Intercom workspaceのセキュリティを保つために、チームメンバー向けに複数の認証オプションを提供しています。これらの方法は不正アクセスを防ぎ、フィッシング攻撃のリスクを減らし、チームのサインイン方法をより良く管理できます。
一般設定とセキュリティ設定にアクセス権を持つworkspace管理者は、すべてのチームメンバーの認証方法を設定できます。個々のチームメンバーは、自分のアカウント設定から2FAを管理できます。
workspaceで次の認証方法を設定できます:
Google Sign-In — teammatesがGoogle Workspaceアカウントでログイン可能にする
Two-Factor Authentication (2FA) — teammatesがパスワードに加え、認証アプリからのワンタイムコードを入力する必要がある
SAML Single Sign-On (SSO) — Identity Provider経由の認証を強制する（Enterpriseのみ）
注意：メールとパスワードでのログインをオフにすることを強く推奨します。パスワードは攻撃者の最も一般的な侵入口であり、フィッシング、使い回し、弱いセキュリティ慣行に弱いです。SSOおよび/またはGoogle Sign-Inと2FAを使い、workspaceの保護を強化してください。
メールとパスワードのログインを無効にするには、設定 > workspace > セキュリティ > 認証方法のEmail & Passwordをオフに切り替えてください。
workspaceの認証をどのように設定しますか？
設定 > workspace > セキュリティに移動し、「認証方法」から希望のオプションを選択してください。
注意：これを有効にするには、一般設定とセキュリティ設定にアクセスする権限が必要です。Google SSOまたはSAMLを必須にしたら、メールとパスワードのログインを必ず無効にしてください。
以下の表は、Intercom workspaceで利用可能な4つの認証方法を、プランの可用性、workspace全体での強制適用の有無、相対的なセキュリティ強度で比較しています。
方法 | 利用可能性 | 強制適用 | セキュリティ |
Email & Password | すべてのプラン | 該当なし | ❌ 弱い |
Email & Password w / 2FA | すべてのプラン | 強制可能 | ✅ 改善された |
Require Google sign in | すべてのプラン | 強制可能 | ✅ 強力 |
Require SAML | 強制可能 | ✅ 強力 |
注意：Google SSOまたはSAMLを必須にしたら、teammatesがSSOを回避できないようにメールとパスワードのログインを必ず無効にしてください。
workspaceで二要素認証（2FA）をどのように設定しますか？
usersがメールとパスワードでログインする必要がある場合、二要素認証で追加のセキュリティ層を追加できます。teammatesはログイン時にGoogle AuthenticatorやAuthyなどの認証アプリからの一意のコードを入力します。
すべてのプランで利用可能
workspace全体で強制可能
各teammateが自分のデバイスを設定
注意：workspaceで2FAを有効にした際、teammatesがまだ設定していない場合は次回ログイン時に設定を促されます。Google AuthenticatorやAuthyなどの認証アプリでQRコードをスキャンし、設定完了まで先に進めません。
workspaceでGoogle Sign-Inをどのように有効にしますか？
Google Sign-Inにより、teammatesはGoogle Workspaceアカウントでログインできます。有効にすると、次回ログイン時にGoogleでのサインインを促されます。workspace全体でこの方法を強制する前に、すべてのteammatesがIntercomアカウントと一致するメールアドレスのGoogleアカウントを持っていることを確認してください。
すべてのプランで利用可能
セキュリティ設定から簡単に有効化可能
オプションのdomain制限 — 特定のdomain（例：@yourcompany.comのアドレスのみ）にサインインを制限できます。有効化後、Google Sign-In設定で構成してください。
workspaceでSAML SSOをどのように設定しますか？
SAML SSO（Security Assertion Markup Language Single Sign-On）は、Okta、Azure AD、OneLoginなどのIdentity Provider（IdP）を通じてチームがログインできるようにします。このオプションはEnterpriseプランのみ利用可能です。
Enterpriseプランで利用可能
