balena の2FA：balenaCloud に認証アプリを設定する方法

balenaCloud のアカウントでは、接続されたデバイスのフリート全体を管理します。デバイスで動くコード、デバイスへの SSH アクセス、そのすべてを変更できる API キーです。そのため、パスワードだけで守るには重要すぎるアカウントです。balena の2要素認証（2FA）は任意で、方法は認証アプリの時間ベースのコード（TOTP）の1つだけです。ドキュメントには SMS の選択肢はありません（balena、balena）。このガイドでは iPhone の Authenticator App - Novaz を使いますが、どの認証アプリでも手順は同じです。

このガイドの確認方法: balena の手順は、下にリンクした balena 公式のドキュメントに基づいています（2026年10月21日に確認）。ロックアウトについては、balena の公式フォーラムでの balena チームの回答も確認しました。balenaCloud のアカウントでは何も試していないため、ラベルが多少異なる場合があります。Novaz の手順は、アプリのバージョン 1.0.5 で確認しています。

認証アプリで2FA を有効にする

balena のアカウントに関するドキュメントでは、次の手順が説明されています（balena）。

1. balenaCloud のダッシュボードにサインインします。右上のプロフィールをクリックし、Preferences（環境設定）ページを開きます。
2. Two-factor Authentication（2要素認証）タブを開き、Enable two-factor authentication（2要素認証を有効にする）をクリックします。
3. QR コードと Pairing code（ペアリングコード）欄が表示されます。Novaz で + をタップし、QR コードをスキャン をタップして、モニターのコードにカメラを向けます。同じ iPhone でダッシュボードを開いている場合は、スクリーンショットを撮り、+、写真を選ぶ の順にタップします。詳しくは同じ iPhone で QR コードを読み取る方法をご覧ください。
4. Novaz の6桁のコードを Pairing code に入力します。
5. リカバリーコードが表示されます。ダウンロードして安全な場所に保管してから、OK をクリックします。

ドキュメントによると、2FA はペアリングに成功して初めてオンになるため、途中でやめてもロックアウトされることはありません。

balena のドキュメントには、スキャンの代わりに入力できるテキストのキーの記載がなく、コードが何秒ごとに切り替わるかも書かれていません。QR コードをスキャンしてください。コードの設定がアプリに伝わります。キーを見つけて キーを手動で入力 で入力する場合、Novaz は「30秒ごとに6桁」として扱います。詳しくは2FA の設定キーとは？をご覧ください。

balena の動作確認済みアプリの一覧には、Google Authenticator、Authy、1Password が挙げられています。Novaz は載っていませんが、同じ標準的な TOTP のコードを生成します。

SAML でサインインする場合

会社のシングルサインオンを使っていて、2FA を有効にしようとするたびにエラーが出る場合、balena はいったんログアウトしてサインインし直し、すぐにもう一度試すよう勧めています（balena）。

balena がコードを求めるタイミング

設定後は、次回のサインインでユーザー名とパスワードを入力したあとに、アプリのコードを求められます（balena）。デバイスを記憶する、または信頼する機能について、ドキュメントには記載がありません。

コマンドラインでは、balena login でメールアドレス、パスワード、2FA のコードを入力するか、ダッシュボードから CLI を承認するか、セッショントークンや API キーを使います（balena）。API キーは取り消さない限り期限が切れず、あなたのすべての権限を持つ（balena）ため、リカバリーコードと同じように厳重に管理してください。

リカバリーコードを保管する

balena が説明している予備の手段は、リカバリーコードだけです。iPhone がなくなり、Novaz のバックアップがない場合、あるいは balena を追加する前に作ったバックアップしかない場合に、アカウントに戻る手段になります。iPhone から離れた場所、パスワードマネージャーや紙に保管してください。詳しくは2FA のバックアップコードをご覧ください。

balena がコードを受け付けない場合

balena のドキュメントによると、アプリのカウントダウンが終わるとコードは使えなくなるため、表示されているうちに入力します。新しいコードでも失敗が続く場合は、iPhone の時計を確認します。設定 › 一般 › 日付と時刻 › 自動設定 です。時計が15秒以上ずれていると、Novaz が警告を表示します。そのほかの原因は認証アプリのコードが使えない場合をご覧ください。

機種変更するとき

2FA を新しいスマートフォンに移す方法は、balena のドキュメントに書かれていません。説明されている手順は、オフにして再びオンにすることです。古い iPhone が手元にあるうちに2FA を無効にし、もう一度有効にして、新しい iPhone で新しい QR コードをスキャンします。Novaz の iCloud バックアップをオンにしているかバックアップファイルを保存している場合は、新しい iPhone で復元する方が簡単です。コードはそのまま使えます。詳しくは認証アプリを新しい iPhone に移行する方法をご覧ください。

認証アプリをなくした場合

リカバリーコードの1つを使ってサインインします。コードがない場合、balena のドキュメントには自分で解決する手段がありません。ヘルプを求める場として案内されているのは、balena のフォーラムの製品サポートのセクションです（balena）。

2023年のフォーラムのスレッドでは、フォーラムのモデレーターとして記載されている人を含む balena チームが、回答の中で手続きを説明しています。アカウントが自分のものだと証明する最も早い方法はリカバリーコードです。それがない場合、balena は、balenaCloud アカウントに追加した SSH キーの秘密鍵を持っているかを確認します。balena から渡された文字列に署名し、その結果を balena のチームメンバーに非公開で送ります。公開の投稿には決して書かないでください。署名が確認されると、balena が2FA を解除し、パスワードだけでサインインできるようになります（balena forums）。これはドキュメントではなくフォーラムの回答に基づく情報で、どのくらいかかるかは balena に書かれていません。デバイスで SSH を使っているなら、そのキーは手放さないでください。詳しくは認証アプリの入った iPhone をなくした場合をご覧ください。

2FA をオフにする

環境設定の Two-factor Authentication タブに戻り、Disable two-factor authentication（2要素認証を無効にする）をクリックします。先にアカウントのパスワードを求められます（balena）。GitHub や Google で登録してパスワードを設定していない場合は、同じページの Account details（アカウントの詳細）タブで追加できます。

balena 公式ヘルプ

• Account management
• Security
• Enterprise Single Sign-On (SSO): Introduction
• Balena CLI reference (latest)
• Getting Help
• Disable 2FA Reset without recovery codes（balena チームの回答がある balenaForums のスレッド）