Google Workspace で2段階認証を全社員に必須にする手順と注意点
管理コンソールの「セキュリティ」→「認証」→「2 段階認証プロセス」で、ユーザーが有効にできるようにしたうえで「適用」を設定すると、全社員に必須にできます。いきなり全員に適用せず、登録期間を設けて周知し、レポートで未登録の人を確かめてから適用するのが安全です。
パスワードが漏れても、2段階認証があればアカウントの乗っ取りを防ぎやすくなります。Google Workspace では、管理者が全社員に2段階認証（Google の表記では「2 段階認証プロセス」）を必須にできます。
全体の流れ
- ユーザーが2段階認証を有効にできるようにする
- 社員に、適用する日と登録の手順を知らせる
- レポートで、登録が済んでいない人を確かめる
- 「適用」を設定して必須にする
- ロックアウトしたときの対応を決めておく
いきなり全社に適用せず、まず管理者や情報システム担当の組織部門だけで試すと安心です。適用の範囲は組織部門やグループ単位で分けられ、グループの設定は組織部門の設定より優先されます。
手順1：有効にできるようにする
特権管理者で管理コンソールにログインし、「セキュリティ」→「認証」→「2 段階認証プロセス」 を開きます。
「ユーザーが 2 段階認証プロセスを有効にできるようにする」をオンにし、「適用」は「強制しない」のまま保存します。これだけでは必須にはならず、社員が自分で設定できる状態になるだけです。
手順2：使わせる方法を決める
2段階目に使える方法は次のとおりです。
| 方法 | 特徴 |
|---|---|
| パスキー・セキュリティ キー | フィッシングに強い。いちばん安全 |
| Google からのメッセージ | スマホに届く通知で「はい」を押す |
| 確認コード生成ツール（Google 認証システムなど） | アプリに表示されるコードを入力する |
| テキスト メッセージ・電話 | SMS や音声通話でコードを受け取る。Google は SMS を推奨していない |
| バックアップ コード | スマホが使えないときの予備 |
同じ画面の「方法」で、使える方法を絞れます。
- 制限なし
- テキスト メッセージや音声通話で受け取った確認コード以外
- セキュリティ キーのみ（パスキーも使える）
SMS や音声で登録している社員がいるまま方法を絞ると、その人は適用後にログインできなくなるおそれがあります。絞る場合は、先に別の方法へ切り替えてもらってください。「セキュリティ キーのみ」にすると、社員は自分でバックアップ コードを作れなくなります。
手順3：登録状況を確かめる
「レポート」→「ユーザー レポート」→「セキュリティ」 で、社員ごとの状況を確かめられます。
| 列 | 分かること |
|---|---|
| 2 段階認証プロセスの登録 | 本人が登録を済ませたか |
| 2 段階認証プロセスの強制適用 | 登録が義務になっているか |
| 2 段階認証プロセスによる保護 | いま2段階認証やパスキーで守られているか |
「保護」の列は、登録の猶予期間中の人なども「保護されています」と表示されることがあります。必須にする前の確認には「登録」の列を使ってください。
レポートには最大で48時間ほどの遅れが出ることがあります。直前に登録した人は、ユーザーごとのセキュリティの画面で確かめてください。
手順4：「適用」を設定する
「2 段階認証プロセス」の画面の 「適用」 で、次のどちらかを選びます。
- 今すぐ強制：すぐに適用が始まる
- 指定した日付から適用を有効にする：選んだ日から24〜48時間のうちに適用が始まる。時刻まで合わせたい場合は「今すぐ強制」を使う
あわせて 「新しいユーザーの登録期間」 を決め、保存します。1日から6か月の間で選べ、その期間は新しく入った社員がパスワードだけでログインして、2段階認証を登録できます。たとえば1〜2週間にしておき、入社の初日に登録を案内すると運用しやすくなります。
手順5：ロックアウトに備える
スマホの紛失や機種変更でログインできなくなった社員には、ユーザーを管理する権限を持つ管理者が バックアップ確認コード を取得して渡します。
- 管理コンソールで「ディレクトリ」→「ユーザー」を開き、対象の社員を選ぶ
- 「セキュリティ」→「2 段階認証プロセス」を開く
- 「バックアップ確認コードを取得」を押し、表示されたコードを本人に安全な方法で伝える
本人は、パスワードとこのコードでログインして、2段階認証を登録し直します。対象が管理者アカウントの場合は、特権管理者しか取得できません。方法を「セキュリティ キーのみ」にしている場合は、このコードを使える猶予期間の設定も関係するため、管理者ヘルプの手順を確かめてください。
なりすましの依頼に備え、本人からの依頼かどうかを電話や対面で確かめてからコードを渡す運用にしておくと安心です。
管理者アカウントは、Google も必須化を進めている
Google は、管理者アカウントへの2段階認証の適用を、数年かけて段階的に進めると案内しています。対象になる組織には、特権管理者には約90日前、そのほかの管理者には約60日前に通知が届きます。通知には登録の期限やアクセスの制限についての案内も含まれるため、届いたら内容に従って対応してください。対象の範囲や時期は組織の種類によって異なります。自社の管理者アカウントは、通知を待たずに登録しておきましょう。
パスキーでパスワードを省く
「セキュリティ」→「認証」→「パスワードなし」の 「パスワードのスキップ」 で、パスキーを登録した社員がパスワードを入力せずにログインできるようにする設定もあります。管理者が許可したうえで、社員自身がパスキーを登録し、パスワードのスキップを有効にする必要があります。パスキーの登録と2段階認証の設定は別のものなので、必須化の設定はそのまま続けてください。
退職者のアカウントにも目を配る
2段階認証はアカウントの不正利用を防ぐ仕組みですが、退職した人のアクセスを止めるものではありません。退職者のアカウントが有効なまま残っていると、そこが入口になります。2段階認証の必須化とあわせて、退職者のアカウントが残っていないかも定期的に確かめてください。
出典
- 2 段階認証プロセスを導入する（Google Workspace 管理者ヘルプ）
- 2 段階認証プロセスでビジネスを保護する
- 管理者向けの 2 段階認証プロセスの適用について
- 2 段階認証プロセスで保護されたアカウントを復元する
- ユーザー レポート：セキュリティ
- ログイン時にパスワードをスキップできるようにする
よくある質問
2段階認証の方法は、SMS（テキストメッセージ）でもよいですか？
使えますが、Google の管理者ヘルプではテキストメッセージによる確認コードは推奨されていません。管理コンソールでは、テキストメッセージと音声通話を除く設定や、セキュリティキー（パスキーを含む）に限る設定も選べます。まずはパスキーや Google からのメッセージ、認証システムアプリに切り替えてもらうのが現実的です。
社員がスマホをなくしてログインできなくなったら、どうすればよいですか？
ユーザーを管理する権限を持つ管理者が、管理コンソールのユーザーの詳細画面から「バックアップ確認コード」を取得して本人に伝えれば、パスワードとそのコードでログインできます。対象が管理者アカウントのときは、特権管理者しか取得できません。
設定したら、すぐに全員がログインできなくなりますか？
「適用」を設定しても、許可された方法で2段階認証を登録済みの人は普段どおりログインできます。未登録の人や、許可されていない方法（たとえば制限した後の SMS）だけで登録している人はログインできなくなるおそれがあるため、適用の日付を先に決めて周知し、レポートで未登録の人がいないかを確かめてから適用してください。