Just-in-Time（JIT）プロビジョニングをサポートしています。チームメイトのアカウントは初回ログイン時に自動的に作成され、SCIM（System for Cross-domain Identity Management）による自動アカウントプロビジョニングと解除も対応しています。
DNS domainの検証とIdentity Provider（IdP）の設定が必要です。
Identity ProviderでSAML SSOを必須にするにはどうすればよいですか？
OktaやOneLoginのようなidentity providerとIntercomを統合することは、チームが安全かつ簡単にログインする最も安全で簡単な方法です。
この記事の手順に従ってidentity providerを設定し、すべてのチームメイトにSAML SSO（シングルサインオン）を必須にするか、サインインオプションの一つとして提供してください。
認証方法の切り替え
Google SSOからメールとパスワードのログインに戻すにはどうすればよいですか？
メールとパスワードのログインに戻すには、設定 > Workspace > セキュリティ > 認証方法に移動し、Googleサインインを必須にするをオフにし、メール & パスワードをオンに切り替えてください。
注意：元々Google SSOでサインアップしたチームメイトはパスワードが設定されていない場合があります。ログインページの「パスワードをお忘れですか？」リンクを使ってパスワードを作成してから、メールとパスワードでサインインしてください。
メールとパスワードのログインからGoogle SSOに切り替えるにはどうすればよいですか？
Google SSOに切り替えるには、設定 > Workspace > セキュリティ > 認証方法に移動し、Googleサインインを必須にするをオンにしてください。すべてのチームメイトがGoogleでサインインできることを確認したら、メールとパスワードのログインを無効にしてWorkspaceのセキュリティを強化します。この方法をWorkspace全体で強制する前に、すべてのチームメイトがIntercomアカウントと一致するメールアドレスのGoogleアカウントを持っていることを確認してください。
会社のメールdomain変更後にチームメイトのSSOが機能しなくなった場合はどうすればよいですか？
チームメイトの会社が最近メールdomainを変更した場合（例：example@olddomain.comからexample@newdomain.comへ）、Workspace招待を受け入れる際に次のエラーが表示されることがあります。
「このWorkspaceにはあなたのメールアドレスでの有効な招待が存在しません。招待は送信された正確なメールアドレスでのみ利用可能です。」
これは通常、SSOトークンの不一致が原因です。SSOトークンはIntercomアカウントとGoogleアカウントをリンクする一意の識別子です。会社が最近メールdomainを変更した場合、SSOトークンはまだ古いアドレスにリンクされています。Intercomサポートに連絡すると、古いアドレスからSSOトークンのリンクを解除し、チームメイトが更新されたメールでサインインできるようにします。
Intercomはどのように不審なログインから保護していますか？
Intercomはログイン活動を継続的に監視し、チームメイトのアカウントを自動的に保護します。不審なメール/パスワードログインが検出された場合、ログイン完了前にメール認証が必要になります。これには以下が含まれます：
インテリジェントログイン＆セッション保護：異常なログインパターンに対する追加認証と不正利用防止の高度な対策。
セキュリティ通知：潜在的なセキュリティイベントに関するタイムリーなアラート。
チームメイトはこのような認証メールを受け取り、進む前に一意の認証トークンを入力する必要があります。
チームメイトは自分の認証設定をどのように管理しますか？
個人のIntercomアカウントで2FAを有効にするには？
所属しているWorkspaceの設定とは別に、自分のIntercomアカウントで2FAを有効にできます。
Intercomアカウントにログインしてください。
設定 > 個人 > アカウントセキュリティに移動します。
二要素認証セクションで、2FAを有効にするをクリックします。
画面に表示されたQRコードを認証アプリ（例：Google AuthenticatorやAuthy）でスキャンします。
アプリが生成した6桁のコードを入力してセットアップを完了します。
セットアップ時に提供されるリカバリーコードをダウンロードして安全に保管してください。2FAが有効になり、次回ログイン時に認証アプリのコード入力が求められます。
