パスキー・Microsoft Authenticator でパスワードを使わないサインインにする｜Entra ID の設定と社員の登録

多要素認証を全員にかけた後、次に「パスワードを打たないサインインにしたい」「フィッシングに強い方法に寄せたい」と考えたとき、管理者が迷うのは、管理画面のどこをオンにすれば社員が登録できるようになるのか、オンにしたら今のサインインが急に変わらないか、iPhone に入るパスキーまで会社で許してよいのか、の3つです。2026年3月に同期パスキーとパスキー プロファイルが一般提供になり、パスキーの設定の画面と手順が変わりました。この記事では、今の画面で、Microsoft Entra ID（Microsoft 365 のサインインの仕組み）でパスキーと Microsoft Authenticator を使えるようにする設定と、社員に登録してもらう手順、パスキーを求めるまでの順番を書きます。パスキーの登録を促す設定（［登録キャンペーン］）は、管理画面を開くとすでに動いていることがあります。オンにするかを考える前に、自分のテナントの今の状態も見てください（見方は「登録を進めて、そろってから求める」の節で書きます）。内容は、Microsoft 365 の導入を支援している当社が、公式の説明と当社の検証用の環境の画面で確かめたものです。

全員に多要素認証をかける設定は多要素認証を全員に有効にする記事、スマホを替えた・なくした社員の戻し方は多要素認証のリセットと再登録の記事にまとめています。パスキーの仕組みそのものはパスキーとは何かの記事で扱っています。

同期パスキーを許すかを、先に決める

Entra ID が扱うパスキーは2種類あります。1つは、秘密鍵が1台の端末の中で作られ、そこから出ない「デバイスに結び付いたパスキー」です。スマホの Microsoft Authenticator に入るパスキーと、USB や NFC でつなぐ FIDO2 セキュリティ キーがこれに当たります。もう1つは、秘密鍵が暗号化されてパスキー プロバイダーのクラウドに保存され、端末の間で同期される「同期パスキー」で、例は Apple の iCloud キーチェーンと Google パスワード マネージャーです（Entra ID でパスキーを有効にする）。管理画面では、この2つは［パスキーの種類］の「Device-bound」「Synced」と英語のまま表示されていました（Microsoft Learn（以下 Learn）の日本語版は「デバイス バインド」「同期済み」など、ページによって訳が違います）。

分かれ目は、会社が「そのパスキーがどの端末にあるか」を確かめたいかどうかです。登録のときに本物の認証器かを確かめる仕組み（構成証明）を Learn は「パスキーが本物であり、指定されたベンダーからのものであることを組織に保証します」と説明していますが、同期パスキーは構成証明に対応していません。同期パスキーは、同じパスキー プロバイダーで認証したほかの端末でも使えます（どこまで使えるかはプロバイダーによって違います）。社員の私物の端末にまで広がっても、会社はどの端末にあるかを確かめられません。その代わり、スマホを替えても登録し直さずに済みます。

公式の設定例も、IT 管理者・役員などはデバイスに結び付いたパスキーだけ、人事・営業などは両方を許す分け方を載せています。当社も、管理者の役割を持つ人と経理など影響の大きい人にはデバイスに結び付いたパスキーだけを、ほかの社員には両方を許す分け方を勧めます。支払いや送金の承認に関わる人のアカウントは、乗っ取られたときの影響が大きく、パスキーがどの端末にあるかを会社で確かめられるほうがよいと考えるからです。全員に同期パスキーを許してよいかは、私物のスマホを業務に使わせているかで決めます。

Authenticator には、パスキーとは別に「パスワードなしの電話によるサインイン」（通知に出た番号を選んで承認する方法）もあります。フィッシングに強い（耐フィッシングの）方法の公式の一覧には、Authenticator のパスキー・セキュリティ キー・同期パスキーが入っていて、電話によるサインインは入っていません。当社は、電話によるサインインはパスキーに移るまでのつなぎとして扱い、全員がパスキーを登録して条件付きアクセスでパスキーを求めるところまで進んだら、社員への案内の中心をパスキーに切り替えることを勧めます。

