多要素認証のリセットと再登録｜機種変更・スマホをなくしたとき
社員が機種変更やスマホの紛失で多要素認証を通れなくなったとき、本人がマイ サインインのセキュリティ情報で戻せるのはどんなときか、管理者が Entra 管理センターの認証方法で使う一時アクセス パス・多要素認証の再登録を要求する・セッションの取り消しの違いを、Microsoft の公式の説明と当社の検証用の環境の画面で整理します。
目次 クリックで開く
この記事の要点
- 機種変更で、古いスマホやほかの方法でまだサインインできる社員は、本人がマイ サインインの［セキュリティ情報］で新しいスマホを足し、古いスマホの登録を削除します。Authenticator のバックアップでは職場または学校アカウント（以下、会社のアカウント）は名前しか戻らず、登録し直しが要るので、古いスマホを初期化する前に済ませます。
- 登録したどの方法も使えない社員は、管理者が Microsoft Entra 管理センターで本人の［認証方法］を開き、一時アクセス パスを渡すか［多要素認証の再登録を要求する］で戻します。スマホをなくしたときは、あわせて［セッションの取り消し］でサインイン中の状態を切ります。
- 一時アクセス パスは認証方法のポリシーで有効にしておかないと使えず、管理者は自分自身の分を戻せません。管理者を含むすべての人を戻せる人（全体管理者か特権認証管理者）を、2人以上にしておきます。
社員から「新しいスマホに替えたら、Authenticator に会社のアカウントが出てこない」「スマホをなくして、サインインのときの確認ができない」と言われたとき、管理者が最初に決めることは、その人が自分で戻せるかどうかです。この記事では、その見分け方と、本人の手順、管理者が Entra 管理センターで使うボタンの違いを書きます。
Microsoft 365 の導入を支援している当社が、Microsoft の公式の説明と当社の検証用の環境の画面で確かめた内容です。
全員に多要素認証（MFA）をかける設定は多要素認証を全員に有効にする記事にまとめ、その記事では、かけた後に「入れない」と言われても除外に足さず、認証方法のリセットと再登録で戻すと先に決めておくよう書きました。この記事は、その戻し方の手順です。SMS・音声の認証の廃止はSMS・音声認証の廃止の記事で扱っています。
最初に聞くこと：今、ほかの方法でサインインできるか
多要素認証の方法をすでに登録している人が自分のセキュリティ情報を開くには、多要素認証を通る必要があります（セキュリティ情報の統合登録）。実際に、Entra 管理センターにサインインしたまま mysignins.microsoft.com/security-info を開いても、改めて「サインイン要求を承認」の画面に移り、Authenticator で番号を入れるよう求められました。
つまり、古いスマホの Authenticator がまだ動く、登録した電話番号に SMS が届く、パスキーやセキュリティ キーを別に持っている、のどれかに当てはまれば、本人が自分で新しいスマホを足せます。どれにも当てはまらなければ、本人は［セキュリティ情報］に入れないので、管理者が戻すことになります。
二つ目に聞くのは、古いスマホが今どこにあるかです。手元にあって初期化しただけなら、戻すことだけを考えれば足ります。なくした・盗まれたなら、そのスマホに残っているサインインの状態を切ることも要ります（後の節）。
本人がやること：新しいスマホを足してから、古いスマホを消す
機種変更で先に知っておくことは、Authenticator のバックアップでは会社のアカウントは戻らない、という点です。Authenticator のバックアップが戻すのは個人の Microsoft アカウントと他社のサービスのワンタイム パスワードです。会社のアカウントは資格情報がバックアップされず、アカウント名だけが戻るので、新しいスマホでサインインして登録し直します（Authenticator でのバックアップ）。バックアップは同じ種類のスマホの間でしか戻せず、iPhone で取ったものは Android には戻せません。
そのため、本人には「古いスマホを初期化・下取りに出す前に、会社のアカウントを新しいスマホに登録する」と先に伝えます。新しいスマホで登録し終えるまでは、古いスマホを使える状態にしておきます（Authenticator での復元）。手順は次のとおりです（ボタンの名前は Microsoft サポートの表記）。
