パスキーの技術解説と、Microsoft Entra ID における既定認証化への管理者対応
はじめに
こんにちは、今回の記事は新宅が担当します。
今日のフィッシング攻撃の高度化を背景に、Microsoft は Microsoft Entra ID の既定の多要素認証 (MFA) の手段を、SMS や音声通話からパスキーへ切り替える取り組みを進めています。本稿では、まずパスキーそのものの技術的な仕組みを整理し、続いて管理者が Entra ID 側でどのような準備・対応を行うべきかを解説します。
パスキーの技術的な仕組み
パスキーは、FIDO アライアンスと W3C が策定した FIDO2/WebAuthn 仕様に基づく認証方式です。従来のパスワードのように「サーバーとユーザーが同じ秘密情報 (共有シークレット) を持つ」方式ではなく、公開鍵暗号方式を利用する点が最大の特徴です。
パスキーを登録する際、利用者の端末上で秘密鍵と公開鍵のペアが生成されます。秘密鍵はデバイスのセキュアな領域 (TPM やセキュア エンクレイブなど) から外部へ出ることがなく、公開鍵のみがサービス側 (この場合は Entra ID) に登録されます。認証時には、サービス側が発行したチャレンジに対して端末側が秘密鍵で署名し、その署名をサービス側が公開鍵で検証する、という流れで本人確認が行われます。ネットワーク上を流れるのは署名済みのレスポンスのみであり、パスワードのように盗まれて再利用できる秘密情報そのものは存在しません。
加えて、WebAuthn の仕組みでは認証情報とアクセス先のオリジン (ドメイン) が結び付けられるため、本物に似せた偽サイトに誘導されても、そのサイト用の署名は生成されません。これが「フィッシングに強い」と言われる技術的な根拠です。
Entra ID がサポートするパスキーには、大きく2種類があります。ひとつは iCloud キーチェーンや Google パスワード マネージャーなど、OS やブラウザーのアカウントに同期される「同期パスキー」、もうひとつは Microsoft Authenticator、Windows Hello (Entra パスキー)、FIDO2 セキュリティ キーのように特定のデバイスに紐づく「デバイス バインド パスキー」です。組織のセキュリティ要件や利用デバイスに応じて、どちらを許可・推奨するかを検討する必要があります。
よくある勘違い: パスキーは単一要素認証ではない
パスキーによるサインインは、指紋認証や顔認証、あるいは PIN の入力だけで完了します。そのため「操作が1回で終わるのだから、パスキーは単一要素認証ではないか」と誤解されることがあります。しかし、操作の手順が1回で完結する「単段階認証」であることと、認証に使う要素が1つだけの「単一要素認証」であることは、別の概念です。
パスキーによる認証では、1回の操作の中で2つの要素が同時に確認されています。1つ目は「所持」の要素で、端末のセキュアな領域に保存された秘密鍵を、本人がその端末とともに保有しているかどうかが確認されます。2つ目は「本人であることの検証」の要素で、指紋や顔などの生体情報、または PIN によって、その端末を操作しているのが登録した本人かどうかが確認されます。生体情報や PIN は端末内での検証にとどまり、サーバー側へ送信されない点も特徴です。
つまりパスキーは、利用者から見れば単段階認証ですが、認証要素の組み合わせとしては多要素認証 (MFA) に該当します。SMS や音声通話による MFA では「パスワード入力」と「一時コード入力」のように 2 回の操作が必要になるため、操作が 1 回で済むパスキーは認証強度が下がったように見えてしまうことがあります。ユーザーへ周知する際は、この「単段階だが多要素」という位置付けを補足しておくと、余計な不安や問い合わせを防ぐことにつながります。
認証器の種別と、認証画面を表示するマシンとの組み合わせ
パスキーによる認証は、「サインイン画面を表示しているデバイス」と「パスキーを保持しているデバイス」が同じ場合 (同一デバイス内認証) と、異なる場合 (クロス デバイス認証) とで、操作方法や必要な条件が変わります。
特にクロス デバイス認証では、スマートフォン側のパスキーをPCのサインインに利用するために、QR コードの読み取りと Bluetooth による近接性確認が必要になるケースが多く、Bluetooth のペアリングこそ必要ありませんが、管理者としては Bluetooth 利用に関する組織のポリシーも合わせて確認しておく必要があります。
