大東 信仁（ものくろ） 
YubiKey を4本、買いました。
OpenAI × Yubico のコラボ版です。NFC に対応した YubiKey C NFC が2本、USB-C に挿しっぱなしにできる YubiKey C Nano が2本。
パッケージには「OpenAI | yubico」の文字。
中身は通常の YubiKey と同じらしく、ChatGPT 以外のサービスでも使える様子です。
で、Claude Code に相談しながら、Google のメインアカウント、Apple ID、1Password の3つに、4本とも登録しました。
やってみて、わかったのが、Yubico のサイトでの登録は要らない、ということ。
最初に「Yubico のサイトに登録が必要？」と迷った
開封して、まず思ったのが、これ。
Yubico のサイトでユーザー登録とか、製品登録とか、必要なのかな、と。
Claude Code にリサーチを頼んだら、不要とのこと。
YubiKey は、使いたいサービス側で鍵を登録する仕組みらしく、Yubico のアカウントを作る、といった手順はないんですよね。
ひとつ、新品の NFC モデルは、一度 USB に3秒以上挿すと NFC が使えるようになるらしい。Yubico の OpenAI 向けセットアップページに書いてある、とのことでした。
Yubico Authenticator は、あえて1つ前のバージョンを入れた
Mac には、Yubico の公式アプリ Yubico Authenticator を入れました。
Homebrew で、Claude Code がインストール。
このとき、最新版は 7.5.0。
が、
公開されたのが2日前でした。
npm などのサプライチェーン攻撃が続いているので、公開直後のバージョンは避けるルールを Claude Code に設定していまして、それに引っかかった。
なので、入れたのは 7.4.1。
インストール後に、Yubico Limited の正規の署名と、Apple の公証も Claude Code が確認してくれました。
7.5.0 には、2週間ほど経ってから更新する予定です。
PIN は何桁にするか
最初のサービス登録で PIN を作ることになるので、何桁にするといいのか、Claude に聞いてみた。
答えは、6〜8桁の数字。
YubiKey の PIN は鍵の中でチェックされるので、鍵が手元にないと試せない。しかも、8回間違えるとロックされるらしい。
なので、長くて複雑な PIN でなくても十分、という話でした。
ただ、ロックしてリセットすると、鍵の中のパスキーが全部消えて、各サービスに登録し直しになるらしい。ここは注意です。
4本とも同じ PIN にしておくと、どれがどれだったか迷わずに済みます。
Google は4本の登録が4分ほど
Google アカウントのセキュリティ キーの画面で、1本ずつ登録していく。
1本目を登録すると、「このセキュリティ キーを承認しますか？」という確認が出ました。
新しく登録した鍵は、セキュリティ上の理由ですぐには使えず、待機期間があるらしい。既存のパスキーで承認すると、その時間を短縮できる、と。
承認して、残りの3本も続けて登録。
登録時刻を見ると、22:28 から 22:32。4本で4分ほどでした。
ただ、4本とも「FIDO2 セキュリティ キー（日時）」という名前で並ぶので、どれがどの鍵か、見分けがつかないんですよね。
1本ずつログインすると「最終使用日」が更新されるので、それで見分けて名前を付けるのが良いらしい。これは、まだやっていません。
高度な保護機能プログラムは OFF のまま
Google には、ログインを鍵とパスキーだけに制限する「高度な保護機能プログラム」もあります。
ON にした方がいいのか、Claude に聞いたら、今は OFF のままでよいのでは、と。
理由は、Gmail や Google Drive にアクセスできる外部アプリが、確認済みのものに制限されるらしく、Claude Code から Gmail や Google Drive を触っている連携が止まるおそれがある、とのこと。
まーそうですよね。
なので、今は OFF のままです。
1Password では操作を間違えまして
1Password は、1Password.com の「Two-factor authentication」の画面から、「Add a Security Key」で登録します。
ここで、1本目の登録で操作を間違えまして。
登録を消そうとしたら、2段階認証ごと OFF にする画面に。
Claude Code に聞いたら、鍵が1本しかない今なら、2段階認証ごと OFF にして、やり直しても問題ない、とのことで、パスワードを入れて OFF に。
そこから、改めて4本を登録しました。
ちなみに、鍵が1本だけ登録された状態だと、画面に「Don’t get locked out!」と赤い枠で警告が出ます。その1本をなくしたら、新しい端末でサインインできなくなるので、続けて全部登録するのが大事らしい。
1Password では、鍵を使うのは新しい端末でサインインするときだけ。毎日のロック解除は、今までどおりです。
Apple ID も4本
Apple ID にも、4本とも登録しました。
Apple の場合、鍵を全部なくすと、アカウントにアクセスできなくなるおそれがあるらしい。
なので、ここは特に、4本の保管場所を分けておきたいところです。
4本は、バックアップのため
「4本登録して、バックアップにする、で合っているのか？」と、Claude Code に確認しました。
合っている、とのこと。
同じアカウントに複数の鍵を登録しておけば、1本なくしても、残りの鍵でログインできる。
ただし、4本を同じ引き出しに入れていたら、盗難や火事でまとめてなくなるので、少なくとも1本は別の場所に保管すること。
それと、新しいサービスに登録するときも、毎回4本すべてを登録すること。鍵は複製できないので、予備の鍵だけ登録されていないサービスがあると、バックアップにならないんですよね。
Claude Code の提案は、C Nano の1本を Mac に挿しっぱなし、C NFC の1本をキーホルダーに付けて持ち歩き、残りの2本を予備、という分け方でした。
C Nano は、挿しっぱなしにしても、ほとんど出っ張りません。（MacBook の右側のポートに挿しています）
C NFC は、挿すとこれぐらい出ます。iPhone には、かざして使えるのが NFC モデルの良いところ。
まとめ
Google のメインアカウント、Apple ID、1Password の3つに、YubiKey を4本ずつ登録しました。
Yubico のサイトでの登録は不要。
PIN は6〜8桁の数字で、4本とも同じに。
登録するときは、毎回4本すべて。
残っているのは、鍵ごとにログインを試すこと、Google の鍵に名前を付けること、予備の鍵を別の場所に移すこと。
そんな感じで、使っていきます！