- パソコンのブラウザーで mysignins.microsoft.com/security-info を開き、会社のアカウントでサインインします。確認は古いスマホで通します。
- ［セキュリティ情報］で［サインイン方法の追加］を選び、Microsoft Authenticator を選びます。画面に出る QR コードを、新しいスマホの Authenticator で「職場または学校アカウント」を選んで読み取ります（Authenticator にアカウントを追加する方法）。
- 新しいスマホが一覧に増えたら、既定の方法（確認のときに最初に出る方法）が新しいスマホになっているかを確かめます。既定の方法も、方法の追加・削除と同じく［セキュリティ情報］で変えられます。
- 古いスマホの行を選んで削除します。
- 新しいスマホで一度サインインし直し、確認が新しいスマホに届くことを確かめてから、古いスマホを初期化します。
古いスマホをもう初期化していても、登録した電話番号に SMS が届くなら、手順1の確認を SMS で通して同じ手順で進めます。パスワードは分かっていて一部の方法だけを失ったときは、［サインイン方法の追加］で新しい方法を足し、なくした方法を削除します（職場または学校アカウントの確認コードのトラブルシューティング）。ただし Microsoft が提供する SMS・音声の認証は 2027年2月1日（全体管理者と外部ユーザーは2027年7月1日）に廃止されると案内されているので、SMS を予備として残し続ける前提には立てません。予備には、パスキーかセキュリティ キーを1つ足しておくのが手堅い方法です。
管理者がやること：本人の［認証方法］で戻す
Entra 管理センターで［ユーザー］から本人を選び、左の［認証方法］を開きます（ユーザー認証方法の管理）。当社が開いた画面では、上に［認証方法の追加］［パスワードのリセット］［多要素認証の再登録を要求する］［セッションの取り消し］の4つが並んでいました。Microsoft Learn（以下 Learn）の日本語版は、それぞれを「認証方法の追加」「パスワードをリセット」「MFA の再登録」「セッションを取り消す」と訳していて、画面の表記と少し違います。
写真の［認証方法の追加］が灰色なのは、開いたのが管理者自身の画面だったためと読めます（理由は画面には出ていません）。Learn は「ユーザーは自分のユーザー オブジェクトを更新できません」と書いており、自分の方法は［セキュリティ情報］で変える決まりです。社員の［認証方法］では、このボタンから一時アクセス パスや電話番号を足す手順になっています。また、Learn の手順の画面例にある登録済みの方法の一覧は、当社が開いた管理者自身の［認証方法］には出ませんでした（出ない理由は確かめていません）。そのため、管理センターで方法を1つずつ消す操作は、この記事では扱いません。
| 操作 | どこにあるか | 何が起きるか | 使う場面 |
|---|---|---|---|
| 一時アクセス パス | ［認証方法］の［認証方法の追加］ | 期限つきのパスコードを作る。本人はそれでサインインし、新しい方法を登録する。パスワードは変わらず、今のパスワードでもサインインできる | 管理者が本人を確かめてから渡す |
| ［多要素認証の再登録を要求する］ | ［認証方法］の上 | 電話番号・Microsoft Authenticator・ソフトウェア OATH トークンを消し、ハードウェア OATH トークンを止める。次のサインインで新しい方法の設定を求める | 一時アクセス パスを使えないとき。本人と連絡がつくときに押す |
| ［セッションの取り消し］ | ［認証方法］の上、［概要］の［セッションを取り消す］ | 更新トークンを無効にして、サインイン中のアプリに再びサインインを求める | スマホをなくした・盗まれた |
一時アクセス パスを渡して戻すときは
一時アクセス パス（Temporary Access Pass、TAP）は、管理者が本人のために作る、期限つきのパスコードです。強い認証方法をなくしたり忘れたりしたときの回復にも使えます（一時アクセス パスの構成）。本人はそのパスコードで［セキュリティ情報］にサインインし、新しいスマホを登録します。Authenticator のアプリに会社のアカウントを足すときのサインインにも使えます。作り方は、本人の［認証方法］で［認証方法の追加］を選び、方法の一覧から一時アクセス パスを選んで、有効期間を決めて追加します。
