Oracle CloudのMFAリセット手順｜Mobile Authenticatorが消えた時！！
iPhoneのバックアップ復元に何度も失敗して、最終的に「新しいiPhoneとして設定」で仕切り直したのが数日前。
アプリを片っ端から入れ直していく作業の途中で、Oracle Cloudの認証アプリ(MFA)である Oracle Mobile Authenticator を入れ直したら、アカウント消失に気づきました、、（笑）
私はOracle Cloud (OCI)のサーバを使っているのですが、Oracle Mobile Authenticator のアカウントがないと、コンソールにログインできません。。
ということは、インスタンスの再起動もバックアップの確認もファイアウォールの変更も一切できないということに。
幸いSSHの秘密鍵はPC側に残っていたのでサイト自体は無事でしたが、管理コンソールだけが完全に締め出された状態になりました。
結論から言うと、Oracleのサポートチャットから有人チャットにつなげて、認証アプリ(MFA)のリセットを申請することで解決に向かいました。
日本語の情報がほとんど見つからなかったので、実際に通ったルート・聞かれた内容・所要時間を記録として残しておきます。
そもそも何が起きたのか
OCIのコンソールにログインするときは、ユーザー名とパスワードに加えて認証アプリのワンタイムパスワード（MFA）が要求されます。私はその2要素目に Oracle Mobile Authenticator を使っていました。
ここで多くの人がすっかり忘れがちなのですが（私がそうでした）、認証アプリの「シード」は端末の中にしか無く、iTunesの暗号化なしバックアップには含まれません。
iPhoneデータのバックアップは取ってあったのに、復元しても認証アプリのアカウントは一切戻ってきませんでした。そもそも復元自体が10回失敗して諦めたので二重の意味で詰んでいたのですが、仮に復元が成功していても結果は同じだったはずです。
「バックアップを取ってあるから機種変更は平気」という感覚は、認証アプリに関してはまったく通用しないのでご注意を。（笑）
自力で戻す方法は無かった
まず自分で何とかできないかを一通り確認しました。
- 別の管理者ユーザーがいれば助かった：OCIのアイデンティティドメインでは、管理者権限を持つ別ユーザーから対象ユーザーのMFAをリセットできます。ただし管理者が自分ひとりだと、その「別の管理者」でログインする手段が無いので詰みます。
- パスワードリセットではMFAは外れない：メールでのパスワード再設定は通りますが、そのあとに結局MFAの入力を求められます。1要素目を直しても2要素目は残ります。
- SSHは生きている：インスタンスへのSSHはコンソールとは独立した認証なので、鍵さえ手元にあればサーバの中身は触れます。今回サイトが止まらなかったのはこれのおかげです。
というわけで、残る手段はサポートへの依頼だけでした。
サポートの有人チャットにたどり着くまで
ここが一番わかりにくかった部分です。コンソールに入れない以上、通常のサポートリクエスト（コンソール内から起票する仕組み）は使えません。外側から連絡する必要があります。
実際に通ったのは次のルートです。
- Oracleのお問い合わせページを開く
- まずセールス向けのチャットにつながるので(セールスじゃないけどここしか見つけれなかった、迷惑客ですｗ)、そこで「クラウドアカウントにログインできない」と伝える
- 同ページのクラウド向けセクション（
#cloudのアンカー）へ案内される - そこにある「Chat now with Support」から改めてチャットを開始
- 待ち行列に入り、数分でオペレーターにつながる
私のときは待ち行列1番・待ち時間4分の表示で、実際その通りにつながりました。最初の担当者が状況を聞いたあと「別のエンジニアに転送します」となり、2人目の担当者がMFAリセットの実務を進めてくれる流れです。転送のときにチャットを閉じないよう案内されるので、そのまま待ちます。
やり取りは英語でした。
とはいえテンプレート的な質問と回答の往復なので、翻訳しながらでも十分に対応できます。
日本語で始めても英語で返ってくると思っておいたほうがいいです。
本人確認で聞かれた5項目
MFAリセットは重い操作なので、当然ながら本人確認があります。
私が聞かれたのは次の5つでした。
事前に手元へ用意しておくと、やり取りが一往復で済みます。
- 登録メールアドレス
- テナンシ名（Cloud Account Name）
- アイデンティティドメイン（
DefaultかOracleIdentityCloudServiceのどちらか） - アカウントに紐づく電話番号
- 無料トライアル登録時に使ったクレジットカードの有効期限と下4桁
私はテナンシ名がうろ覚えだったので「たぶんこれです」と伝えたら、それで照合してもらえました。アイデンティティドメインも、心当たりが無ければDefaultと答えれば通ることが多いはずです（新しめのアカウントは基本的にこちら）。
