セルフサービスのパスワードリセットを有効にする｜情シスへの「パスワード忘れた」を減らす（Entra ID・SSPR）
Entra ID のセルフサービス パスワード リセット（SSPR）を有効にし、社員が自分でパスワードを戻せるようにする手順です。使えるライセンス（Business Standard 以上・P1・P2、書き戻しは Business Premium か P1・P2）、対象の選び方、必要な方法の数と使える方法、サインイン時の登録、管理者の別の決まり、有効にした後も情シスに来る人の受け方を、設定画面とあわせて整理します。
目次 クリックで開く
この記事の要点
- 社員が自分でパスワードを戻せるようにするには、Entra 管理センターの［パスワード リセット］でセルフサービス パスワード リセット（SSPR）を有効にします。忘れたパスワードのリセットは Microsoft 365 Business Standard 以上と Entra ID P1・P2 で使え、追加の料金はかかりません。社内の Active Directory にも書き戻すには、Business Premium か P1・P2 が要ります。
- 有効にしただけでは、まだ誰も戻せません。戻せるのは、管理者が許した本人確認の方法を、決めた数だけ前もって登録した人です。対象を「選択済み」のグループから始め、方法を［認証方法］＞［ポリシー］で有効にし、サインインのときに登録を求めます。パスキーはリセットに使えません。
- 管理者のアカウントは、社員の設定とは別の決まりで動きます。試すときは管理者ロールの無いアカウントを使います。スマホをなくした人や社内の AD でパスワードを管理している人は、有効にした後も情シスに来るので、受け方を先に決めておきます。
たとえば、連休明けの朝に、社員から「パスワードを忘れてサインインできない」と電話が来たとします。管理者は Microsoft 365 管理センターでその人のパスワードをリセットし、新しいパスワードを本人に伝えます。同じ連絡が何人から来ても、管理者は一人ずつこの作業を繰り返します。Microsoft 365 には、社員が管理者を通さずに自分でパスワードをリセットしたり、ロックを解除したりできる仕組みがあります。Entra ID（Microsoft 365 のアカウントを管理する仕組み）のセルフサービス パスワード リセットで、以下 SSPR と書きます。
この記事を読むと、管理者が Entra 管理センターのどこで何を選び、社員に何を登録させておけば「結局戻せずに情シスに電話」を減らせるかが分かります。有効にした後も情シスに来る人をどう受けるかも書きます。当社は Microsoft 365 の導入を支援している会社で、この記事は検証用の環境でパスワード リセットの設定画面を開いて書きました。開いた画面では、［プロパティ］の注記が「管理者は 2 つの認証方法が必要」と言うのに、［管理者ポリシー］では必要な数が「1」と出ていました。その読み方も書きます。
使えるライセンスと、設定する場所
SSPR でできることは、ライセンスで3段に分かれます。Entra ID Free でできるのは、今のパスワードを知っている人が新しいものに変える「変更」だけです。忘れたパスワードの「リセット」は、Microsoft 365 Business Standard 以上と、Entra ID P1・P2 で使えます。社内の Active Directory（以下 AD）から同期したユーザーがリセットし、新しいパスワードを AD にも書き戻すには、Business Premium か P1・P2 が要ります（Microsoft Learn「Microsoft Entra のセルフサービス パスワード リセットのライセンス要件」）。
同じページは、ライセンスの無いユーザーが技術的に SSPR を使えてしまう場合があっても、使わせる人にはライセンスが要るとしています。なお、Learn（Microsoft の公式の技術文書のサイト Microsoft Learn）のチュートリアルの前提条件には「少なくとも Microsoft Entra ID P1」とあり、ライセンス要件の表と書き方が違います。この記事は、日本語版と英語版でそろっているライセンス要件の表に従っています。Microsoft 365 の管理者向けのページには、SSPR を有効にしても追加料金は発生しない、とあります（Microsoft Learn「ユーザーが自分でパスワードをリセットできるようにする」）。