費用の面では、公式に「パスキー (FIDO2) は、Microsoft Entra ID Free を含むすべてのMicrosoft Entra ID エディションで使用できます。 追加のライセンスは必要ありません。」とあります。一方で、後で出てくる条件付きアクセスと、［アクティビティ］の登録状況のレポートには Microsoft Entra ID P1 以上が要ります。P1 は Microsoft 365 Business Premium にも含まれます（Microsoft Entra のライセンス）。社員が登録するまでは今の契約のまま進められ、そろったかを確かめて求める段で P1 の有無を見る、という順で考えれば足ります。

この記事に関連するサービス

AI活用支援生成AIを、業務に組み込むところまで詳しく見る →kintone 導入支援業務に合うアプリ設計から内製化まで伴走します。詳しく見る →M365・Google Workspace の移行と設定の相談移行と設定を、1件から相談できます。詳しく見る →Salesforce 導入支援Salesforceを、現場が毎日使う状態まで。詳しく見る →Google BigQuery 導入支援GA4も広告も基幹データも、まとめて分析できる形に詳しく見る →

認証方法のポリシーで、パスキーと Authenticator を有効にする

設定するのは Entra 管理センターの［認証方法］→［ポリシー］です（Learn の手順では「Entra ID > Security > 認証方法 > ポリシー」）。操作には少なくとも認証ポリシー管理者のロールが要ります。一覧には方法ごとに1行あり、列は「メソッド」「ターゲット」「有効」です。この画面では「パスキー (FIDO2)」と「Microsoft Authenticator」が、どちらも対象「すべてのユーザー」、有効「はい」でした。

なお、2025年9月30日からは、古い多要素認証の設定とパスワード リセットの設定では認証方法を管理できなくなっています（認証方法の管理）。パスキーと Authenticator の登録と使用は、この［ポリシー］の画面でそろえます。

パスキー (FIDO2) では、［セルフサービス設定を許可］にチェックを入れ、パスキー プロファイルを確かめる

「パスキー (FIDO2)」を開くと、［有効化とターゲット］［構成］の2つのタブがあります。［有効化とターゲット］で有効にして対象を選び、［構成］で次の2つを見ます。

• ［セルフサービス設定を許可］：チェックを入れます。これを「いいえ」にすると、ポリシーでパスキーが有効でも、社員は［セキュリティ情報］からパスキーを登録できません（Learn の項目名は「セルフサービスの設定を許可する」、画面は「セルフサービス設定を許可」）。
• パスキー プロファイル：誰にどの種類のパスキーを許すかをまとめた設定です。表の列は「構成証明の適用」「パスキーの種類」「キーの制限」で、画面には「Default passkey profile」が1つだけあり、構成証明の適用「No」、パスキーの種類「Device-bound, Synced」（両方を許す）、キーの制限「No」でした。

画面の上には「パスキー プロファイルが利用可能になりました。以前のパスキー設定は、既定のパスキー プロファイルに移動しました。現時点では、最大 10 個のパスキー プロファイルがサポートされています。」という青い帯が出ていました。手順では、この帯のリンクからパスキー プロファイルの使用を選び（オプトインし）ます。オプトインした後は元に戻せません。この画面では、すでにプロファイルが使える状態でした。Entra の新機能の一覧（What’s new）では、パスキー プロファイルと同期パスキーの一般提供が2026年3月、プロファイルの上限が3から10に増えたのが2026年5月の項目にあります（2026年10月30日の時点で、Learn の設定手順のページには「最大 3 つ」と書かれています）。

既定のプロファイルを開くと、［構成証明の適用］［パスキーの種類］［ターゲット特定の AAGUID］の項目が並び、［パスキーの種類］は「Device-bound」と「Synced」の両方にチェックが入っていました。既定のプロファイルの名前の横には黄色い印があり、重ねると「このプロファイル構成には種類の制限が含まれていますが、構成証明は適用されていないため、セキュリティ キー モデルまたはパスキー プロバイダーの同期可能性を保証できません。」と出ました。