カード情報を聞かれて不安になった人へ
5番目を見た瞬間、ん、大丈夫か、と身構える人もいるかも。
ただ、今回はoracle.comの公式ページから自分でたどったチャットであること、そして聞かれたのが有効期限と下4桁だけであることから応じています。
この2つは決済には使えない情報で、実際にOracleの本人確認で使われる項目です。
逆に言えば、この手の質問はフィッシングが最も真似しやすい形でもあります。以下は覚えておいて損がないと思います。
- チャットの入口は必ず自分でoracle.comを開いてたどる。メールやSMSのリンクから入らない
- カード番号のフル桁・セキュリティコード（CVV）・パスワード・ワンタイムパスワードは、正規のサポートが絶対に聞かない。聞かれたらその時点で打ち切る
- 「今すぐ」「このままだとアカウントが削除される」と急かしてくる相手は疑う
所要時間と、その後の流れ
チャット開始からリセットの受付完了まで、実測で11分でした。
| 時刻 | できごと |
|---|---|
| 16:18 | お問い合わせページからチャット開始・1人目の担当者 |
| 16:21 | メールアドレスとアカウント名を伝える→転送のアナウンス |
| 16:22 | 2人目の担当者につながる（待ち行列1番・4分待ち） |
| 16:24 | 本人確認の5項目を提示される |
| 16:27 | 回答→「Verification is successful」 |
| 16:29 | MFAリセットのキューに登録完了・インシデントID発行 |
案内された内容はこうです。リセットの目安は4〜6時間。4時間ほど経ってからコンソールにログインすると、新しいMFAを設定する画面が出るので、そこから画面の指示に従って登録し直す。
6時間を過ぎても出ない場合は、発行されたインシデントIDを添えて再度連絡する——。
インシデントIDは必ず控えてください。チャットを閉じると履歴は残りません。
私はスクリーンショットで残しました。
【追記】MFAの再設定はこの6ステップだった
受付から約6時間後にコンソールへアクセスしたところ、案内どおり新しいMFAを登録する画面が出て、無事に再設定できました。
ただし私は用事があって4時間の時点では確認していないので、実際にはもっと早く終わっていた可能性があります。少なくとも「6時間あれば終わっている」とは言えます。
ここからは実際の画面を順番に載せていきます。
1. クラウド・アカウント名を入れる
入口はいつものログイン画面です。テナンシ名（クラウド・アカウント名）を入れて「次に進む」。ここは普段どおりで大丈夫です。
2. ユーザー名とパスワードでサインイン
パスワードは今までのものがそのまま使えます。リセットされたのはMFAだけなので、パスワードは変わりません。
普段との違いは、このあとワンタイムパスワードの入力を求められないところです。
3.「セキュアな検証の有効化」が出たら成功
この画面が出れば、サポート側のMFAリセットが完了している証拠です。
逆にここでいつもどおりワンタイムパスワードを求められるようなら、まだリセットが反映されていません。もう少し待つか、インシデントIDを添えて問い合わせることになります。
4. 登録する方法を選ぶ
「モバイル・アプリ」と「FIDOオーセンティケータ」の2択です。認証アプリでやり直すなら前者を選びます。
5. QRコードを認証アプリで読み取る
Oracle Mobile Authenticatorを開いて「アカウントの追加」からスキャンします。
ここで見落とさないでほしいのが、QRコードのすぐ上にある「オフライン・モードまたは別のオーセンティケータ・アプリケーションを使用」のチェックボックスです。これにチェックを入れると、Google AuthenticatorやAuthy、1Passwordなど他の認証アプリでも登録できます。
今回の反省を踏まえるなら、クラウド同期に対応したアプリを選んでおいたほうが賢明です。そうしておけば、次に機種変更や初期化をしても同じ目には遭いません。
なお、上のスクリーンショットのQRコードは塗り潰してあります。
QRコードは認証のシードそのものなので、これが写った画像は絶対に共有しないでください。読み取れる人は誰でも、あなたのワンタイムパスワードを生成できてしまいます。
6.「正常に登録されました」で完了
これで復旧完了です。締め出されてから約6時間、あっけないくらい普通にコンソールへ戻れました。
そして最後の画面では「追加のセキュアな検証方法」の登録を薦められます。ここは飛ばさないほうがいいです。FIDOオーセンティケータなどを2つ目として登録しておけば、次に認証アプリを失っても自力で戻れます。
今回の一件はまさに「2つ目が無かったから」起きた事故なので、ここまで読んだ方はぜひこの画面で手を止めてください。
今回の教訓（自分への申し送り）
- 認証アプリは端末バックアップでは戻らない。クラウド同期をオンにするか、リカバリーコードを別の場所に保存しておく。これに尽きます。
