Microsoft Entra ID のパスキー（FIDO2）認証方式

By Mirko Peters · 2026-08-24

FIDO2 パスキー認証を Entra ID で実装する方法を学びます。この強力な認証方式を使って、パスキーが既定のサインイン方法になる時代に備えましょう。

Automatically translated with AI from the original post. Read the English original

パスキー（FIDO2）— 定義

パスキーは、FIDO2 標準に基づく最新のフィッシング耐性のある認証資格情報です。パスワードを暗号鍵のペアに置き換えます。パスキーは、ユーザーのデバイスに保管される秘密鍵と、サービスが保存する公開鍵で構成されます。サインイン時には、サービスがデバイスに秘密鍵を保有していることの証明を求めます。これにより、安全なパスワードレス認証が可能になります。

簡単な説明

FIDO2 パスキーは、共有シークレット（パスワード）を排除し、公開鍵暗号を用いることで、認証を簡素化かつ強化します。パスキーはユーザーのデバイスに紐付けられ、生体認証（指紋、顔認証）やローカル PIN などのデバイスのロック解除方法で保護されます。認証はユーザーが入力するパスワードではなく暗号による署名に基づくため、パスキーはフィッシング、リプレイ攻撃、資格情報の使い回し攻撃（クレデンシャル スタッフィング）に強い仕組みです。Microsoft Entra などのソリューションはパスキーに対応しており、Web アプリとモバイル アプリの両方で途切れのない安全なサインインを可能にします。必要に応じて、信頼できるクラウド プラットフォームの機能を通じて、デバイス間で鍵を同期させることもできます。

デジタル セキュリティが進化する中、組織の資産とユーザー ID を守るには、堅牢な認証方式が不可欠です。本記事では、Microsoft Entra ID におけるパスキーの実装とメリット、特に FIDO2 認証について解説します。パスキーとは何か、FIDO2 がどのように機能するか、そしてセキュリティ態勢の強化やサインインのユーザー体験の効率化にどのような具体的なメリットがあるかを見ていきます。

Microsoft Entra パスキー — パスキー（FIDO2）に関する9つの意外な事実

• パスキーは単なる「強力なパスワード」ではありません。公開鍵暗号を使用するため、サーバーが保存するのは公開鍵のみで、秘密鍵がデバイスの外に出ることはありません。
• パスキーは本質的にフィッシングに強い仕組みです。WebAuthn/FIDO2 は資格情報をサイトのオリジンに紐付けるため、偽のサイトが使用可能な認証データを取得することはできません。
• パスキーは、プラットフォームのクラウド バックアップ（Apple iCloud Keychain、Google Password Manager、Microsoft アカウント）を介して複数のデバイス間で同期でき、復旧を可能にします。ただし、クラウド プロバイダーという新たな信頼の対象が生じます。
• 1つのアカウントおよび1つのデバイスに対して、複数のパスキーを作成できます。1つの資格情報に頼るのではなく、バックアップやデバイス間でのアクセスのために複数のパスキーを作成することが推奨されます。
• パスキーは生体認証やデバイスの PIN による確認に対応していますが、生体情報を送信することはありません。デバイスがローカルでユーザーを確認し、秘密鍵でチャレンジに署名します。
• パスキーは、プラットフォーム認証機能（スマートフォンやノート PC に組み込まれたもの）とローミング認証機能（USB や NFC のセキュリティ キー）の両方をサポートします。これにより、Microsoft Entra パスキーの展開においてクロスプラットフォームの戦略が可能になります。
• 匿名化アテステーションを使用しない限り、パスキーのアテステーションによってデバイスのモデル情報が依存先のサービス（リライング パーティ）に明らかになる場合があります。導入時には、プライバシーに関する選択が重要です。
• パスワードからの移行によって、アカウント乗っ取りを大幅に減らせます。ただし、デバイス紛失時のロックアウトを避けるため、アカウント回復や代替の認証方法といったフォールバックの仕組みは、組織にとって依然として必要です。
• パスキーの導入は、規制やセキュリティのフレームワークへの対応にも役立ちます。FIDO2 認証はフィッシングに強い強力な認証方式として認められており、Microsoft Entra ID（Entra）に統合すればコンプライアンス対応を簡素化できます。

パスキーと FIDO2 の理解

パスキーとは？

パスキーは、従来のパスワードに代わる、より安全で使いやすい認証方式として、認証技術における画期的な転換を意味します。 パスキーの中核は暗号資産格納型の認証情報ではなく、暗号化された認証情報です。覚えにくい文字列を入力しなくても、ユーザーはWebサイトやアプリケーションにサインインできます。認証では公開鍵暗号方式を使用します。オンラインアカウントごとに固有の鍵ペアが生成されます。公開鍵はサービス提供者(例: Microsoft Entra ID)に保存されます。秘密鍵は、ユーザーのデバイス内、または安全な認証システム内に安全に保持されます。ユーザーがサインインを試みると、サービスはデバイスに対して秘密鍵を保有していることの証明を求めます。この検証は暗号学的に行われ、秘密鍵そのものが送信されることはありません。この設計により、パスキーはフィッシングやその他の資格情報ベースの攻撃に対して格段に強く、デジタルID保護の水準を一段引き上げます。 ユーザーはスマートフォンから専用のFIDO2セキュリティキーまで、さまざまなデバイスにパスキーを登録できます。これにより、柔軟で回復力の高い認証方式が実現します。

