チームの全メンバーに対して 二段階認証（TOTP）の登録を必須化 できます。有効化すると、対象メンバーは次回ログイン時にMFA登録画面が強制表示され、登録するまで他の操作はできません。
個人での二段階認証の設定は 2段階認証（個人で設定する） をご参照ください。本記事は チーム全員に必須化したい オーナー向けの設定です。
ご利用可能なプラン
本機能は Enterpriseプラン でご利用いただけます。
設定できる人
オーナー権限をもっているユーザーのみ可能です。
有効化する前の事前準備（重要）
オーナー自身がMFAを登録していない状態で有効化すると、次回ログイン時にオーナー自身も操作不能になります。 必ず以下の順で進めてください。
- オーナー自身が 2段階認証（個人） の手順でMFA登録を完了する
- SSOでログインしている場合は、一度 ID/パスワード認証でログインし直し てから自分のMFAを登録（SSO ユーザーはFirebase側でMFA登録不可のため）
- 本設定でチーム全員への必須化を有効化する
未登録のまま有効化しようとすると、保存ボタンは無効化されます。画面の警告メッセージに従って準備を進めてください。
設定の手順
- サイドメニュー [オーナー向け機能] を開く
- 上部タブ [セキュリティ] を選び、[二段階認証（MFA）必須化] カードを開きます
- 「チームメンバーに二段階認証を必須にする」 にチェックを入れます
- 確認文を読み、[保存] をクリック
有効化後の動き
- 対象メンバーは次回ログイン時に MFA登録画面 が強制表示されます
- 登録するまで他の操作はできません
- 登録した認証アプリ（Google Authenticator / Microsoft Authenticator 等）から、ログイン時に毎回TOTPコードを入力します
仕様上、対象外のユーザー
- SSOユーザー（Microsoft Entra ID / SAML 経由）：IdP側でMFAを管理する想定のため対象外です
- メール不要アカウント：TOTPの回復手段が無いため対象外です
例外を指定する（特定のグループ／ユーザーはMFA任意にする）
必須化を有効にしたうえで、MFAを任意にする例外 を指定できます。指定したグループのメンバー、または個別ユーザーには MFA登録画面が強制されません。例えば、認証アプリが用意できない一部の現場メンバーを一時的に対象外にしたいといった運用に活用できます。
例外は必須化が 有効 のときだけ設定欄が表示されます。
設定の手順
- [二段階認証（MFA）必須化] カードで「チームメンバーに二段階認証を必須にする」をオンにします
- 下に表示される 例外設定 エリアで指定します
- 例外グループ：対象から外したいグループを選択（複数選択可）。グループ単位で除外したい場合に使います
- 例外ユーザー：対象から外したい個別ユーザーを選択（複数選択可）
- [保存] をクリック
例外を外したときの動き
- 例外から外されたユーザーは、次回ログイン時に再びMFA必須の対象 になります
- すでにMFAを登録済みであれば、そのまま利用継続できます
- 未登録の場合は、次回ログイン時に登録画面が強制表示されます
例外運用のポイント
- 恒久例外は最小限に：例外は本来「全員必須」が前提です。恒久的に対象外にするのは、運用上どうしても回避できないケースに限るのが安全です
- グループでまとめて指定：現場メンバーが多い・出入りが頻繁な場合は、専用のグループを作って 例外グループ で一括管理すると保守が楽です
- 定期的に棚卸し：四半期に1回など、例外指定が今も妥当かをレビューして外せるユーザー・グループを順次戻すのがおすすめです
- 例外指定の変更も監査ログに記録されます
うまく使うコツ
- SSO主体の運用であれば、IdP側でMFAを必須化することを推奨します（管理が一元化されます）
- 有効化前に、組織内に 事前周知 しておくとサポート問い合わせを減らせます
- メンバーが認証アプリにアクセスできなくなった場合は、オーナーから個別にサポートが必要です（MFA回復手段の運用ルールを決めておくと安心）