人で分けるときは、［構成］の［プロファイルを追加］で、パスキーの種類を「Device-bound」だけにしたプロファイルを作り、［有効化とターゲット］で管理者のグループに割り当てます。公式の設定例では、管理者向けのプロファイルは［構成証明の適用］もオンにしています。気を付けるのは2つです。1つは、すでに同期パスキーを登録した人の分から同期パスキーを外すと、その人は登録済みの同期パスキーでもサインインできなくなることです。外す前に、その人が別の方法でサインインできるかを確かめます。もう1つは、ある人がパスキーのポリシーの「除外」に入っていると、ほかのグループで含めていても、パスキーの登録とサインインがすべて止まることです。当社は、除外に入れるのはパスキーを使わせないと決めた人だけにし、種類を絞りたいだけの人はプロファイルの割り当てで分けることを勧めます。

Microsoft Authenticator の［認証モード］は「すべて」のままにする

「Microsoft Authenticator」の設定は、［有効化およびターゲット］［構成］の2つのタブです。［有効化およびターゲット］の表には「登録」「認証モード」の列があり、［認証モード］の選択肢は「すべて」「パスワードレス」「プッシュ」でした（Learn の表記は「任意」「パスワードレス」「プッシュ」）。

既定では、どのグループも「すべて」（Learn の表記では「任意」）で有効になり、プッシュ通知でも電話によるサインインでもサインインできます。一方で、社員が［セキュリティ情報］から Authenticator を登録できるのは「すべて」か「プッシュ」のときだけです。当社は「すべて」のままにすることを勧めます。Authenticator のパスキーは、この設定ではなく「パスキー (FIDO2)」のポリシーで許します（Authenticator でパスキーを有効にする）。

［構成］のタブには、［Microsoft Authenticator OTP の使用を許可する］、［プッシュ通知に番号の一致が必要］（すべてのユーザーで有効、灰色の表示）、［プッシュ通知とパスワードレス通知にアプリケーション名を表示する］［プッシュ通知とパスワードレス通知に地理的な場所を表示する］（どちらも「Microsoft マネージド」）が並んでいました。パスワードを使わないサインインのために、ここで変えるものはありません。

社員には［セキュリティ情報］の［サインイン方法の追加］から登録してもらう

冒頭の「オンにしたら今のサインインが急に変わらないか」への答えは、社員のパスキーは自動では作られないが、サインインのときの画面は変わることがある、です。ポリシーで有効にしただけではパスキーは作られず、社員が自分で登録して、はじめてパスキーでサインインできるようになります。画面が変わるのは次の2か所です。

1つは登録の前です。［認証方法］→［登録キャンペーン］の状態が「Microsoft マネージド」だと、パスキーが有効な社員が多要素認証で操作を伴うサインインをしたときに、パスキーの登録を求められる場合があります。出る条件と出ない場合は、次の節で書きます。

もう1つは登録の後です。システム優先認証という設定は既定で「Microsoft マネージド」で、その状態では、今の端末でパスワードとパスキーの両方を使える人は、最初の段階でパスワードではなくパスキーを求められます（外部の ID プロバイダーでサインインするフェデレーションのユーザーは、最初の段階は変わりません）。ほかに許可されている方法を選ぶこともできます（システム優先認証。第1要素への広がりは、What’s new では2026年5月に一般提供）。この設定の状態は、［認証方法］→［設定］の中の、システム優先認証の項目で見ます（ここで Microsoft マネージド・有効・無効の3つから選びます。有効にした場合は、最初の段階のサインインは変わりません）。［認証方法］の左のメニューに［設定］は出ていましたが、当社は中を開いていないので、ここは公式の手順どおりに書いています。

当社は、これから有効にするテナントでも、すでに有効なテナントでも、［登録キャンペーン］と［設定］の2つの状態を見て、「サインインのときにパスキーの登録を求められることがある」「登録した後は、パスワードの代わりにパスキーを求められることがある」の2点を社員への案内に入れることを勧めます。

社員は次のように進みます（同期パスキーを登録する・Authenticator にパスキーを登録する）。［セキュリティ情報］の中の画面は当社では見ていないので、手順は公式の手順どおりです。

1. ブラウザーで mysignins.microsoft.com/security-info を開き、今の方法（Authenticator の通知など）で多要素認証を済ませる。
2. ［+ サインイン方法の追加］を選び、［パスキー］を選ぶ。Authenticator に入れるときは、Microsoft Authenticator の［パスキー］を選ぶ。
3. スマホの画面の指示に従ってパスキーを作り、名前を付けて終える。
4. ［セキュリティ情報］の一覧に新しいパスキーが出ていることを確かめる。