FIDO2認証の概要

FIDO2認証は、パスキーの概念を支える基盤となるオープン標準です。 FIDO Allianceが World Wide Web Consortium(W3C)と共同で策定したFIDO2は、Web全体で強固なフィッシング耐性のある認証を実現するためのプロトコル群を定義しています。この標準では、Web API であるWebAuthnと、クライアントと認証器の間のプロトコルであるCTAP2を利用し、ユーザーのデバイス(認証器)とオンラインサービスの間で安全な通信を実現します。組織がMicrosoft Entra IDでパスキーを有効にするということは、実質的にFIDO2認証を有効にすることを意味します。 これにより、ユーザーはFIDO2セキュリティキーや認証器として動作するデバイスからパスキーを登録できます。ユーザーがパスキーを作成すると、それは主要な認証方式になるか、多要素認証の強力な要素になります。この仕組みでは秘密鍵が認証器から外部へ出ることがなく、一般的なサイバー脅威に対する強固な防壁となり、認証セキュリティの新たな基準を打ち立てます。Microsoft Entra IDはFIDO2を全面的にサポートしており、管理者は強力なサインインオプションとしてパスキーを有効にできます。

パスキー利用のメリット

Microsoft Entra IDでのパスキーの採用には、主にセキュリティの強化とユーザーエクスペリエンスの向上を中心とした、多くの魅力的なメリットがあります。この移行は、パスワードレスな未来に向けた積極的な一歩であり、現代のID管理に実用的で効果的なソリューションを提供します。組織はパスキーを強力な多要素認証の要素として実装し、全体的なセキュリティ態勢を強化することもできます。Microsoft Entra ID内でパスキーを直接登録できることは、Microsoft Authenticatorアプリや専用のFIDO2セキュリティキーを通じて行われることが多く、Entra管理者にとって導入と管理を簡素化します。

Microsoft Entra パスキーの長所と短所

長所

• フィッシングに強い認証: パスキーはデバイスに紐付いた公開鍵暗号を使用するため、フィッシングによる資格情報の窃取を防ぎます。
• 簡単なユーザーエクスペリエンス: サインインには多くの場合、プラットフォームの生体認証またはPINを使用するため、パスワードと比べてログインの流れがシンプルになります。
• デバイス間の同期: 多くの実装(Microsoft Entra パスキーのようなサービスと統合されたものを含む)では、利便性のためにユーザーのデバイス間で資格情報を同期できます。
• パスワード管理の負担を軽減: パスワードの作成、記憶、リセットが不要になり、サポートコストと利用者の手間を減らします。
• 強力なプライバシー保護: 認証デバイスに開示されるのは、依存当事者のオリジンのみです。資格情報はサイトをまたいで再利用できません。
• 後方互換性のある移行: 既存の認証方法と並行して導入でき、段階的な展開が可能です。

欠点

• デバイス依存とリカバリーの複雑さ: 利用者がすべてのデバイスや同期へのアクセスを失った場合、アカウントの回復はパスワードのリセットより複雑になることがあります。
• プラットフォーム間のサポートのばらつき: 改善は進んでいるものの、すべてのブラウザー、プラットフォーム、サービスがパスキーのフローを同じレベルでサポートしているわけではありません。
• 実装の複雑さ: アカウントのライフサイクル、リカバリー、複数デバイスへの展開と適切に統合するには、慎重な設計と開発が必要です。
• エンタープライズのポリシーとコンプライアンス: パスキーを広く導入するには、ID ガバナンス、デバイス管理、コンプライアンスのポリシーを更新する必要がある場合があります。
• 利用者への教育が必要: パスキーという概念に不慣れな利用者もおり、デバイスの使い方やリカバリーの選択肢について案内が必要になることがあります。

FIDO2: 長所と短所

長所

• 強力な暗号認証: FIDO2 は公開鍵ベースの資格情報による認証を提供し、本質的にフィッシングやリプレイ攻撃に強い仕組みです。
• 標準規格に基づき相互運用可能: 主要なプラットフォーム、ブラウザー、セキュリティキーで広くサポートされており、幅広いエコシステムで互換性があります。
• 認証子の柔軟性: デバイスに組み込まれたプラットフォーム認証子と、セキュリティキーなどのローミング認証子の両方をサポートし、展開方法を選択できます。
• セキュリティ態勢の向上: サーバーは公開鍵のみを保存するため、パスワードへの依存を減らし、資格情報データベースの漏えいによる影響を抑えられます。
• エンタープライズへの対応力: FIDO2 はエンタープライズの ID プロバイダーと統合でき、Microsoft Entra などのソリューションと組み合わせて、より強力な認証ポリシーを適用できます。

