Microsoft Entra ID における同期パスキーとデバイス バインド パスキー: どちらを使うべきか

By Mirko Peters · 2026-10-28

Microsoft Entra ID における同期パスキーとデバイス バインド パスキーを比較します。一般の社内ユーザーと IT 管理者それぞれに適した認証方式を解説します。

Automatically translated with AI from the original post. Read the English original

最新の認証を導入する際、Microsoft Entra ID で同期パスキーとデバイス バインド パスキーのどちらを選ぶかは、IT リーダーが直面する最も重要なアーキテクチャ上の判断です。どちらの方式も脆弱なパスワードを排除し、AI を利用したフィッシングを防ぎますが、デバイスの紛失、クラウドでの同期、管理者による可視性の扱いが大きく異なります。

重要なポイント

• 同期パスキーは、iCloud や Google などの信頼できるクラウド アカウントに資格情報を保存します。そのため、複数のデバイス間で共有でき、スマートフォンを紛失しても失われません。
• デバイス バインド パスキーは、ハードウェア セキュリティ キーや Microsoft Authenticator アプリなど、単一の物理デバイス上にのみ存在し、同期することはできません。
• Microsoft は、利便性が高く、導入時の負担も少ないことから、一般の社員には同期パスキーを推奨しています。
• IT 管理者や特権の高いアカウントは、資格情報を完全に管理下に置くために、デバイス バインド型のハードウェア キーを使用すべきです。
• Microsoft Entra ID は両方の資格情報の種類をサポートしており、組織はユーザーの生産性と厳格なセキュリティ ポリシーのバランスを取ることができます。

企業における同期パスキーの理解

同期パスキーは、現代の職場におけるセキュリティと利便性の究極の融合です。ユーザーがモバイル デバイスや作業用 PC で同期パスキーを作成すると、秘密鍵は Apple iCloud キーチェーン、Google パスワード マネージャー、または 1Password や Dashlane などのサードパーティ製ソリューションといった、信頼できるクラウド プロバイダーのアカウント内に暗号化されて保存されます。この仕組みにより、資格情報はユーザーのエコシステム全体でシームレスに引き継がれます。

社員が新しいノート PC を購入したり、壊れたスマートフォンを交換したりした場合でも、クラウド プロバイダーのアカウントに再度サインインするだけで、パスキーへのアクセスがすぐに復元されます。Microsoft が公表しているデータによると、約 99% のユーザーが同期パスキーの登録に成功しており、サインイン速度は、多要素認証を併用した従来のパスワードと比べて約 14 倍速くなっています。Teams や Outlook などの Microsoft 365 アプリを使う一般的な情報ワーカーにとって、同期パスキーは手間を減らしながら、組織全体のセキュリティを高めます。

ただし、この利便性には IT 管理者にとっての可視性の問題があります。同期パスキーはクラウド エコシステム全体で複製されるため、管理者は秘密鍵のコピーを保持しているデバイスを細かく把握できません。このようなハードウェアによる分離の欠如は、資格情報の境界を完全に確実にすることが不可欠な特権の高い IT ロールには、同期パスキーが必ずしも適していないことを意味します。

特権ユーザーにとってのデバイス バインド パスキーの役割

クラウドで同期されるパスキーとは対照的に、デバイス バインド パスキーは単一の物理ハードウェアに恒久的に紐づけられています。秘密鍵はデバイス上で直接生成され、デバイスの外へ出ることは物理的に不可能です。このカテゴリには、専用の物理ハードウェア セキュリティ キーに加え、Microsoft Authenticator アプリ内にローカルに保存されたパスキーも含まれます。

管理者や企業の重要なアカウントを預かる立場にとって、デバイスバインド型パスキーはゴールドスタンダードです。従業員が Authenticator アプリでデバイスバインド型パスキーを設定した電話機を紛失した場合、その特定の資格情報はハードウェアとともに失われます。自動的に復元するクラウドバックアップは存在しないため、クラウドベースの資格情報複製のリスクが完全になくなります。

この方式では、物理トークンを紛失または破損した場合に復旧の難しさが生じますが、Azure インフラストラクチャ管理やグローバル管理者ロールに求められる、妥協のないセキュリティ態勢を実現できます。組織は Microsoft Entra ID の証明書利用者設定（アテステーション設定）を活用し、ハードウェアに裏付けられた認証を必須にすることで、こうした厳格な条件を適用できます。

Microsoft Entra ID におけるトレードオフの管理

企業全体でパスキーを確実に展開するには、各形式に内在する運用上のトレードオフを理解しておく必要があります。パスキーの展開はもはや未来の構想ではありません。Microsoft Entra ID ではパスキーがサインインの既定の方法になり、従来の SMS や音声コードは段階的に廃止されつつあります。そのため組織は、二本立ての戦略を設計する必要があります。

一般的な従業員については、同期型パスキーを展開することで利用率を高められ、ヘルプデスクへのパスワードリセット依頼を最小限に抑えられるうえ、認証の成功率も大幅に向上します。顔認証や指紋認証といった使い慣れた生体認証のプロンプトを使うため、ユーザー体験もすばやく快適なままです。

一方、特権ユーザーに対しては、デバイスバインド型のハードウェアセキュリティキーを必須にすることで、高度なサイバー脅威に対する強固な防御線を築けます。企業は、紛失したハードウェアトークンの復旧ワークフローを明確に定め、Entra ID 内で管理者がすばやく取り消し（失効）できる仕組みを用意する必要があります。これにより、ID システムの完全性を損なうことなく運用できます。

まとめ

同期型とデバイスバインド型のどちらを選ぶかは、単一の万能な解決策を見つけることではなく、適切なセキュリティ統制を適切なユーザー像に合わせることです。日常業務には同期型パスキーを、管理チームにはデバイスバインド型のハードウェアキーを割り当てることで、使いやすさを犠牲にすることなく最適なセキュリティを実現できます。これらの資格情報を支える技術的な仕組みをさらに詳しく知りたい場合は、現代的な Microsoft クラウドのセキュリティについての専門的な議論を扱う M365 FM Podcast のエピソード全編を聴いてください。

よくある質問

Microsoft Entra ID の管理者アカウントに同期型パスキーを使用できますか？

技術的には可能ですが、Microsoft は、クラウド上で資格情報が不正に複製されることを防ぐため、IT 管理者や特権の高いロールにはデバイスバインド型のハードウェアキーを強く推奨しています。

スマートフォンを紛失した場合、同期型パスキーはどうなりますか？

致命的な事態にはなりません。同期型パスキーは信頼できるクラウドプロバイダーのアカウントに安全にバックアップされているため、同じアカウントで新しいデバイスにサインインすると、パスキーがすぐに復元されます。

デバイスバインド型パスキーは Microsoft Authenticator アプリと互換性がありますか？

はい。Microsoft Authenticator アプリに直接保存されたパスキーはデバイスバインド型に分類され、その特定の電話機に紐づいたままになり、外部のクラウドキーチェーンには同期されません。

管理者は Microsoft Entra ID で特定のパスキーの種類を強制できますか？

はい。管理者は Microsoft Entra ID のアテステーションポリシーを使用して、高セキュリティ環境ではデバイスバインド型パスキーのみにサインインを制限できます。