Authenticator に入れる場合、Microsoft が勧めるのは、スマホの Authenticator で会社のアカウントを選び［パスキーの作成］を押す方法です。Authenticator に入れるには iOS 17 以降か Android 14 以降が要り、Authenticator をスマホのパスキーの保存先（パスキー プロバイダー）として有効にする手順が入ります。

案内文に入れておきたいのは次の2点です。1つは、パスキーを登録する前の5分以内に多要素認証を済ませている必要があることです。［セキュリティ情報］を開いたまま時間がたったら、開き直してもらいます。もう1つは、仕事用と個人用のプロファイルを分けた Android では、パスキーは作ったプロファイルの中でしか使えないことです。両方で使うなら、それぞれの Authenticator で作ります。

管理センターにサインインしたまま mysignins.microsoft.com/security-info を開いたときも、改めて「サインイン要求を承認」（Authenticator で番号を入れて承認する画面）が出ました。管理センターに入っていても承認を求められることがある、と案内文に書いておくと、社員が迷いません。

全員が同じ入口で登録できるわけではありません。登録を始める前に、入口が違う人を洗い出しておきます。

多要素認証の方法をまだ持っていない人（入社したばかりの人など）は、管理者が一時アクセス パスを渡し、それでサインインして登録してもらいます。作り方は多要素認証のリセットと再登録の記事に書きました。会社のスマホが無く、私物のスマホも使いたくない人には、FIDO2 セキュリティ キーを配ります。パスキーはセキュリティ キーに入れても登録とサインインができ、登録の手順は「パスキーを FIDO2 セキュリティ キーに登録する」にあります。当社は、キーを配るときにこのページを案内文に添えることを勧めます。社外から招いたゲスト ユーザーは、パスキーを登録できません。ゲストは今の多要素認証のまま扱います。

登録を進めて、そろってから求める

登録を促すには、［認証方法］→［登録キャンペーン］を使います。サインインのときに、多要素認証を済ませた社員に、パスキーや Authenticator を設定するよう求める画面を出す機能です（登録キャンペーン）。パスキーに対応したのは、What’s new では2026年5月の項目です。この画面では、状態が「Microsoft マネージド」、認証方法が「パスキー (FIDO2)」、対象が「すべてのユーザー」になっていました。登録を求められた人は［今はスキップ］で後に延ばせますが、延ばせる日数と回数は、「Microsoft マネージド」では Microsoft が決め、管理者は変えられません。再通知できる日数は「1」、再通知の回数の制限は「無効」でした。回数に制限が無いときは何度でも延ばせ、延ばした期間が過ぎた後に多要素認証でサインインすると、また求められます。2026年10月30日の時点のこの値では、促しが出ても、社員は登録しないまま延ばし続けられます。この値は Microsoft が最新の状態に保つとされているので、変わることがあります。

「Microsoft マネージド」の状態では、対象の人にパスキーが有効ならパスキーを、パスキーが無効で Authenticator が有効なら Authenticator を促します。「Microsoft マネージド」で促されるのは、条件を満たすパスキー プロファイルに1つ以上入っている人だけです。種類を絞らないもの、同期パスキーだけ、デバイスに結び付いたものだけ、構成証明を適用したものは条件を満たしますが、AAGUID（認証器の機種を表す識別子）で絞ったプロファイルは、Microsoft が挙げる提供元の AAGUID が許可リストに無いと促されません。この記事の勧めどおりに種類で分けるなら、どの人も促しの対象に入ります。画面の下にも「ユーザーは、注意喚起の対象となるには認証方法が有効になっている必要があります。」と出ていました。

自分のテナントの［登録キャンペーン］がすでに「Microsoft マネージド」でパスキーを対象にした状態になっていた場合は、「Microsoft マネージド」のままで対象に含める人と除外する人は変えられ、状態を無効にもできます。同期パスキーを登録した人の分から後で同期パスキーを外すと、その人は登録済みの同期パスキーで入れなくなるため、当社は、促しで社員が登録を始める前に、管理者の役割を持つ人と経理など影響の大きい人のパスキー プロファイルをデバイスに結び付いたパスキーだけに分けるか（「同期パスキーを許すかを、先に決める」の節）、分け方を決めるまでその人たちを［登録キャンペーン］の対象から外すことを勧めます。