欠点

• 展開と統合の負荷: FIDO2 を既存システム、シングル サインオン、レガシー アプリケーションに統合するには、多くの開発とテストが必要になることがあります。
• 利用者のデバイスとハードウェアの要件: プラットフォーム認証子を使うには、ローミング キーの購入や対応デバイスが必要になる利用者がいます。
• アカウント回復の難しさ: 安全で使いやすいリカバリー手順を、弱い認証手段を再び持ち込まずに確立することは困難です。
• 運用の負荷: ハードウェア トークンの管理、プロビジョニング、紛失時の対応、ライフサイクル ポリシーにより、IT 部門の作業が増えます。
• ユーザー エクスペリエンスの断片化: ブラウザーやプラットフォームごとに FIDO2 フローの UI の実装が異なるため、デバイスによって利用体験に一貫性がなくなることがあります。

Microsoft Entra ID でのパスキーの設定

パスキーの登録方法

Microsoft Entra ID にパスキーを登録するには、利用者はさまざまな方法を利用できます。同期されるパスキーでは、Microsoft Authenticator アプリが主な選択肢です。通常は、利用者のセキュリティ情報ページに移動するか、サインイン時に表示される特定のプロンプトから手続きを始めます。開始すると、利用者はパスキーを作成するよう案内されます。多くの場合、デバイスでの生体認証や PIN の確認が必要です。この操作により暗号鍵のペアが安全に生成されます。公開鍵は Microsoft Entra ID に登録され、秘密鍵はデバイス上、または安全なパスキー プロバイダー内に保持されます。FIDO2 セキュリティ キーを使う場合は、物理キーを接続し、画面の指示に従ってパスキー プロファイルを設定します。Entra 管理者はパスキーの登録ポリシーを管理し、利用者が簡単にパスキーを登録して、フィッシングに強い認証の能力を高められるようにできます。

Authenticator でのパスキーの有効化

Microsoft Authenticator でパスキーを有効にすることは、シームレスで安全なサインイン体験を提供したい組織にとって重要な手順です。Entra 管理者は、Microsoft Entra 管理センターでポリシーを構成し、ユーザーが Authenticator アプリから同期済みパスキーを直接登録できるようにできます。手順は、認証方法のブレードに移動し、FIDO2 とパスキーの固有の設定を管理することから始まります。有効にすると、ユーザーには Authenticator アプリの設定に「パスキーの作成」オプションが表示されます。通常は「セキュリティ情報」セクションにあります。同期済みパスキーを登録すると、複数のデバイスで Microsoft Entra アプリケーションへのサインインに使用できます。これにより多要素認証の戦略が大きく強化され、パスワードレスの未来に近づけます。Microsoft Learn のリソースでも紹介されているとおりです。

パスキーを既定の認証方法にする

セキュリティ体制を強化し、真のパスワードレス環境を採用したい組織にとって、Microsoft Entra ID でパスキーを既定の認証方法にすることが最終的な目標です。Entra 管理者または認証ポリシー管理者のロールを持つユーザーは、認証ポリシーを構成して、従来のパスワードよりもパスキーを優先できます。具体的には、Microsoft Entra 管理センターでパスキーを優先の方法として設定し、可能な限りユーザーがパスキーでサインインするように促されるようにします。ユーザーの準備状況を確認するため段階的な展開が必要になる場合もありますが、パスキーを既定の認証方法にできることは、フィッシング耐性のある認証を大きく高め、安全性の低い方法への依存を減らし、ユーザー体験も合理化します。この戦略的な転換は、より安全で効率的な ID 管理のエコシステムに向けた、Microsoft Entra ID の継続的なセキュリティ更新と機能強化を裏付けるものです。

チェックリスト: Microsoft Entra パスキーの設定

このチェックリストを使用して、Microsoft Entra ID（Microsoft Entra パスキー）のパスキーを計画、展開、検証してください。

前提条件

• Azure AD / Microsoft Entra ID テナントが有効であること、およびグローバル管理者または ID 管理者の権限があることを確認します。
• パスワードレス認証と FIDO2/パスキー機能をサポートするサブスクリプションとライセンスを確認します。
• ユーザーが使用するデバイスとブラウザーがパスキー/FIDO2 をサポートしていることを確認します（最新の Windows、macOS、iOS、Android、Chromium ベースのブラウザー）。
• 組織にパスワードレス導入の計画と周知の戦略が文書化されていることを確認します。