使う前の条件が一つあります。認証方法のポリシーで一時アクセス パスを有効にし、使える人を選んでおかないと、作っても本人はそれでサインインできません。このポリシーを変えるには、認証ポリシー管理者のロールが要ります。Entra 管理センターの［認証方法 | ポリシー］で確かめられます。当社の検証用の環境では、一時アクセス パスの行が「すべてのユーザー」「はい」になっていました。設定のパネルには「TAP は管理者のみが発行でき、システムによって強力な認証と見なされます。セルフサービス パスワード リセットには使用できません。」と書かれています。社員が自分でパスワードをリセットできるようにする設定は、セルフサービスのパスワード リセットの記事に書いています。
同じパネルの［構成］のタブには最短有効期間: 1 時間、最長有効期間: 8 時間、既定の有効期間: 1 時間、ワンタイム: いいえ、長さ: 8 文字と出ていて、Learn の表の既定値と同じでした。その表では、有効期間は10分から30日（43,200分）の間で決められ、既定では有効期間の間に何度でも使えます（画面の「ワンタイム」が Learn の「1 回限りの使用」）。1回限りにした場合、パスキーのようなパスワードを使わない方法の登録は、そのパスコードで10分以内に終える必要があります。作った値は［OK］を押すと二度と表示されないので、その場で本人に伝えます。1人が持てる一時アクセス パスは1つだけで、新しく作ると前のものに置き換わります。
一時アクセス パスが使えないときは［多要素認証の再登録を要求する］で登録し直させる
［多要素認証の再登録を要求する］を押すと、その人の電話番号・Microsoft Authenticator・ソフトウェア OATH トークンが消え、ハードウェア OATH トークンは使えない状態になります。必要に応じて、次のサインインで新しい方法の設定を求められます。
このボタンで気をつけることは二つです。一つは、消えるものの一覧にパスキー（FIDO2）や Windows Hello for Business が挙がっていないことです。一覧に挙がっていない方法（パスキーなど）が残っていれば、本人が登録し直した後に［セキュリティ情報］で削除してもらいます。デバイスをなくして方法を登録し直した人の古い方法は、残さず削除します。もう一つは、押してから本人が登録を終えるまでの間です。上の動きのとおりなら、次のサインインではパスワードを入れた後に新しい方法の登録へ進むので、その間はパスワードだけが確認になります（当社は押して確かめてはいません）。当社は、本人と電話がつながっている間に押し、その場でサインインと登録まで済ませてもらう使い方を勧めます。
二つの違いは、本人を誰が確かめるかです。一時アクセス パスは、管理者が本人と確かめた上でパスコードを渡す使い方ができ、パスワードを知っているだけの人はそのパスコードを持っていません。再登録の要求は、本人の確かめをパスワードに任せます。Business Premium で条件付きアクセスを使っているなら、信頼されたネットワークの外からセキュリティ情報を登録するときに多要素認証を求めるポリシーを作れます（セキュリティ情報の登録の保護）。一時アクセス パスはそのポリシーの多要素認証の要件を満たすので、そのポリシーを置く会社では、戻し方は一時アクセス パスに寄ります。
スマホをなくしたときは［セッションの取り消し］もあわせて押す
なくしたスマホに Outlook や Teams を入れていれば、そのサインインが残っています。すでにサインインしているアプリは、更新トークンを渡して自動でサインインし直す仕組みなので、認証方法を消すだけでは止まらないと読めます。セッションを取り消すと、更新トークンが無効になり、サインイン中のアプリに再びサインインを求めます（ユーザー認証方法の管理、ユーザー アクセスを取り消す）。ボタンは［認証方法］の上の［セッションの取り消し］のほか、［概要］にもあります。［概要］の方は「セッションを取り消す」という表記で、開いた画面の幅では右端の「…」の中に入っていました。
ただし、すでに出ているアクセス トークンは既定で1時間有効で、アプリが自分で出したセッションまでは Entra ID からは取り消せません。そのため盗まれた疑いが強いときは、先にアカウントのサインインを止めて（本人の［アカウントの状態］で［編集］を選び、［プロパティ］で［アカウントを有効にする］のチェックを外して［保存］を選ぶ）から、セッションを取り消します。パスワードまで知られている恐れがあるなら、あわせてパスワードも変えることを当社は勧めます。スマホに会社のデータが残っている場合の消し方は、端末を Intune で管理しているかで変わるため、この記事では扱いません。
