広告の管理画面、会計ソフト、SNS の公式アカウントのように、部署で 1 つのアカウントを使い回しているサービスに 2 段階認証を設定すると、ログインのたびに「コードを教えて」と、登録した人に頼むことになります。その人が会議中や休みのときは、誰もログインできません。結局 2 段階認証を外してしまった、という話も珍しくありません。
この記事は、共有アカウントを管理する情シス・総務の方と、現場でコードを待たされている方に向けて書いています。認証アプリのコードがどう作られているかを押さえたうえで、コードをチームで共有する方法を 4 つ比べ、それぞれの危うさと、人が入れ替わるときにやることを整理します。
結論:2段階認証は外さず、「キー」を共有の保管庫に置く
- 認証アプリの 6 桁のコードは、サービスと端末が共有する 1 つの秘密の「キー」と現在時刻から、30 秒ごとに計算されています。同じキーを持つ端末なら、どれでも同じコードを出せます
- 2 段階認証を外すのは最後の手段です。パスワードが漏れたときに、ログインを防ぐものがなくなります
- 共有の方法は、(1) 複数の端末に同じキーを登録する、(2) バックアップコードを分けて持つ、(3) 共有できるパスワード管理ツールにキーを保存する、(4) シングルサインオン(SSO)に切り替える、の 4 つです
- パスワード管理ツールにキーとパスワードを一緒に置くと、そのツールを開ける人には 2 つの要素がそろいます。誰が開けるかを絞り、開くための認証を強くしておく必要があります
- 人が抜けたら、パスワードを替えるだけでなく、2 段階認証を設定し直してキーも替えます
認証アプリのコードはどう作られているか
Google 認証システムや Microsoft Authenticator が表示する 6 桁のコードは、TOTP(時間ベースのワンタイムパスワード)という標準の方式で作られています。仕様(RFC 6238)では、サービス側と端末側が同じ秘密のキーを持ち、そのキーと現在時刻から、既定で 30 秒ごとに新しいコードを計算します。
2 段階認証を有効にするときに表示される QR コードや「セットアップキー」は、このキーそのものです。認証アプリは QR コードを読み取ってキーを保存し、あとは通信をせずに手元で計算しています。ここから次の 2 つが言えます。
- キーを持っていれば、どの端末でも同じコードが出る。 共有の方法は、結局「キーを誰に、どう持たせるか」の問題になります
- キーが漏れると、コードを何度でも作られる。 キーはパスワードと同じか、それ以上に大事に扱う情報です
SMS やメールでコードが届く方式は、届く先の電話番号やメールアドレスが 1 つに決まっているため、共有はさらに難しくなります。
認証コードを共有する4つの方法
| 方法 | 手間 | 人が抜けたとき | 向く場面 |
|---|---|---|---|
| 複数の端末に同じキーを登録する | 設定の 1 回だけ | 全端末から消してもらうか、キーを替える | 2〜3 人の固定メンバー |
| バックアップコードを分けて持つ | 使うたびに減る | コードを作り直す | 緊急時の予備 |
| 共有できるパスワード管理ツールにキーを置く | ツールの導入 | 共有から外し、キーを替える | 人の入れ替わりがある部署 |
| SSO に切り替える | 契約と設定 | IdP でアカウントを停止する | SSO に対応したサービス |
1. 複数の端末に同じキーを登録する
2 段階認証を設定する画面で、表示された QR コードを複数のスマートフォンで続けて読み取る方法です。全員の端末に同じキーが入るので、誰でもコードを出せます。費用はかかりません。
弱点は、キーがどこに何台あるかを誰も把握できなくなることです。設定の画面を閉じると QR コードは二度と表示されないサービスが多く、後から人を追加するには設定し直しが必要です。逆に人が抜けるときは、その人の端末から消してもらったかを確認する手段がありません。
なお Google 認証システムは、Google アカウントにログインしていると、コードを同じアカウントのすべての端末に同期します。同期は「同じ Google アカウントの端末どうし」の話なので、別々の人のスマートフォンで共有する仕組みにはなりません。
2. バックアップコードを分けて持つ
多くのサービスは、端末をなくしたとき用のバックアップコードを発行します。Google アカウントの場合、1 セット 10 個で、1 つのコードは 1 回しか使用できず、新しいセットを作ると古いセットは無効になります。
緊急用の予備としては有効ですが、日常のログインに使うとすぐに尽きます。使った分を誰が補充するかも決めておく必要があります。
3. 共有できるパスワード管理ツールにキーを保存する
チームで使用できるパスワード管理ツールの多くは、パスワードと一緒に 2 段階認証のキーを保存し、コードを計算して表示できます。共有の範囲をツールの側で管理できるので、人の追加と削除が画面の操作で済みます。
その代わり、パスワードとコードが同じ場所にそろいます。ツールを開ける人にとっては、2 段階認証が実質 1 段階になるということです。ツール自体のログインに強い認証をかけ、共有する範囲を必要な人に絞ることが前提です。
4. SSO に切り替える
サービスが SAML や OIDC のシングルサインオンに対応していれば、共有アカウントをやめて、社員一人ひとりの会社のアカウントでログインする形に変えられます。2 段階認証は IdP(Microsoft Entra ID や Google Workspace など)の側で 1 人ずつかけるので、コードを共有する必要そのものがなくなります。
いちばん筋の良い方法ですが、SSO は上位の料金プランだけで使用できるサービスも多く、SNS の公式アカウントのように 1 アカウントしか持てないサービスでは使用できません。
会社で決めておくこと
- 2 段階認証を外さない。 共有の不便を理由に外したアカウントがないか、まず棚卸しします