Microsoft Entra ID の準備

• Microsoft Entra 管理センターに移動し、認証方法 > ポリシーを開きます。
• パスキー（FIDO2）認証方法を有効にし、対象のユーザーまたはグループに対して「許可」または「必須」に設定します。
• 必要に応じてユーザーとデバイスの制限（信頼されたアンカー、プラットフォーム認証机とローミング認証器など）を構成します。
• 競合を減らし、パスワードレスのフローを優先するために、従来の認証ポリシーを見直します。

条件付きアクセスとセキュリティ設定の構成

• 適切な場合には、パスワードレスサインインを許可または必須にするよう条件付きアクセスポリシーを更新します。
• パスキーの展開と並行して、リスクベースのアクセス制御（Azure AD Identity Protection）を追加します。
• 適用する前に、レポート専用モードでポリシーをテストします。

ユーザーのオンボーディングと登録

• パスキーの登録に関するステップバイステップのガイドを作成します（Windows Hello による登録、プラットフォームやブラウザーのプロンプト、外部セキュリティキーの利用など）。
• 主要なプラットフォーム（Windows、macOS、iOS、Android）向けに、スクリーンショットと既知のデバイスでの手順を用意します。
• ユーザーごとに複数のパスキーを持つ場合のポリシーと、バックアップおよび復旧のプロセスを定義します。
• 少人数のユーザーグループでパイロットを実施し、フィードバックを収集します。

テストと検証

• サポートされているプラットフォームとブラウザー全体で、パイロットユーザーの登録とサインインが成功することを確認します。
• パスキーを使用した SSO のシナリオ、多要素認証のプロンプト、条件付きアクセスの動作をテストします。
• 代替のサインイン方法（セカンダリの多要素認証、アカウント復旧）が機能し、安全であることを確認します。
• Microsoft Entra のサインインログと認証方法の使用状況レポートを監視します。

展開と教育

• 展開スケジュール、メリット、サポートリソースをユーザーに周知します。
• IT サポートチームに、一般的な登録や障害シナリオに対応する運用手順書を提供します。
• パイロットグループから組織全体へと段階的にポリシーを適用します。

監視と保守

• 異常がないか、Microsoft Entra のサインインログと認証方法のレポートを定期的に確認します。
• パスキーに関連する導入指標とユーザーのサポートチケットを追跡します。
• OS やブラウザーの変更がパスキーの動作に影響する場合は、ドキュメントを常に最新の状態に保ってください。
• 条件付きアクセスと認証方法ポリシーを定期的に見直し、更新してください。

トラブルシューティングとロールバック

• よくあるエラー(デバイスの互換性、ブラウザーのプロンプト、登録の失敗)とその解決策をドキュメント化してください。
• パスキーを紛失してサインインできなくなったユーザー向けに、アカウントの回復と緊急アクセスの手順を明確に用意してください。
• 重大な問題が発生した場合に備えて、認証方法の適用を元に戻す準備を整え、ロールバックの手順を関係者に周知してください。

セキュリティとコンプライアンスに関する考慮事項

• パスキーの展開が、組織のセキュリティポリシーとコンプライアンス要件に沿っていることを確認してください。
• パスキーの保存方法と構成証明(アテステーション)の方法が、エンタープライズの基準を満たしていることを検証してください。
• サードパーティの認証システムおよびデバイスベンダーのセキュリティガイダンスを確認してください。

このチェックリストを完了することで、組織全体で Microsoft Entra パスキーを安全かつ確実に導入できるようになります。

パスキーの種類と機能

同期パスキーの詳細

同期パスキーは、パスキーのエコシステムにおいて、特に Microsoft Entra ID 内で、ユーザーの利便性とアクセスのしやすさを大きく前進させるものです。これらのパスキーは、ユーザーの複数のデバイス間で同期されるように設計されており、FIDO2 認証の堅牢なセキュリティを損なうことなく、シームレスなサインイン体験を提供します。ユーザーがあるデバイスでパスキーを作成すると、そのパスキーは、多くの場合オペレーティングシステムに直接統合された、または专用のパスワード マネージャーである安全なパスキー プロバイダーを介して、他の認証済みデバイスに安全に複製されます。たとえば、Microsoft Authenticator アプリで同期パスキーを有効にすると、ユーザーは一度パスキーを登録するだけで、同じアカウントにリンクされたデバイスであれば、スマートフォン、タブレット、PC のいずれからでもそのパスキーを使って Microsoft Entra ID にサインインできます。この機能により、パスキーを既定の認証方法として活用しやすくなり、ユーザーが常にフィッシングに強い認証資格情報を利用できるようにすることで、組織が真のパスワードレスな未来に近づきます。

