすべきこと
保存した時点で、次回ログインからすぐにポリシーが適用されます。混乱を避けるため、以下を保存前に行うことをおすすめします。
パスキー認証を必須にする場合、いつから対応端末での生体認証・画面ロックが必要になるか、対象ユーザーへあらかじめ案内してください。
この設定はテナント内の全ユーザーに一括で適用されます。一部のユーザーのみに適用する設定項目はありません。
Comdesk LeadのログインIDと、ワンタイムPINコードを受け取りたいメールアドレスが異なる場合は、管理者が「ユーザー管理」画面から対象ユーザーの **編集** を開き、「メールアドレス（認証用）」欄に受信用のアドレスを設定します。
この設定は事前に済ませておく必要があります。未設定のままメール認証を有効にすると、対象ユーザーにワンタイムPINコードが届かず、ログインできなくなります。
## パスキー未登録ユーザーのログイン時の流れ（ユーザーの方向け）
管理者がパスキー認証を必須に設定した後、まだパスキーを登録していない状態でログインすると、通常の画面の前に **パスキー登録ウィザード** が表示されます。
ログイン後、登録ウィザードの案内に従って操作を進めます。
お使いの端末の生体認証（指紋・顔認証）または画面ロックのPINを使って、パスキーを登録します。
登録が完了すると、通常のComdesk Lead画面に進めるようになります。
パスキーの登録が完了するまでは、通常の操作画面（架電・顧客対応など）はご利用いただけません。お手数ですが、初回ログイン時に登録を済ませてください。
## 登録後のログイン方法（ユーザーの方向け）
パスキー登録後は、以下のいずれかの方法で本人確認を行います。
* **ご自身のPCの場合**：画面の指示に従い、指紋認証・顔認証・PINコードのいずれかで本人確認をします（Windows Helloなど、PCに備わっている機能を利用します）。
* **ハードウェアキー（YubiKeyなど）が配布されている場合**：認証時にキーを端末に接続（またはかざす）し、指示に従って認証します。
異なるPCから初めてログインする際は、MFA記憶期間に関わらずパスキー認証が必ず必要です。同じ端末を継続して使う場合のみ、テナントに設定されたMFA記憶期間（1セッション／1日／7日間／30日間）が適用され、期間内はパスワードのみで再ログインできます。
## ログイン中のセッションについて
一定時間操作がないと、自動的にログアウトされます（セッションタイムアウト）。タイムアウトが近づくと「セッションがまもなく終了します」というダイアログが表示され、その後「延長する」をクリックすることでセッションタイムアウトまでの時間が延長されます。
このダイアログが表示された状態で作業を続けたい場合は、**必ず「延長する」をクリックしてください。** クリックしないままにしておくと、自動的にログアウトされてしまいます（保存していない入力内容などは失われる可能性があります）。
* **延長する**：クリックするとセッションが延長され、そのまま操作を続けられます（再度の認証は不要です）。作業を続ける場合は必ずこちらをクリックしてください。
* **ログアウト**：その場で手動ログアウトできます。
タイムアウトまでの時間はテナントの設定（30分〜240分、またはOFF）によって異なります。初期値は「OFF」のため、管理者が時間を設定していないテナントでは、この自動ログアウト機能自体が働きません。
## パスキーが使えなくなった場合（ユーザーの方向け）
パスキーが使えなくなった場合の対応は、テナントの設定によって異なります。
* **「メール認証（OTP）へのフォールバック」が許可されている場合**：ログイン画面でメール認証を選択すると、登録メールアドレス宛にワンタイムコードが届きます。受信したコードを入力することで、パスキーが無くても一時的にログインできます。
* **フォールバックが許可されていない場合**：ご自身や貴社の管理者では復旧できません。**サポートチームへご連絡ください。** サポートチームでの対応後、次回ログイン時に新しいパスキーを再登録します。
## メール認証（ワンタイムPINコード）をご利用の場合
テナントがメール認証（ワンタイムPINコード）方式を設定している場合、またはパスキー認証にメール認証（OTP）へのフォールバックが許可されている場合は、以下の手順でログインします。
ログイン画面でID・パスワードを入力します。
登録メールアドレス宛にワンタイムPINコードが記載されたメールが届きます。
メールに記載されたPINコードをログイン画面の入力欄に入力し、認証を完了します。
PINコードには有効期限があります。時間内に入力できなかった場合や、メールが届かない場合は、ログイン画面の再送機能で新しいコードを取得してください。それでも解決しない場合はサポートチームにお問い合わせください。
Comdesk LeadのログインIDと、ワンタイムPINコードを受け取りたいメールアドレスが異なる場合は、管理者が「ユーザー管理」画面から対象ユーザーの **編集** を開き、「メールアドレス（認証用）」欄に受信用のアドレスを設定できます。
## よくある質問
登録が完了するまで通常の画面には遷移できない仕様です。案内に従って登録を完了してください。うまくいかない場合は管理者にお問い合わせください。
端末ごとにパスキーの登録が必要です。同じ端末であればMFA記憶期間中はパスワードのみでログインできます。
できません。認証方式・記憶期間・セッションタイムアウトはいずれもテナント全体に一律で適用される設定です。
できません。認証方式はテナント全体で一律に適用されます。個別ユーザーのみメール認証に切り替えることはできませんが、パスキー認証にフォールバックを許可すれば、そのユーザーはメール認証で代替ログインできます。
無操作による自動ログアウトが行われなくなります。ログアウトしたい場合は、手動でログアウト操作を行ってください。
***
ご不明な点は、テナントの管理者または Widsley サポートまでお問い合わせください。