このガイドでは、Google 広告と Google Ads API のユーザーに対するセキュリティ要件について説明します。これには、OAuth 2.0 更新トークンを生成する際の必須のパスキー認証や、マネージャー アカウントのセキュリティ要件の対象となるアカウントの 2 段階認証プロセス（2SV）が含まれます。
パスキーとは
パスキーは、公開鍵暗号とデバイスの既存のセキュリティ機能（指紋認証、顔認証、画面ロック用の PIN など）を組み合わせてアカウント所有者の本人確認を行う、多要素認証（MFA）の一種です。パスキーは、デバイスの所有（「持っているもの」、たとえばモバイル デバイスや FIDO2 キー）と、デバイスのロック解除方法の知識（「知っていること」）を組み合わせたもので、パスワードに代わる便利な方法です。
パスキーは、次の理由から、標準の 2 段階認証プロセス（2 要素認証、2FA とも呼ばれます）よりも安全であると考えられています。
- ドメインにバインドされている: パスキーは特定のドメイン（
google.comなど）に関連付けられており、元のウェブサイトになりすました不正なウェブサイト（google-fake.comなど）では機能しません。 - デバイスにバインドされている: パスキーはデバイスのローカル認証でロックされており、ロックを解除するにはユーザーが物理的に存在する必要があります。
- 盗まれるシークレットがない: パスキーは、デバイスとサーバーの間で公開鍵暗号のチャレンジ レスポンス方式を使用します。傍受される可能性のあるワンタイム パスコードやパスワードは使用しません。
パスキーを設定
パスキーを設定する手順は次のとおりです。
- g.co/passkeys にアクセスして、Google アカウントにログインします。
- [Create a passkey] をクリックします。
- デバイス上のメッセージに沿って、パスキーを作成します。
パスキーの要件
以下のセクションでは、Google 広告と Google Ads API を使用するためのパスキーの要件について詳しく説明します。
Google 広告の要件
Google 広告では、パスキーを使用してアカウントにログインできます。Google 広告アカウント内の機密情報に関する操作を承認する目的で、広告主様にパスキーの使用が求められる場合があります。
Google Ads API の要件
Google Ads API では、ユーザー認証ワークフローに沿って OAuth 2.0 更新トークンを生成する際に、すべてのユーザーがパスキーで認証する必要があります。パスキーを作成していない場合は、パスキーを作成するよう求められます（新しいパスキーを使用して認証ワークフローを完了できるようになるまでに、最長 7 日間のセキュリティ上の理由による待機期間が適用されます）。パスワードのみを使用する認証や、時間ベースのワンタイム パスワード（TOTP）や SMS ベースのコードなどの標準の 2 段階認証プロセス メカニズムは許可されません。
既存の OAuth 更新トークンは今回の要件の影響を受けず、既存の OAuth 更新トークンは引き続き通常どおり機能し、OAuth アクセス トークンの取得時に再認証を求められることはありません。
2 段階認証プロセスとは何ですか。
2 段階認証プロセス（2SV）は、2 要素認証（2FA）とも呼ばれ、ユーザー名とパスワードに加えて 2 つ目の所有要素（「持っているもの」）を追加する MFA の一種です。
2SV は、ユーザー名と単一の知識要素（「知っていること」、通常はパスワード）のみを使用する単一要素認証システムよりも安全です。2 つ目の要素を求めることで、不正なユーザーによるアカウントへの侵入をより困難にすることができます。パスワードが不正使用される可能性はありますが、2 段階認証プロセスを使用すると、不正使用されたパスワードだけではアクセスできません。
2 段階認証プロセスの要件
以下のセクションでは、Google 広告と Google Ads API を使用するための 2 段階認証プロセスの要件について詳しく説明します。
Google 広告の要件
Google 広告は、MCC アカウントの管理者が、MCC アカウントが管理所有する現在および将来のすべてのサブアカウントに最小限のセキュリティ設定を適用できる MCC アカウントのセキュリティ要件をサポートしています。たとえば、MCC アカウントの管理者が、所有するサブアカウントのユーザーに対して、ログインするアカウントで 2 段階認証プロセスを有効にするよう求めることができるポリシーがあります。
Google Ads API の要件
ユーザー認証ワークフローを使用して OAuth 2.0 更新トークンを生成するには、Google Ads API で標準の 2 段階認証プロセスではなくパスキーが必要です。
マネージャー アカウントが 2 段階認証プロセスの義務付けを適用すると、既存の OAuth 更新トークンは引き続き機能し、OAuth アクセス トークンの取得時にユーザーに再認証を求めることはありません。ただし、この義務の対象となるアカウントに対する Google Ads API 呼び出しは、ユーザーが Google アカウントで 2 段階認証プロセスを有効にするまで、TWO_STEP_VERIFICATION_NOT_ENROLLED エラーで失敗します。