利用可能なパスキーの種類

同期パスキー以外にも、Microsoft Entra ID で認証方法を効果的に管理するには、Entra 管理者がパスキーのさまざまな形態を理解しておくことが重要です。主な違いは、同期パスキーとデバイス バインド型パスキーの間にあります。どちらの種類も、フィッシングに強い認証のために FIDO2 標準を利用しますが、展開と管理の方法は異なります。組織は、一般的なユーザーの利便性のために同期パスキーを有効にする一方で、特権の高いアカウントや特定のコンプライアンス要件に対しては、デバイス バインド型パスキーを必須にすることを選択できます。これにより、柔軟で堅牢な認証戦略を構築できます。この包括的なアプローチにより、組織は多様なセキュリティ要件やユーザーの好みに合ったパスキーを登録できます。

FIDO2 セキュリティ キーの使用

FIDO2 セキュリティ キーは、パスキーを利用するための安全性の高い独立した方式であり、Microsoft Entra ID での FIDO2 認証専用のハードウェア認証システムとして機能します。通常は小型の USB トークンである these 物理デバイスは、改ざん耐性のあるハードウェア内で秘密キーを安全に生成して保存します。ユーザーが Microsoft Entra ID にサインインする必要がある場合は、FIDO2 セキュリティ キーを差し込み、画面の指示に従うだけです。多くの場合、キー自体で PIN または生体認証による確認が行われます。

秘密鍵がハードウェアの外に出ることがないため、多くのソフトウェアベースの攻撃を受けにくくなり、セキュリティがさらに強化されます。Entra 管理者は、FIDO2 セキュリティキーを使ってパスキーを有効にできます。これは堅牢な多要素認証の選択肢であり、重要な役割を担うアカウントや、最高レベルのセキュリティが求められる環境に強くお勧めします。FIDO2 セキュリティキーでパスキーを登録する手順は簡単で、フィッシングに強い認証方式をユーザーに提供できます。

FIDO2 セキュリティキーに関するよくある間違い

FIDO2 セキュリティキーは、Microsoft Entra Passkeys などのプラットフォームと組み合わせて使われることの多い、強力な認証ツールです。以下に、よくある間違いとその回避方法を示します。

• キーがあればアカウントの復旧も完全にカバーできると考えること: FIDO2 キーだけであらゆる復旧シナリオに対応できると考える人は多いです。キーを紛失し、代替の復旧方法（バックアップキー、リカバリーコード、Microsoft Entra Passkeys などプラットフォームで管理されるパスキー）を有効にしていない場合、アカウントにサインインできなくなるおそれがあります。
• バックアップキーや代替の方法を登録しないこと: セキュリティキーを 1 本だけ登録するのは危険です。必ず少なくとも 1 本のバックアップキーを追加し、副次的な復旧オプションも有効にして、アカウントの喪失を防いでください。
• FIDO2 キーとハードウェア OTP トークンを混同すること: FIDO2 キーは公開鍵暗号方式を使用しており、多くのワンタイムパスワード（OTP）トークンとは異なり、フィッシングに強い仕組みです。ワークフローやドキュメントでは、両者を区別して扱ってください。
• 互換性を確認せず、どこでも使えると期待すること: すべてのサイトやプラットフォームが、すべての FIDO2 機能をサポートしているわけではありません。特に Microsoft Entra Passkeys などの ID サービスと連携する場合は、ブラウザー、プラットフォーム、サービスのサポート状況を必ず確認してください。
• バックアップキーの保管方法やラベル付けが安全でないこと: バックアップキーを目立つ場所に保管したり、「security key」と表示したりすると、セキュリティが損なわれます。予備のキーは、安全で目立たない場所に保管してください。
• ファームウェアの更新やベンダーのガイダンスを軽視すること: キーによっては更新が提供されたり、既知の問題があったりします。ベンダーの注意喚起を無視するのは危険です。推奨されるメンテナンスと交換の時期に従ってください。
• 1 本のキーを複数のユーザーで共有すること: キーは通常、1 人のユーザーの ID に紐付けられています。キーを共有すると個人の責任の所在が曖昧になり、監査やコンプライアンスの要件に違反するおそれがあります。
• レジデントキーとノンレジデントキーを誤解すること: レジデント（検出可能）な資格情報はキーに保存され、ノンレジデントの資格情報はサーバーに依存します。用途に合わない種類を選ぶと、移植性や復旧の選択肢に影響することがあります。
• 物理的に所持していれば、無制限にアクセスできると考えること: 盗まれたキーでも、デバイス側の PIN や生体認証で保護されている場合があります。ただし、それらの保護を有効にしないまま安全だと考えるのは誤りです。利用可能な PIN や生体認証は必ず有効にし、デバイスのロックポリシーも検討してください。
• ユーザー教育と運用プロセスを軽視すること: 教育なしにキーを配布すると、誤用、紛失、サポートの負担増につながります。明確なオンボーディング手順、紛失時の手順、連携のヒントを提供してください（例: Microsoft Entra Passkeys を使ってユーザー体験を簡素化する）。

