このガイドでは、Google 広告と Google Ads API のユーザーに共通するセキュリティ要件について説明します。
2 段階認証プロセスとは何ですか。
2 段階認証プロセス（2SV）または 2 要素認証（2FA） は、多要素認証（MFA）の一種で、ユーザー名とパスワードに加えて、2 つ目の 所持要素（「持っているもの」）を追加します。
2SV は、ユーザー名と 1 つの知識要素（「知っていること」、通常はパスワード）で認証を行う単一要素認証システムよりも安全です。2 つ目の要素を求めることで、不正なユーザーによるアカウントへの侵入をより困難にすることができます。パスワードが不正使用された場合でも、2SV を使用していれば、不正使用されたパスワードだけではアクセスできません。
2 段階認証プロセスの要件
以下のセクションでは、Google 広告と Google Ads API を使用するための 2 段階認証プロセスの要件について詳しく説明します。
Google 広告の要件
Google 広告では、MCC アカウントのセキュリティ要件がサポートされています。これにより、MCC アカウントの管理者は、MCC アカウントが管理所有する現在および 将来のすべてのサブアカウントに最小限のセキュリティ設定を適用できます。 このようなポリシーの 1 つとして、MCC アカウントの管理者は、所有するサブアカウントのユーザーに対して、ログインするアカウントで 2 段階認証プロセスを有効にするよう求めることができます。
既存の OAuth 更新トークンは、Google Ads API への呼び出しを除き、このポリシーの影響を受けません。これらのトークンは引き続き通常どおり機能し、OAuth アクセス トークンの取得時に再認証を求められることはありません。 ただし、ユーザーが Google アカウントで 2 段階認証プロセスを有効にするまで、Google Ads API の呼び出しは TWO_STEP_VERIFICATION_NOT_ENROLLED エラーで失敗します。
Google Ads API の要件
Google Ads API では、ユーザー認証 ワークフローに沿って新しい OAuth 2.0 更新トークンを生成するすべてのユーザーに 2SV が必須となります。ユーザーは常に、ユーザー名とパスワードに加えて、2 つ目の認証要素を要求されます。
2 段階認証プロセスを有効にしていない場合は、2 段階認証プロセスの確認方法を追加するよう求められます。
既存の OAuth 更新トークンは今回のポリシーの影響を受けず、引き続き通常どおり機能し、OAuth アクセス トークンの取得時に再認証を求められることはありません。
パスキーとは
パスキーは、公開鍵暗号とデバイスの既存のセキュリティ機能（指紋認証、顔認証、画面ロック用の PIN など）を組み合わせてアカウント所有者の本人確認を行う、多要素認証の一種です。パスキーは、デバイスの所持（「持っているもの」、スマートフォンや FIDO2 キーなど）と、デバイスのロック解除方法の知識（「知っていること」）を組み合わせることで、パスワードに代わる便利な認証方法を提供します。
パスキーは、次の理由から 2FA よりも安全であると考えられています。
- ドメインにバインド: パスキーは特定のドメイン（google.com など）に関連付けられており、元のウェブサイトになりすました不正なウェブサイト（google-fake.com など）では機能しません。
- デバイスにバインド: パスキーはデバイスのローカル認証で保護されており、ロック解除にはユーザーの物理的な存在が必要です。
- 漏洩する秘密情報がない: パスキーは、デバイスとサーバー間で公開鍵ベースの暗号化チャレンジ / レスポンス方式を使用し、傍受される可能性のあるワンタイム パスコードやパスワードを使用しません。
パスキーを設定する方法
パスキーを設定するには:
- g.co/passkeys にアクセスします。
- [パスキーを作成] をクリックして、セキュリティ キー マネージャーにログインします。
- デバイスの手順に沿ってパスキーを作成します。
パスキーの要件
以下のセクションでは、Google 広告と Google Ads API を使用するためのパスキーの要件について詳しく説明します。
Google 広告の要件
Google 広告では、パスキーを使用してアカウントにログインできます。Google 広告 アカウント内の機密情報に関する操作を承認する目的で、広告主様に パスキーの使用が求められる場合があります。
Google Ads API の要件
Google Ads API では、一部のユーザーにパスキーが必須となる場合があります。パスキーが必須のユーザーは、 ユーザー認証ワークフローに沿ってGoogle Ads API の新しい OAuth 2.0 更新トークンを生成する際に、常にパスキーを使用した認証が求められます。パスキーを作成していない場合は、パスキーを作成して認証ワークフローを完了するよう求められます。パスワードのみを使用する認証や、2 要素認証（2FA）メカニズム（時間ベースのワンタイム パスワード（TOTP）や SMS ベースのコードなど）は許可されなくなります。
既存の OAuth 更新トークンは今回のポリシーの影響を受けず、引き続き通常どおり機能し、OAuth アクセス トークンの取得時に再認証を求められることはありません。