誰が戻せるか：管理者自身がすべての方法をなくしたら、自分では戻せない
戻す作業は全体管理者でなくてもよく、Learn の手順は「少なくとも認証管理者」で書かれています。ただし範囲が違います。認証管理者が戻せるのは、管理者でない人と、組み込みロールの表に挙がる一部のロールの人です。認証の役割の中で、管理者を含むすべての人を戻せるのは特権認証管理者です（Microsoft Entra の組み込みロール）。全体管理者（グローバル管理者とも書かれます）は Entra ID のすべての管理機能を持ち、ユーザーの認証方法を足す・消す権限も含みます。一時アクセス パスは、認証管理者はメンバーの分を、特権認証管理者は管理者とメンバーの分を作れ、どちらも自分自身の分は作れません。
戻すこと以外の操作には、別のロールが要ります。なくしたときにアカウントのサインインを止めるには、管理者でない人ならユーザー管理者、管理者なら特権認証管理者が要り、一時アクセス パスのポリシーを変えるには認証ポリシー管理者が要ります。認証管理者は、このどちらにも挙がっていません。戻す役を認証管理者だけにすると、紛失のときにサインインを止める人が別に要ります。
300人以下の会社では、Microsoft 365 の管理者が1人だけということもあります。その人が登録したすべての方法を使えなくなると、戻せる人がいません。全体管理者は複数置けるので、2人にしておけば互いに戻せますし、多要素認証を全員に有効にする記事で書いた緊急用アカウントがあれば、そこから戻せます。管理者自身は、スマホと別に予備の方法（パスキーやセキュリティ キー）を1つ登録しておくのが、いちばん手間の少ない備えです。
戻す前に、今のうちに整えておくこと
まず Entra 管理センターの［認証方法 | ポリシー］で一時アクセス パスの行が「はい」になっているかを確かめ、戻す役の人を2人以上決めます。役割は、全体管理者にするか、特権認証管理者・ユーザー管理者・認証ポリシー管理者を組み合わせて、戻す・サインインを止める・ポリシーを変える、の3つに手が届くようにします。社員向けには、「機種変更のときは、古いスマホを初期化する前に mysignins.microsoft.com/security-info で新しいスマホを足す」という1行を、機種変更の案内や入社のときの資料に入れておくと、管理者が戻す回数そのものが減ります。
戻す役の決め方や、社員向けの案内づくりから一緒に進めたい場合は、Microsoft 365 の導入支援でお手伝いしています。
この記事の確かめ方
写真と管理センターの画面の表記は、当社の検証用の環境（Microsoft 365 Business Premium）で2026年10月29日に開いて確かめたものです。開いたのは、Microsoft Entra 管理センターのユーザーの［認証方法］［概要］と、認証方法のポリシーです。管理者自身のアカウントで開いたので、リセットのボタンは押していません。マイ サインインの［セキュリティ情報］は、開くと承認を求められたところで止めたので、中の画面は見ていません。
押した後に起きること、［セキュリティ情報］の中の画面の名前（「既定の方法」を含む）、サインインを止める手順と一時アクセス パスの作り方で選ぶ画面の名前は、Learn と Microsoft サポートの説明（同じ日に確認）で書いています。表「戻すときに使う操作」は、ボタンの名前が画面の表記、何が起きるかが Learn の説明です。Entra 管理センターとマイ サインインの画面は更新が続いているため、操作の前に各ページの最新を確かめてください。
執筆・監修
Aurant Technologies CAIO（Chief AI Officer）
Microsoft 365 と生成 AI の導入を支援する立場から、Microsoft 365 を管理する方向けにまとめています。
Microsoft 365・Google Workspace の移行と設定のスポット相談
メールの移行、ドメインとDNS、共有アドレスや代理人の権限、新しいOutlookへの切り替え、Copilot・Geminiを使うときの社内ルール。調べた手順で直らないとき、同じことが何人もで起きているときに、いま困っていることを1件から相談できます。