Windows で Entra Passkeys を使用する

Passkeys と Windows Hello for Business の統合

Entra パスキーを Windows Hello for Business と統合すると、Windows デバイスでのセキュリティ強化とサインイン体験の効率化という点で、強力な相乗効果が得られます。 組織が Microsoft Entra ID でパスキーを有効にする場合、特に Windows Hello for Business を通じて有効にすると、ユーザーは Windows 環境にすでに組み込まれている堅牢な生体認証や PIN 認証を活用できる、デバイスに紐付いたパスキーを利用できるようになります。つまり、パスキーを使ってサインインするには、指紋、顔認証、PIN など、使い慣れた Windows Hello の方法で認証するだけです。この統合により、パスキーの秘密鍵はデバイスの外に出ることがなく、Windows Hello for Business のセキュアなハードウェアで保護されるため、シームレスでフィッシングに非常に強い認証方式が実現します。 Entra 管理者は、この統合を許可するポリシーを構成できます。これにより、ユーザーはパスキーを簡単に登録し、Windows デバイスから直接、真のパスワードレスな環境を体験できます。

Windows で Entra Passkeys にアクセスする

Windows デバイスで Entra のパスキーを使用する操作は、同期されたパスキーでも、Windows Hello for Business を介した デバイス バインド型パスキーでも、シンプルかつ安全に行えるように設計されています。同期パスキーの場合、Microsoft Authenticator などのパスキー プロバイダーでパスキーを有効にしているユーザーは、Windows デバイス上でパスキー プロファイルをすぐに利用でき、Microsoft Entra アプリケーションへ簡単にサインインできます。認証を求められると、Windows がパスキーを使用するオプションを提示します。多くの場合、簡単な確認操作や生体認証を行うだけで済みます。Windows Hello for Business を利用している場合、アクセスはさらに統合されています。パスキーはデバイスのセキュア エレメントに直接紐付けられるためです。ユーザーは Windows Hello で認証するだけで、Microsoft Entra ID やその他のサービスにサインインできます。Windows 環境全体で一貫性があり、非常に安全なサインイン体験が得られ、フィッシングに強い認証機能が大きく強化されます。

セキュリティ更新プログラムとベスト プラクティス

Windows で Entra のパスキーを利用する際に最高水準のセキュリティを維持し、最適な機能を確保するには、セキュリティ更新プログラムとベスト プラクティスの遵守が不可欠です。Entra 管理者は、最新のセキュリティ強化やバグ修正を受けられるよう、Windows オペレーティング システム、Microsoft Authenticator アプリ、および FIDO2 セキュリティ キーのファームウェアを最新の状態に保つことを優先すべきです。Microsoft Entra 管理センターで認証ポリシーを定期的に確認・更新すると、パスキーの登録と利用が組織のセキュリティ要件に沿っているかを確認できます。また、パスキーを安全に作成する方法、同期パスキーとデバイス バインド型パスキーの違いの理解、デバイス保護の重要性についてユーザーへ教育することも欠かせません。Microsoft Learn には、これらのセキュリティ更新やベスト プラクティスに関する豊富な情報があり、組織が Microsoft Entra ID 環境において、回復力のあるパスワードレス認証戦略を構築するための指針となります。

トラブルシューティングとサポート

パスキーに関する一般的な問題

Microsoft Entra ID でパスキーを展開および管理する際、Entra 管理者やユーザーは、トラブルシューティングが必要ないくつかの一般的な問題に遭遇することがあります。よくある課題の一つは、特にデバイスの互換性やポリシー構成が適切に整合していない場合に、ユーザーがパスキーを正常に登録できるようにすることです。FIDO2 セキュリティ キーが認識されない場合や、既存の認証方法と競合する場合、ユーザーは困難に直面することがあります。もう一つの一般的な問題は、同期パスキーが意図したすべてのデバイス間で同期されないことです。多くの場合、接続の問題や、パスキー プロバイダーの設定の誤りが原因です。さらに、ユーザーがパスキー プロファイルを誤って削除したり、フォールバック オプションが適切に構成されていない状態でパスキーを既定の認証方法に設定しようとして問題に直面したりすることもあります。これらの潜在的な障害を理解することが、それらに効果的に対処し、円滑なパスワードレス体験を維持するための第一歩です。

パスキーを有効にして対象を設定する方法

Microsoft Entra ID でパスキーを有効にし、効果的に対象を設定することは、Microsoft Entra 管理センターでの慎重な構成を必要とする重要な管理作業です。Entra 管理者、または認証ポリシー管理者の役割を持つユーザーは、Microsoft Entra 管理センターで認証方法のブレードに移動し、組織のパスキーを有効にする必要があります。これには、FIDO2 セキュリティ キーを選択するか、Microsoft Authenticator アプリを通じて同期パスキーの登録をユーザーに許可することが含まれます。パスキーの展開対象を特定のユーザー グループに絞ることはベスト プラクティスであり、段階的な展開を可能にするとともに、適切なユーザーのみがパスキーを作成できるようにします。これは、特定のユーザー グループにポリシーを割り当てることで実現でき、許可された個人のみがパスキーを登録し、プライマリまたは多要素認証の方法としてパスキーを使用できるようにします。適切な対象設定は、パスワードレス環境への移行を管理するのに役立ち、組織のセキュリティ更新の方針とも整合します。