- クラウドの管理者は2人（2デバイス）用意する。ひとりで運用しているなら、せめて自分用のもう1アカウントを作ってMFAを別端末に登録しておくと、今回のような事故が数分で片付きますね。
- 復旧に必要な情報をパスワードマネージャのメモに書いておく。テナンシ名・アイデンティティドメイン・登録メール・登録電話番号・支払いカードの下4桁と有効期限。今回聞かれたのがまさにこれでした。
- SSH鍵は別経路として死守する。コンソールが死んでもサーバが生きていれば、サイトは止まりません。鍵のバックアップ場所を今すぐ確認しておいてください。
- 暗号化なしのiTunesバックアップは認証情報を含まない。保存済みパスワード・Wi-Fi設定・認証アプリのシードは入りません。バックアップを取るときは暗号化にチェックを入れる。
よくある質問
有料のサポート契約が無くても対応してもらえる？
私の場合はOracle Cloud Free Tier（無料枠）の利用ですが対応してもらえました。技術的なトラブルシューティングと違い、ログイン・アカウント・課金まわりの問い合わせは契約の有無にかかわらず窓口があります。手厚いですね～
サイトやインスタンスは止まる？
止まりません。コンソールにログインできないだけで、動いているVMやサービスはそのまま稼働し続けます。SSHで入れるなら中の作業も普通にできます。
チャットは日本語で対応してもらえる？
今回は英語でした。定型的なやり取りなので翻訳でも問題ありませんが、英語で来る前提で臨んだほうが慌てずに済みます。
テナンシ名がわからないときは？
Oracleから届いている登録完了メールや請求メールに書かれています。うろ覚えでも、登録メールアドレスと合わせて伝えれば向こうで照合してもらえました。
QRコードのスクリーンショットを残しておけば、次は自力で復旧できる？
できません。私も同じことを考えて再設定時のQRコードを保存していたのですが、あとで実際にデコードして中身を確認したところ、復旧には使えないものでした。
Google Authenticatorなどで使う一般的なQRコードは otpauth:// で始まり、secret= に共有秘密がそのまま入っています。だから何度読み込んでも同じワンタイムパスワードが生成され、スクリーンショットがバックアップとして機能します。
ところがOracle Mobile Authenticatorの登録QRは oraclemobileauthenticator:// という独自スキームで、中身はこうなっていました（全1,088文字。通常のTOTP用QRは100〜150文字です）。
| パラメータ | 意味 |
|---|---|
OTP（587文字） | 暗号化された登録用データ |
RequestId | この登録リクエスト固有のID |
Deviceid | 端末の識別子 |
LoginURL | 登録先のエンドポイント |
RSA / KeyPairLength | 鍵ペアを生成する方式であることを示す |
secret= がどこにもありません。つまりこれは秘密鍵のバックアップではなく、端末を登録するための一回限りの整理券です。
実際の認証情報はスキャンした瞬間にスマホの中で鍵ペアとして生成されるので、構造上、QRコードの中に認証情報は入っていません。RequestId が示すとおり使い捨てですし、独自スキームなので他の認証アプリでは読み取れません。
では何を保存しておけばいいのかという。
Oracle Identity Domainsの「バイパス・コード」！！
コンソール右上のプロフィールから「マイ・プロフィール」→「セキュリティ」で発行できます。これをパスワードマネージャに控えておけば、認証アプリが消えてもログインできます。
本当の意味でのリカバリーコードはこれです。
もう一つ、前述の「オフライン・モードまたは別のオーセンティケータ・アプリケーションを使用」にチェックを入れて登録する方法もあります。こちらなら標準の otpauth:// 形式で発行されるので、クラウド同期に対応した認証アプリに入れておけば機種変更でも消えません。スクリーンショットを保存する作戦が成立するのは、この方式で登録した場合だけです。
まとめ
認証アプリを失った時点では「これはもうアカウントごと諦めるやつ？？ それはだるい」と本気で思いましたが、公式サイトからサポートチャットにたどり着ければ、本人確認さえ通ればリセットしてもらえます。かかったのはチャット11分と待ち時間だけでした。
なかなかの早さで解決しました。
とはいえ、これは事故の後始末です。
本当に必要なのは、認証アプリのリカバリーコードを今日中に保存しておくこと。
この記事を読んで思い当たった方は、読み終わったその足でやっておくことを強くおすすめします。私は5分の手間をケチって少々時間を溶かしました。
※本記事は2026年8月時点の個人の体験に基づく記録です。サポートの窓口や対応内容は変更される可能性があります。実際の手順は必ずOracleの公式情報をご確認ください。