代表的な認証器の種別と、サインイン画面を表示するマシンの組み合わせを整理すると、次のようになります (◯:同一デバイス内で完結、△:クロス デバイス認証となり追加の手順・条件が必要、×:非対応または大きな制限あり)。
| 認証器の種別 | Windows PC | Mac | iPhone / iPad | Android スマホ |
|---|---|---|---|---|
| Windows Hello / Entra パスキー (PC 内蔵の TPM に保存) | ◯ 同一デバイス内で完結 | × 非対応 (Windows専用) | × 非対応 | × 非対応 |
| Microsoft Authenticator のパスキー (スマホに保存) | △ クロス デバイス認証 (QR コード + Bluetooth が必要) |
△ クロス デバイス認証 (QR コード + Bluetooth が必要) |
◯ Authenticator と同じ iPhone/iPad なら同一デバイス内 | ◯ Authenticator と同じ Android 端末なら同一デバイス内 |
| FIDO2 セキュリティ キー (USB / NFC / BLE 対応キー) | ◯ USB・NFC・BLE のいずれも利用可能 | △ USB 接続のみ対応 (NFC・BLE キーは OS の制限で非対応) |
△ NFC は一部対応、BLE キーは非対応 | △ NFC は概ね対応、BLE キーは非対応 |
| 同期パスキー (iCloud キーチェーン / Google パスワード マネージャーなど) | △ 同期先アカウントが異なる場合はクロス デバイス認証 | ◯ iCloud キーチェーン同期時は同一デバイス内 | ◯ iCloud キーチェーン同期時は同一デバイス内 | ◯ Google パスワード マネージャー同期時は同一デバイス内 |
※対応状況は OS やブラウザーのバージョン、組織側の設定によって変わるため、最新の詳細は Microsoft Learn の「パスキー (FIDO2) 認証マトリックス」など公式ドキュメントを必ずご確認ください。
PC でサインイン画面を表示し、スマホのパスキーで認証する場合の流れ
Microsoft Authenticator や同期パスキーをスマホに保存している場合でも、PC のブラウザーで Entra ID にサインインする際に、そのスマホ側のパスキーを使って認証することができます。これがいわゆる「クロス デバイス認証」で、大まかな流れは次の通りです。
- PC 側のサインイン画面で「他の方法でサインイン」などを選択し、Windows 11 23H2以降の場合は「iPhone、iPad、または Androidデバイス」を選ぶ。
- PC の画面に QR コードが表示される。
- スマホ標準のカメラ アプリ等の QR 読み取り機能を持つアプリで QR コードを読み取る。
注: 2026 年 8 月現在、Android 版 「クルクル」などの一部の QR コード アプリは非対応を確認。 - スマホ側で「パスキーでサインイン」を選択する。この段階で、PC とスマホの双方で Bluetooth とインターネット接続が有効になっている必要がある。
- スマホ側で顔認証・指紋認証・PIN などによる本人確認を行うと、PC 側のサインインが完了する。
ここで Bluetooth が必須とされているのは、単にデバイス同士を通信させるためだけではありません。「サインイン画面を表示している PC と、パスキーを保持しているスマホが物理的に近接している」ことを確認するための近接性チェックとして使われている点が重要です。QR コードの読み取りだけでは、離れた場所にある別のPCから中継された不正なサインイン要求 (リレー攻撃) を排除できませんが、Bluetooth による近接性確認を組み合わせることで、こうした中間者攻撃のリスクを抑える設計になっています。
そのため、組織のセキュリティ ポリシーで Bluetooth の利用自体を制限している場合、既定ではこのクロス デバイス認証も利用できなくなります。この場合、パスキー対応の FIDO2 認証器とのペアリングに限定して Bluetooth 利用を許可する構成も可能なため、Bluetooth を制限している組織の管理者は、Intune などのデバイス管理ポリシーを見直し、パスキーによるクロス デバイス認証に必要な範囲で Bluetooth 利用を許可するかどうかを事前に検討しておく必要があります。
Entra ID における既定認証方式の変更