対象に入っていても、促しが出ない場合があります。今使っている OS とブラウザーの組み合わせにローカル パスキーをすでに持っている人には出ません。そのため、同じ人でも、ある端末では出て別の端末では出ないことがあります。ほかに、Microsoft Entra の多要素認証を使っていない人、［セキュリティ情報の登録］ページへのアクセスをブロックする条件付きアクセスの対象の人、サインイン中に利用規約の画面が出たとき、操作を伴わないサインイン（サイレント SSO）では出ません。Authenticator の促しは、ほかの認証方法を登録したのと同じセッションでは出ません。促しが出なかったことを、その人が対象外だという意味に読まないでください。登録したかどうかは、次の［アクティビティ］で確かめます。

誰が登録したかは、［認証方法］→［アクティビティ］の［登録］で、方法ごとに登録した人を開いて確かめます（認証方法のアクティビティ）。このレポートには Microsoft Entra ID P1 以上が要り、データはその場では更新されず、反映まで最大36時間ほどかかることがあります。

全員の登録がそろったら、条件付きアクセスでパスキーを求めます。ポリシーの［認証強度を要求する］で［フィッシング耐性 MFA 強度］を選びます。最初は管理者のロールから始め、レポート専用で影響を確かめてからオンにし、緊急用アカウントは除外します。管理者がフィッシングに強い方法を登録する前にこのポリシーを有効にすると、テナントから締め出される恐れがある、と Microsoft は注意しています（管理者ロールにフィッシングに強い多要素認証を求める）。ポリシーの作り方は条件付きアクセスの設定方法の記事にまとめました。

全員に広げるときに気を付けるのが、すべてのリソースにパスキーを求めると、Authenticator にパスキーを足そうとした社員が、パスキーを求められて先へ進めなくなることです。回避の方法には、パスキーを求めるのを特定のアプリに絞る、モバイルとパソコンでポリシーを分けて一時アクセス パスも認める、などがあります。当社は、全員の登録が済むまでは「すべてのリソース」に求めないことを勧めます。

つまずいたときは、ここを確かめる

この記事の確かめ方

管理画面の写真と表記は、2026年10月30日に当社の検証用の環境で Entra 管理センターを開いて確かめたものです。開いたのは［認証方法］の［ポリシー］と［登録キャンペーン］、「パスキー (FIDO2)」と「Microsoft Authenticator」の設定の画面で、どれも開いて見ただけで、保存も値の変更もしていません。この日は「パスキー (FIDO2)」と「Microsoft Authenticator」がどちらもすべてのユーザーに有効で、［登録キャンペーン］は状態が「Microsoft マネージド」、対象の方法が「パスキー (FIDO2)」でしたが、いつ誰が有効にしたかは確かめていません。

社員が使うマイ サインインの［セキュリティ情報］は、開くと Authenticator での承認を求められたところで止めたので、中の画面と［サインイン方法の追加］の選択肢は見ていません。［認証方法］→［設定］の中も開いていません。画面で見ていない仕様と手順は、同じ日に確認した Learn の記載で書いています。

管理画面の表記や、プレビューの機能の扱いは変わることがあります。Windows の Windows Hello にパスキーを入れる機能は、What’s new の2026年3月の項目でパブリック プレビューとして公開されたと載っています。今の提供の状態は、使う前に Learn の「Windows で Microsoft Entra パスキーを有効にする」で確かめてください。

どこから始めるか

当社は、パスワードを使わないサインインへの移行は、ポリシーをオンにするかではなく、誰に同期パスキーを許すかを決めるところから始めるべきだと考えます。社員が一度同期パスキーを登録した後でその人の分から外すと、その人は登録済みのパスキーで入れなくなり、決め直しが社員の手間になるからです。

パスキーへの移行や、Entra ID の設定の進め方を相談したい場合は、Microsoft 365 の導入支援からご連絡ください。