設定する場所は、Entra 管理センターの［Entra ID］＞［パスワード リセット］です。Microsoft 365 管理センターからも移れます。Learn の表記では、［設定］＞［Org の設定］の［セキュリティ & プライバシー］タブで［セルフサービス パスワード リセット］を選び、［Azure portalに移動］を選びます。左のメニューには［プロパティ］［認証方法］［登録］［通知］［カスタマイズ］［オンプレミスの統合］［管理者ポリシー］が並んでいました。チュートリアルは、設定に要るロールを少なくとも認証ポリシー管理者としています。
［プロパティ］：最初は「選択済み」で、テスト用のグループから
最初に開く［プロパティ］には、「パスワード リセットのセルフサービスが有効」の項目が1つだけあります。選択肢は「なし」「選択済み」「すべて」で、当社が開いたときは「なし」でした。「選択済み」を選ぶと、対象にするグループを選べます。
選べるグループは、Entra 管理センターからは1つだけです。ただし入れ子のグループに対応しているので、部署ごとのグループをまとめた1つのグループを作って選ぶ形にできます。チュートリアルの進め方も、まずテスト用のグループで登録とリセットを試し、慣れてから対象を広げる順です。最初から「すべて」にしないことをお勧めします（当社の勧めです）。「すべて」には、ライセンスの無いアカウントも入ってしまうからです。
試すときは、管理者ロールの付いていないアカウントを使います。このあとの節で書くとおり、管理者は社員の設定と関係なく、別の決まりでパスワード リセットが使えます。自分の管理者アカウントで試しても、社員が何を見るかは分かりません。
［認証方法］：必要な方法の数と、使わせる方法
パスワードを忘れた人は、パスワードの代わりに、スマホのアプリへの通知やメールに届くコードなどで本人であることを確かめます。画面ではこの確かめ方を「認証方法」と呼びます。［パスワード リセット］の［認証方法］で決めるのは、「リセットのために必要な方法の数」（1か2）です。当社が開いたときは「1」でした。
Learn のチュートリアルでは、この画面で「モバイル アプリの通知」「電子メール」「携帯電話」などにチェックを入れる手順になっています。当社が開いた画面では、「ユーザーが使用できる方法」は「秘密の質問」だけで、その下に「認証方法ポリシーを使用して、他の認証方法を管理します。」とありました。2025年9月30日からは、古い多要素認証とパスワード リセットの設定では認証方法を管理できなくなりました（Microsoft Learn の SSPR のチュートリアル）。セキュリティの質問以外の方法は、［Entra ID］＞［認証方法］＞［ポリシー］で有効にします。画面の上の帯には「セキュリティの質問は 2027 年 3 月に廃止されます。」と出ていました。この時期は、当社が読んだ Learn のページでは確かめられていません。
この一覧の説明には、方法の対象に入っているユーザーはそれを認証とパスワード リセットに使えるが、シナリオによってはサポートされない方法がある、と書かれています。パスワード リセットに使えない方法の代表がパスキーです。パスキーは、スマホやパソコンの顔・指紋・PIN でロックを解いてサインインする、パスワードを使わない方法です。認証方法の一覧の表では、パスキー（FIDO2）、Authenticator のパスキー、一時アクセス パス（管理者が発行する期限つきのパスコード）、Windows Hello for Business は、SSPR に使えない方法になっています（Microsoft Learn「Microsoft Entra 認証の概要」）。パスキーに移った社員にも、パスワード リセット用に別の方法を残してもらいます。パスキーの登録の進め方は パスキー・Microsoft Authenticator の記事にまとめました。
