メールを利用した時間ベースのワンタイム パスコード (TOTP) ログイン方法は、2 要素認証システムとして機能します。このシステムは、ログイン試行ごとにワンタイムの一時コードを生成し、そのコードをメールに送信して、ユーザー検証のセキュリティをさらに強化します。

概要

従来のパスワード ログイン方法とは異なり、メールによる TOTP では、フィッシング攻撃、パスワード盗難、侵入者の脅威の可能性が大幅に最小限に抑えられます。これは、TOTP ではユーザーが一時コードを取得するためにメールにアクセスする必要があり、攻撃者が侵入するのがより困難な追加のセキュリティ レイヤーが追加されるためです。

知っておくべきこと

• デフォルトでは、TOTP は 10 分間のみ有効です。システム管理者はこの設定を編集できません。

• ユーザーがコードを 3 回連続して間違って入力した場合、新しい TOTP を要求するには 10 分間待つ必要があります。

• notification@system.smartsheet.com からの Smartsheet メールをブロックするメール フィルターを設定している場合、ユーザーはメールで TOTP を受信できません。

• メールによる TOTP は、Google、Microsoft、Apple などの既存のシングル サインオン (SSO) 方法を変更するものではなく、追加のログイン オプションとして機能します。

• メール配信の遅れによりユーザーが複数の TOTP を受け取った場合、それらのコードは 10 分間の有効期限が切れた後、新しいコードが要求されてもすぐには期限切れにはなりません。ユーザーは常に、受け取った最新のコードを選択しなければいけません。

ドメイン全体で TOTP を管理する

デフォルトでは、エンタープライズ以外のプランでは TOTP が有効になっており、サポートされているログイン方法を無効にすることはできません。ただし、エンタープライズ プランでは柔軟に選択できます。現在、プラン レベルとドメイン レベルの 2 つのレベルでこれをサポートしています。

エンタープライズ プランのシステム管理者として知っておくべきことは次のとおりです。

• 現在他のログイン オプションを管理する方法と同様に、プラン レベルでメールによる TOTP のログイン方法を有効または無効にすることができます。

• ドメインに対してドメインレベルの SAML を構成すると、そのドメインの TOTP 認証は自動的に無効になりますが、必要に応じて有効にすることもできます。

• 従来のパスワード ログイン方法が現時点のプラン レベルでアクティブになっているエンタープライズ プランの場合、メールによる TOTP が自動的に有効になります。

• パスワード ログイン方法が以前に無効にされているエンタープライズ プランでは、メールによる TOTP もデフォルトで無効になります。ただし、これらのプランのシステム管理者は、必要に応じて、プラン レベルで両方のログイン方法を個別に有効にすることができます。

メールによる TOTP のログインを有効にするには

• 管理センターで をクリックします。

• [設定] タブに移動し、[認証] を選択します。

• [メールによるワンタイム パスワード] タイルまで下にスクロールし、[ドメインの選択] ドロップダウン メニューを使用して、リストされているドメインにメールによる TOTP を追加します。検証、アクティブ化されたドメインは自動的に入力されるので注意してください。

メールによる TOTP のログインを無効にするには

• 管理センターで をクリックします。

• [設定] タブに移動し、[認証] を選択します。

• [メールによるワンタイム パスワード] タイルまで下にスクロールし、[ドメインの選択] ドロップダウン メニューを使用して、リストされているドメインのメールによる TOTP を削除します。

• [無効にする] を選択します。