パスキーの設定に関するヘルプ

Microsoft Entra の管理者や、パスキーの設定で支援が必要なユーザーには、この耐フィッシング性の高い認証方式への移行をスムーズに進めるためのさまざまなリソースが用意されています。Microsoft Learn には、Microsoft Entra ID でパスキーを有効にする方法からよくある問題のトラブルシューティングまで、すべての手順を詳しく解説した包括的なドキュメントとチュートリアルがあります。Microsoft Entra 管理センターには、認証ポリシーの構成やパスキーの登録管理に関する状況に応じたヘルプとガイドがあります。さらに、より複雑な問題については Microsoft のサポート チャネルを利用でき、Microsoft Entra でのパスキーの設定と維持について専門的な支援を受けられます。これらのリソースを活用すれば、組織は課題を乗り越え、同期パスキーを効果的に有効化し、パスキーを既定の認証方式として確実に設定できます。その結果、セキュリティ態勢を大幅に強化し、最新のパスワードレスのサインイン体験を実現できます。

よくある質問

パスキー プロファイル: パスキー プロファイルの作成と管理

Entra パスキー on Windows: Windows デバイスで Entra パスキーを有効化して使用する

パスキーの仕組み: デバイス間でのパスキーの動作と同期済みパスキー

Microsoft Entra パスキーとは何ですか。FIDO2 パスキーとはどう違いますか。

Microsoft Entra パスキーは、デバイスに保存されるか、クラウド パスキー プロバイダーに保存され、Microsoft Entra ID で管理される、最新の耐フィッシング性の高い資格情報です。公開鍵暗号方式を使う点は FIDO2 パスキーと同様ですが、Microsoft 365 および Entra の機能と統合されており、パスキーによるサインインや、デバイス間でのクラウドベースの同期を実現します。

組織でパスキーのサインインを有効にするにはどうすればよいですか。

パスキーのサインインを有効にするには、Microsoft Entra でパスキー プロファイルを作成し、同期パスキーの使用をユーザーに許可するかどうかを含めてポリシーを指定するようにパスキー プロファイルを構成します。必要に応じて、Microsoft Intune と統合してデバイスの制御を強制することもできます。管理者は、パスキーを既定の認証方式にするか、任意の選択肢として残すかを決めます。

"同期パスキーを許可する" とはどういう意味ですか。また、どのように構成しますか。

"同期パスキーを許可する" は、ユーザーがクラウド パスキー プロバイダーにパスキーを保存して、デバイス間で同期パスキーを使えるようにするためのポリシー上の判断です。設定するには、パスキー プロファイルでこのオプションを有効にし、ユーザーにパスキーの登録を求めるプロンプトが表示されること、およびそのクラウド パスキー プロバイダーがサポートされていることを確認します。

ユーザーはパスキーを直接登録できますか。それとも登録を求めるプロンプトが表示されますか。

ユーザーは、Microsoft Entra アカウントのアカウント セキュリティ設定からパスキーを直接登録できます。また、組織がパスキーを既定の認証方式として強制している場合や、パスキー プロファイルで登録プロンプトが表示されるように設定されている場合は、サインイン時にパスキーの登録を求められることもあります。

Windows でパスキーはどのように動作しますか。また、Microsoft Entra は Windows Hello をサポートしていますか。

Windows では、Windows Hello を認証子として利用することでパスキーが動作します。entra passkey on windows を使用すると、デバイスは TPM に保存されるバインド パスキー、またはクラウド パスキー プロバイダーに保存されるパスキーを生成できます。Microsoft Entra ID は、Windows Hello を使用して認証子パスキーを作成し、利用することをサポートしています。

バインド パスキーとは何ですか。また、パスキーはどこに保存されますか。

バインド パスキーは、Windows Hello などの特定のデバイスの認証子に紐付けられたパスキーです。通常、ハードウェアで保護されたセキュア ストレージ (TPM) に保存されます。同期パスキーやクラウドに保存されるパスキーは、ユーザーの Microsoft Entra アカウントに関連付けられたクラウド パスキー プロバイダーに保存されます。

パスキー プロファイルはどのように作成しますか。また、複数のポリシーに対してスコープを設定できますか。

Microsoft Entra ポータルで認証方法と設定を選択して、パスキー プロファイルを作成します。パスキー プロファイルは複数のグループや環境に対してスコープを設定できます。スコープを指定したパスキー プロファイルを作成することも、3 つのパスキー プロファイルを作成して、ユーザー群ごとに異なるルールを適用することもできます。