Microsoft は、2026年9月1日より Microsoft Entra ID の既定の認証エクスペリエンスとしてパスキーを段階的に展開すると発表しています。展開が適用されたテナントでは、SMS または音声通話による MFA が有効なユーザーに対してパスキーが自動的に有効化され、次回の MFA 実行時にパスキー登録が促されるようになります。
これに続き、2027 年 2 月 1 日には Microsoft が提供してきた SMS・音声通話向けの通信サービスが Entra ID のネイティブ機能としては終了する予定です。それ以降も SMS や音声通話による認証を継続したい組織は、Microsoft Security Store 経由でパートナーとなる通信事業者と契約し、通信費を自己負担する形で利用を継続する必要があります。対応事業者や料金体系に関する情報は 2026 年 9 月 18 日以降に公開され、実際の選択・設定は同年 10 月 30 日以降に可能となる見込みです。
2027 年 2 月 1 日を過ぎても SMS や音声通話しか登録されていないユーザーには、サインイン前にパスキー登録を求められるようになり、この登録プロンプトはスキップもできず、管理者によるオプト アウトもできない仕組みになるとされています。
管理者が今から準備すべきこと
- 認証方法ポリシーを確認し、SMS または音声通話による MFA が有効になっているユーザー・グループを洗い出す。
- パスキー (同期パスキー/デバイス バインド パスキー) を有効化し、業務内容や利用デバイスに合った方式を選定する。
- 登録キャンペーン機能を利用し、対象ユーザーに MFA サインイン時のパスキー登録を計画的に促す。
- 最終手段として、規制・業務要件により SMS や音声通話を継続する必要がある場合は、対象ユーザーを特定した上で、Microsoft Security Store 経由での通信事業者選定を早めに検討する。
- 本格展開前に、一部ユーザーによるパイロット グループでパスキー登録・サインインの動作を検証する。
- スマホのパスキーを PC のサインインに使うクロス デバイス認証を利用する場合に備え、組織の Bluetooth 利用ポリシー (Intune やグループ ポリシーなどのデバイス管理設定を含む) を確認し、必要な範囲で利用を許可するかどうかを検討する。
ユーザーへの周知のポイント
管理者側の設定変更だけでなく、実際にサインインするユーザーへの事前周知が欠かせません。周知の際は、次の点を明確に伝えることをおすすめします。
- 何が変わるのか: 今後、MFA のサインイン時にパスキー登録を案内する画面が表示されるようになること。
- いつ表示されるのか: 全社的な適用が始まるタイミング (自社テナントへの展開日) 。
- どう登録すればよいのか: スマートフォンの生体認証、Windows Hello、FIDO2 セキュリティ キーなど、利用する端末ごとの登録手順。
- パスキーは 1 回の操作でサインインが完了するが、端末の所持と生体認証・PIN による確認の2要素を満たす多要素認証であること。
- スマホのパスキーを PC のサインインに使う場合は、スマホと PC の双方で Bluetooth とインターネット接続を有効にしておく必要があること。
特に、SMS や音声通話による認証をこれまで利用していたユーザーは変更の影響を受けやすいため、社内ヘルプ デスク宛の問い合わせ導線や、登録手順を示す簡易マニュアルを事前に用意しておくと、問い合わせ対応の負荷を抑えられます。
まとめ
パスキーは公開鍵暗号方式とオリジン結び付けによってフィッシング耐性を実現する認証技術であり、1 回の操作で完了しながら多要素認証としての強度を確保できる点が特徴です。Microsoft Entra ID では 2026 年 9 月以降、この方式が既定の認証エクスペリエンスとして段階的に適用されます。認証器の種別によって同一デバイス内で完結するか、QR コードと Bluetooth を使ったクロス デバイス認証になるかが異なるため、管理者は認証方法ポリシーの確認、パスキー展開の計画、Bluetooth 利用ポリシーの整理、そしてユーザーへの周知準備を早めに進めることが重要です。
※本記事は2026 年 8 月 27 日時点の公開情報に基づいています。最新の詳細やスケジュールは、Microsoft Learn や Microsoft Security Blog の公式情報をご確認ください。
【参考】
MFA の既定の認証方法がパスキーに移行 (SMS / 音声通話の既定での提供が終了) – Japan Azure Identity Support Blog