認証アプリのセットアップにはQRコード方式を使用します。IntercomはGoogle AuthenticatorやAuthyなどの一般的な認証アプリに対応しています。
2FAを有効にしているチームメイトは、設定 > 個人 > アカウントセキュリティから個別のリカバリーコードをダウンロードしてください。有効な場合、ダウンロードリンクが表示されます。
重要：リカバリーコードを生成し、安全に保存して、アカウントにアクセスできなくなるリスクを避けてください。
リカバリーコードは認証アプリの問題やデバイス紛失時に特に役立ちます。コードがないか機能しない場合は、新しいリカバリーコードを登録メールに送信依頼できます。このコードでログインし、設定 > 個人 > アカウントセキュリティで2FAを一度無効にして再度有効にして接続をリセットしてください。
注意：Googleサインオンでアカウントを作成した場合、パスワードを設定しない限り2FA設定オプションは表示されません。ログインページの「パスワードをお忘れですか？」リンクからパスワードリセットを行い、アクセス回復後にアカウント設定で2FAを設定または無効にしてください。
個人のIntercomアカウントで2FAを無効にするには？
個人のIntercomアカウントで2FAを無効にするには、以下の手順に従ってください。
設定 > 個人 > アカウントセキュリティに移動します。
二要素認証（2FA）セクションで、2FAを有効にするをオフに切り替えます。
2FAをオフにします。アカウント設定やWorkspaceポリシーによっては、この操作にリカバリーコードが必要な場合があります。無効化後は次回ログイン時に認証コードの入力は求められません。
注意：個人の2FA設定は個別ログインにのみ適用されます。Workspace全体で2FAが強制されている場合、個人設定から無効にできません。Workspace管理者に連絡してください。
Workspace管理者はWorkspace全体の2FAをどのように管理しますか？
Workspace管理者は個々のチームメイトの個人2FA設定を変更できませんが、Workspace全体で2FAを強制できます。強制時、チームメイトは次回ログイン時に2FA設定を求められます。Workspaceレベルの設定は設定 > Workspace > セキュリティで行います。
認証アプリを新しいデバイスに移行するには？
2FAを新しいデバイスに移行するには、一度無効にして再度有効にする必要があります。以下の手順に従ってください。
設定 > 個人 > アカウントセキュリティに移動します。
「二要素認証（2FA）」の「2FAを有効にする」をオフに切り替えます。
2FAを無効にした後、新しい電話で設定するために再度オンに切り替えてください。
新しい電話の認証アプリを使って、コンピューター画面に表示されているQRコードをスキャンしてください。
認証アプリに表示される6桁のコードを入力して、新しいデバイスのペアリングを確認し、設定を完了します。2FAは新しいデバイスで有効になりました。
2FAの問題をどのようにトラブルシュートしますか？
なぜ認証アプリのコードが機能しないのですか？
認証アプリのコードが機能しない場合は、次のことを試してください。
デバイス設定とアプリの同期：
モバイルデバイスの日時設定が「自動設定」になっていることを確認してください。ずれがあるとコードが失敗することがあります。
モバイルデバイスを再起動して、認証アプリの時間設定を再同期してください。
デバイスの時間設定で自動時刻同期を有効にして、認証アプリが正しく動作するようにしてください。
アプリの再設定：
設定 > 個人 > アカウントセキュリティで2FAを無効にしてから再度有効にし、認証アプリで新しいQRコードをスキャンして2FA接続をリセットしてください。
可能であれば、別の認証アプリをバックアップとして使用してください。
2FAを無効にできない場合はどうすればよいですか？
アカウントで2FAを無効にできない場合は、次のことを試してください。
リカバリーコードを使用する：リカバリーコードは通常、初回の2FA設定時にメールで送信されます。2FAログインページでリカバリーコードを入力してアクセスを回復してください。
ワークスペースのポリシーを確認する：ワークスペースで全員に2FAを強制している場合は、管理者に連絡してください。
2FAを無効にしたのに、なぜまだ6桁のコードを求められるのですか？
2FAを無効にしたのにコードの入力を求められる場合は、次の手順に従ってください。
リカバリーコードを使ってログインしてください。
設定 > 個人 > アカウントセキュリティに移動し、2FAがオフになっていることを確認してください。
ワークスペースの設定で2FAが有効なままの場合は、管理者に連絡してサポートを受けてください。
2FAデバイスを紛失したチームメンバーをどのように支援しますか？