必要な数を2にするときに間違えやすいのが、数え方です。Microsoft Authenticator、ソフトウェア OATH トークン、ハードウェア OATH トークンは、合わせて1つの方法に数えます。OATH トークンは、30秒ごとなどに変わる確認コードを出すアプリや小さな機器のことです。この3つを組み合わせても、2つの要件は満たせません（Microsoft Learn「しくみ: Microsoft Entra のセルフサービス パスワード リセット」）。2つ目は、メールにしてもらいます。ただし、Learn の同じページは、Authenticator を方法に含めて必要な数を2にするときは、Authenticator のほかに少なくとも2つの方法を選ぶよう求めています。この注意が、認証方法のポリシーで方法を管理する今の画面にもそのまま当てはまるかは、当社は確かめていません。必要な数を2にするなら、Authenticator とメールのほかにもう1つ使える方法が要るかもしれません。残る候補は、テレフォニー プロバイダーを通した SMS・音声か、廃止までのセキュリティの質問です。そこまで決めきれないうちは、社員の必要な数は1で始めるのも一つの選び方です（当社の勧めです）。メールを使う場合は、会社のメールボックス以外のアドレスを登録してもらうことをお勧めします（当社の勧めです）。パスワードを忘れた人は、会社のメールにもサインインできないことがあるからです。
もう1つ気を付けるのは、途中で数を上げることです。方法を1つしか登録していない人は、必要な数を1から2に上げた時点でリセットできなくなります。使える方法を減らしたときも同じで、残った方法を登録していない人はリセットできません。ですから、数は最初に決めて、変えるなら全員の登録がそろってからにします。
社内の AD の電話番号を同期して、登録の代わりにしている会社は、時期にも注意が要ります。Learn は、2027年2月以降、SSPR は明示的に登録された認証方法だけを受け付け、登録されていない電話番号やメール アドレスの値は本人確認に使えなくなるとしています（Microsoft Learn「SSPR のユーザー認証連絡先情報の事前設定」）。電話（SMS・音声通話）を2つ目にするのは、お勧めしません。Microsoft が提供する SMS と音声の認証の廃止は SSPR にも及ぶ、と Learn の FAQ が書いているからです（Microsoft Learn「SMS と音声の提供終了に関してよく寄せられる質問」）。多くのユーザーは2027年2月1日、グローバル管理者（ロールが有効な間）は7月1日が廃止の日で、続けるには別の電話サービスの事業者（テレフォニー プロバイダー）の設定が要ります。日程の詳細は SMS・音声認証の廃止の記事にまとめました。
［登録］：サインインのときに登録させる
方法を決めても、社員が登録していなければ戻せません。［登録］の「サインイン時にユーザーに登録を求めますか?」を「はい」にすると、対象の社員は、次にブラウザーなどでサインインしたときに登録の画面に案内されます。当社が開いたときは「はい」で、「ユーザーが認証情報を再確認するように求められるまでの日数」は180でした。
登録の画面は、社員が［キャンセル］で閉じることもできます。ただし、登録が終わるまでは、サインインのたびに求められます。再確認までの日数は0〜730日で決められ、0にすると再確認は求められません。チュートリアルは、リセットを始めたときに古い連絡先しか残っていないと、ロックの解除もリセットもできないことがある、と書いています。電話番号を変えた社員に登録し直してもらうきっかけになります。
登録の画面は、多要素認証と共通です（統合された登録）。Learn は、多要素認証と SSPR の両方を有効にしている場合は、多要素認証の登録を求めることを勧めています（Microsoft Learn「Microsoft Entra での統合されたセキュリティ情報の登録の概要」）。多要素認証を全員に求める設定は、多要素認証を全員に有効にする記事にまとめました。
［通知］と［カスタマイズ］：戻した人への知らせと、戻せない人の連絡先
［通知］には2つの項目があります。「パスワードのリセットについてユーザーに通知しますか?」を「はい」にすると、パスワードをリセットした本人に、変わったことを知らせるメールが届きます。身に覚えのないリセットに、本人が気づけます。「他の管理者が自分のパスワードをリセットしたときに、すべての管理者に通知しますか?」は、管理者が SSPR で自分のパスワードを変えたときに、グローバル管理者にメールで知らせる設定です。当社が開いたときは、前者が「はい」、後者が「いいえ」でした。チュートリアルは両方を「はい」にしています。
［カスタマイズ］の「ヘルプデスク リンクのカスタマイズ」は、SSPR の画面に出る［管理者に問い合わせる］のリンクの行き先を、自社の窓口に替える設定です。当社が開いたときは「いいえ」で、「カスタム ヘルプデスクの電子メールまたは URL」は空でした。チュートリアルは、ヘルプデスクのメール アドレスか URL を指定することを勧めています。戻せなかった社員が次にどこへ連絡すればよいかを、画面の中で示せます。