- キーの置き場所を 1 か所に決める。 個人のスマートフォン、チャットの過去ログ、スクリーンショットのフォルダにキーが散らばるのがいちばん危険です。設定の画面の QR コードをチャットに貼って共有するのはやめます
- 共有する人を決め、記録を残す。 誰がコードを出せるのかを、ツールの共有設定として残します。口頭の「あの人に聞けば分かる」は記録になりません
- 人が抜けたらキーを替える。 パスワードの変更と合わせて、2 段階認証をいったん無効にして設定し直し、新しいキーを保管庫に入れ直します。抜けた人の手元に古いキーが残っていても、役に立たなくなります
- 予備を決める。 バックアップコードの置き場所と、使ったときの補充の担当を決めます
退職や異動のときに確認することは、退職者のアカウント削除とパスワード変更の手順にまとめています。
Samurai App でできること
Samurai App の「パスワード」は、人が読んで共有するパスワードと認証コードの保管庫です。保管庫の中身はブラウザで暗号化してから保存するので、保管中はサーバーも運営も AI も読めません。
キーを保管庫に入れる
項目の「認証コードのキー」に、サービスが表示したセットアップキーか otpauth:// で始まる URL を貼ります。QR コードしか表示されないサービスでは、「QR 画像から読み取る」でスクリーンショットを選ぶか、画像をそのまま欄に貼り付けます。画像はブラウザの中で読み取り、外へは送りません。Google 認証システムの「コードを移行」で出る QR コード(otpauth-migration://)は読み取れないので、サービスの側で 2 段階認証を設定し直して、新しい QR コードを読ませてください。
一覧の各行にある「認証コード」で、項目を開かずにいまのコードをコピーできます。コピーした値は 30 秒後にクリップボードから消えます。
共有する人と権限を決める
保管庫の「メンバー」で、共有する人を「管理者」「編集者」「閲覧者」から選んで追加します。グループを選んで、その時点の所属メンバーをまとめて追加することもできます。ただし、あとからグループに入った人は自動では追加されません。「閲覧者」でも値の表示とコピーはできるので、コードを出せる人は、追加した全員です。
ログイン画面に入れる
パスワード用の Chrome 拡張を接続すると、2 段階認証のコードを求めるページで項目を押すだけで、いまのコードをページに入力できます。キーは拡張の中にとどまり、ページへ渡るのはコードだけです。メールでコードが届くサービスは、Gmail か Outlook(Web 版)の受信トレイをタブで開いた状態で「メールのコードを入れる」を押すと、受信トレイの上から 5 通を読んでコードを入れます。
AI がブラウザ操作の途中で 2 段階認証を求められたときは、会話に「<サイト> で認証コードを求められています」のカードが出ます。人が「保存したコードを入れる」を押すと、自分のブラウザのタブでコードを計算して、そのページにだけ入力します。AI はコードを見ません。人が押す操作なので、無人の定期実行では使用できません。
記録と、できないこと
保管庫の操作は監査ログに残ります。会話からコードを入力した操作は「保管庫の認証コードのブラウザへの入力」として、会話と一緒に記録されます。値の表示やコピー、拡張での入力の記録はブラウザからの報告にもとづくので、誰が値を読んだかの証明にはなりません。
できないことも書いておきます。
- 保管庫を共有した時点で、パスワードと認証コードは同じ場所にそろいます。保管庫を開けるかどうかで、2 つの要素をまとめて守れるかが決まります
- メンバーを「外す」と、その人へ新しい内容は届かなくなりますが、それまでに見た値は残っている可能性があります。外したあとは、各サービスでパスワードを変え、2 段階認証も設定し直してください
- SMS で届くコードは扱えません。メールで届くコードは Gmail と Outlook(Web 版)だけです
使い方の流れは 2 段階認証のコードをチームで共有する のページで紹介しています。保管庫の全体は パスワード管理 をご覧ください。
よくある質問
2段階認証のコードを複数人で受け取ることはできますか?
認証アプリ(TOTP)の方式なら、同じキーを持つ端末やツールはどれも同じコードを出せるので、複数人で使用できます。SMS の方式は届く電話番号が 1 つに決まるため、複数人での受け取りには向きません。サービスで認証アプリの方式を選択できるなら、そちらに切り替えるのが近道です。
共有アカウントに2段階認証をかけるのは規約違反になりませんか?
アカウントを複数人で使うこと自体を禁止しているサービスもあります。2 段階認証の前に、そのサービスの利用規約でアカウントの共有が認められているか、組織向けのメンバー招待の機能がないかを確認してください。メンバーを招待できるなら、共有アカウントをやめるほうが安全です。
担当者が退職したら、2段階認証はどうすればいいですか?
パスワードを変えるだけでは足りません。退職した人の手元にキーが残っている可能性があるので、2 段階認証をいったん無効にして設定し直し、新しいキーを共有の保管庫に入れ直します。バックアップコードも作り直します。
機種変更で認証アプリのコードが消えたらどうなりますか?
キーがその端末にしかなかった場合、新しい端末ではコードを出せません。バックアップコードでログインして設定し直すか、サービスの復旧手続きを使います。キーを共有の保管庫に置いておけば、端末を替えても保管庫からコードを出せます。
出典
- RFC 6238: TOTP: Time-Based One-Time Password Algorithm(IETF)
- バックアップ コードでログインする(Google アカウント ヘルプ)
- Google 認証システムの確認コードを取得する(Google アカウント ヘルプ)
- パスワードの保管庫(Samurai App ドキュメント)
2026 年 11 月 9 日時点で各社の公式ページと Samurai App のドキュメントを確認したものです。