ユーザーがパスキーを登録できない場合はどうすればよいですか。

ユーザーがパスキーを登録できない場合は、まず、登録を有効にするパスキー プロファイルがそのユーザーのアカウントに割り当てられているかを確認してください。次に、デバイスが要件（Windows Hello や互換性のある認証子など）を満たしているかを確認します。さらに、クラウド パスキー プロバイダーと Microsoft Entra ID の設定で、パスキーを直接登録できる状態になっているかを確認します。最後に、Microsoft Intune のデバイス構成ポリシーが認証子の機能をブロックしていないかを確認してください。

パスキーは Microsoft Entra で既定の認証方式になりますか。

Microsoftは、多くのユーザーにとってパスキーが既定の認証方法になる方向性を示しています。管理者は、パスキー プロファイルでパスキーを主要な方法として設定することで、組織のポリシーに従ってパスキーを既定の認証として積極的に構成できます。

Microsoft Entra のsynced passkeys (同期されたパスキー) は、複数のデバイスやMicrosoft 365 アプリでどのように機能しますか?

synced passkeys を使用すると、クラウド パスキー プロバイダーを介してユーザーのパスキーを同期でき、複数のデバイスでサインインできます。Microsoft 365 アプリを使用する場合、パスキーによるサインインは Microsoft Entra ID とクラウド プロバイダーが処理するため、ユーザーは各デバイスで再登録しなくても Microsoft 365 でパスキーを使用できます。

パスキーの使用を強制できますか、また、ポリシーはどの程度細かく設定できますか?

はい。Microsoft Entra ID のパスキー プロファイルと条件付きアクセスでポリシーを構成することで、パスキーの使用を強制できます。ポリシーは細かく設定できます。スコープを指定したパスキー プロファイルを使えば、特定のユーザー、グループ、またはシナリオに対してパスキーを強制できるほか、使用できる認証システムやクラウド パスキー プロバイダーを制限することもできます。

CTAP (Client to Authenticator Protocol) と パスキー サインインの違いは何ですか?

Client to Authenticator Protocol (CTAP) は、認証システムがクライアント (ブラウザーやデバイス) と通信するために使用する技術プロトコルです。一方、パスキー サインインは、エンド ユーザーがパスキーで認証を行う一連のプロセスです。CTAP は、パスキー サインインのフローで使用される FIDO2 パスキーおよびデバイス認証システムのパスキーの基盤となっています。

Microsoft Entra でパスキーを確認し、ユーザー向けに管理するにはどうすればよいですか?

管理者は、Microsoft Entra ID の認証方法とレポートから、パスキーの登録状況を確認し、パスキーを管理できます。ユーザーは、Microsoft Entra のアカウント セキュリティ設定でパスキーを確認できます。ここでは、パスキーの登録や、デバイスまたはクラウド パスキー プロバイダーに保存されたパスキーの削除を行えます。

Microsoft Entra ID はパスキーをサポートしていますか、また、どの認証システムに対応していますか?

はい。Microsoft Entra ID は FIDO2 パスキー標準を使用してパスキーをサポートしており、Windows Hello、プラットフォーム認証システム、外部セキュリティ キーなど、多くの認証システムに対応しています。Microsoft Entra ID はこれらの標準を利用して、バウンド パスキーとクラウドで同期される資格情報の両方をサポートします。

ユーザーのパスキーが別のデバイスに既に登録されている場合はどうなりますか?

パスキーが別のデバイスに既に登録されていて、ユーザーが別の場所でも使用したい場合は、同期されたパスキーを使用する (許可されている場合)か、新しいデバイスで新しいパスキーを登録する必要があります。管理者は、パスキー プロファイルとクラウドベースの同期オプションを構成する際に、複数デバイスでの利用シナリオを考慮する必要があります。

Intune を使用して、パスキーや Windows Hello を利用するデバイスを管理できますか?

はい。Microsoft Intune は、パスキーや Windows Hello を利用するデバイスのコンプライアンスと構成を管理できます。Intune ポリシーにより、パスキーによるサインインを許可する前にデバイスのセキュリティ要件を満たしていることを確認でき、Entra の Windows 向けパスキー設定と組み合わせることで、一貫性のある展開が可能です。

組織内の複数のアプリケーションやサービスでパスキーをサポートするにはどうすればよいですか?

複数のアプリでパスキーをサポートするには、対象のアプリケーションが Microsoft Entra ID とフェデレーションされているか統合されていることを確認し、認証設定でパスキーによるサインインを有効にします。そのうえで、ユーザーが複数のアプリや Microsoft 365 サービスでパスキーを使用できるかどうかを指定するパスキー プロファイルを作成します。

クラウド パスキー プロバイダーとは何ですか、また必要ですか?

クラウド パスキー プロバイダーは、ユーザーのデバイス間でパスキーを保存し、同期する仕組みです。利用は任意ですが、単一のデバイスに紐づくバウンド パスキーだけでなく、同期されたパスキーをデバイス間で使いたい場合は導入をお勧めします。