「Can manage teammates, seats, and permissions」権限を持つチームメンバーは、ロックされたメンバーの登録済みメールアドレスにリカバリーコードを送信できます。リカバリーコードが機能しない場合、管理者はログイン失敗回数をリセットし、新しいリカバリーコードを発行できます。手順は以下の通りです。
「Can manage teammates, seats, and permissions」権限を持つチームメンバーに設定 > ワークスペース > チームメンバーに移動してもらいます。
ロックされたチームメンバーのアカウントの隣にある2FAリカバリーボタンをクリックします。リカバリーコードが登録済みメールアドレスに送信されます。
2FAログインページでリカバリーコードを入力を選択し、メールのコードを入力してアクセスを回復します。
注意：セキュリティ上の理由から、ワークスペースに管理者がいる場合、Intercomサポートはチームメンバーの代わりにリカバリーコードを送信できません。このポリシーは不正なアカウント回復からワークスペースを保護します。必要な権限を持つチームメンバーがいない場合は、Intercomサポートに連絡してください。
アカウントのアクセスを回復した後はどうすればよいですか？
2FAロックアウト後にリカバリーコードでアクセスを回復した場合でも、2FAは有効のままです。今後のトラブルを防ぐために、以下の手順を完了してください。
設定 > 個人 > アカウントセキュリティに移動してください。
必要に応じて、設定から2FAを一時的に無効にするためにオフに切り替えてください。
2FAを再度有効にし、新しいまたは既存のデバイスで認証アプリを使って設定してください。将来のためにアカウント設定から追加のリカバリーコードをダウンロードしてください。
今後のロックアウトを防ぐために、以下のベストプラクティスを覚えておいてください。
初回設定後は必ずリカバリーコードを安全に保管してください。
可能な場合は複数のデバイスを2FA設定にペアリングしてください。
デバイスや設定の変更に応じて、2FA設定を定期的に更新してください。
認証コードやログインメールが届かないのはなぜですか？
認証コードやログインメールが届かない場合は、次のことを試してください。
遅延した認証コード：有効期限内であれば最新のコードを使用してください。期限切れの場合は新しいコードをリクエストし、すぐに使用してください。
モバイルアプリでコードが機能しない場合：最新のコードを入力し、モバイルデバイスの日時設定を修正して不一致を防いでください。アプリを再起動して再度コードを試してください。
認証アプリのエラー：アプリで生成された認証コードが常に拒否される場合は、アプリの再設定や別のアプリへの切り替えを検討してください。
メール設定を確認：Intercomからのメールが迷惑メール、ジャンク、プロモーションフォルダに振り分けられていないか確認してください。
メールドメイン変更後にSSOが機能しなくなった場合はどうすればよいですか？
次のエラーメッセージが表示された場合：
「このワークスペースにはあなたのメールアドレスでの有効な招待がありません。招待は送信された正確なメールアドレスでのみ利用可能です。正しいメールアドレスを使っていると思われる場合は、管理者に連絡してください。」
これは通常、SSOトークンの不一致が原因です。SSOトークンはIntercomアカウントとGoogleアカウントをリンクする一意の識別子です。会社が最近メールドメインを変更した場合、SSOトークンはまだ古いアドレスにリンクされています。
例えば、メールをexample@olddomain.comからexample@newdomain.comに変更した場合です。
Intercomでは、SSOトークンはまだ古いメールアドレスに紐付いています。新しい招待でGoogle SSOを使ってログインしようとすると、まだ古いdomainにリンクされているため、「招待は送信された正確なメールアドレスでのみ利用可能です。」というエラーが発生します。
これを解決するには、Intercomサポートに連絡して、SSOトークンを古いメールアドレスから解除してもらい、更新したメールアドレスでGoogle SSOを使用できるようにしてください。
Googleアカウントのメールアドレスを更新した場合はどうなりますか？
既存のGoogleアカウントのメールアドレスを更新しても問題ありません。IntercomはメールアドレスではなくGoogleアカウントIDでチームメンバーをマッピングしています。
問題が発生した場合は、メールとパスワードでアクセス可能です（ワークスペースがメール/パスワードログインを許可している場合）。注意：チームメンバーはGoogle SSOで招待を利用したためパスワードを設定していない可能性があります。その場合はIntercomからログアウトし、こちらでパスワードを設定できます。