管理者のアカウントは、社員と別の決まりで動く
［プロパティ］の注記にあったとおり、ここまでの設定は社員にだけ効きます。管理者ロールの付いたアカウントは、既定で SSPR が有効で、2つの認証データを求める「2 ゲート」の決まりが当てはまります。この決まりは変えられず、セキュリティの質問は使えません（Microsoft Learn「Microsoft Entra ID のパスワード ポリシーとアカウント制限」）。
ところが、当社の検証用の環境の［管理者ポリシー］では、「リセットのために必要な方法の数」が「1」と出ていました。管理者が使える方法として、「電子メール」「携帯電話 (SMS のみ)」「携帯電話」「モバイル アプリ コード」が並んでいました。
同じページには、1つで足りる「1 ゲート」の例外が2つ書かれています。試用のサブスクリプションの最初の30日の間と、独自ドメインを足しておらず（最初に付く *.onmicrosoft.com のドメインのまま）、Entra Connect で社内の AD と同期もしていない場合です（Microsoft Learn「Microsoft Entra ID のパスワード ポリシーとアカウント制限」）。独自ドメインでメールを使っている会社なら、管理者は2つの方法を登録しておく必要があります。画面に並んだ方法のうち2つは電話で、Microsoft が提供する SMS・音声の廃止は管理者の SSPR にも及びます（グローバル管理者以外の管理者ロールの人は2027年2月1日、グローバル管理者（ロールが有効な間）は7月1日）。管理者の2つは、メールとモバイル アプリ コードにしておくことをお勧めします（当社の勧めです）。管理者のアカウントに方法を1つしか登録していないと、自分のパスワードを忘れたときに戻せません。
管理者に SSPR を使わせたくない場合は、PowerShell か Microsoft Graph で、組織全体の承認ポリシー（Learn の表記はテナント承認ポリシー）の AllowedToUseSspr を変えて止められます。反映には最大60分かかります。その場合、社員の SSPR の対象から管理者を外しておかないと、管理者は登録を求められるのに方法を登録できない画面に出会う、と Learn は書いています。緊急用のアカウントの扱いを含め、管理者ロールの付け方は 管理者ロールと緊急用アカウントの記事にまとめました。
社内の AD と同期している会社は、書き戻しが無いと戻せない
社内の AD のアカウントを Entra ID に同期して使っている会社では、パスワードの元は AD にあります。この場合、書き戻し（パスワード ライトバック）を用意していないと、社員が SSPR を開いても、管理者に連絡するよう案内されるだけです（Microsoft Learn「しくみ: Microsoft Entra のセルフサービス パスワード リセット」）。書き戻しを使うと、クラウドで変えたパスワードがその場で AD にも書き込まれ、AD のパスワードの決まりに合わないときは、その場で社員に知らされます。
書き戻しには Business Premium か Entra ID P1・P2 が要ります。同期には、社内のサーバーに入れる Microsoft の同期の道具（Entra Connect か Cloud Sync）を使います。どちらで同期するかの選び方は、Entra Connect と Cloud Sync の違いの記事にまとめました。同期をしていない、クラウドだけのアカウントの会社は、この画面を触る必要はありません。
社員に伝えること：前もって登録し、忘れたら自分で戻す
社員がやることは2つです。1つ目は、忘れる前に方法を登録しておくことです。［登録］で登録を求めていれば、サインインしたときに登録の画面が出ます。自分から登録するときは、https://aka.ms/ssprsetup を開きます。2つ目は、忘れたときに、サインインの画面の［アカウントにアクセスできない］を選ぶことです。ユーザー名と画面に出る文字を入れ、登録した方法で本人であることを確かめると、新しいパスワードを決められます（Microsoft サポート「Microsoft 職場または学校アカウントのパスワードをリセットする」）。必要な数が2の会社では、確かめる操作が2回あります。
Entra ID で作ったユーザーの新しいパスワードは8文字以上256文字以下で、小文字・大文字・数字・記号のうち3種類が要ります。クラウドだけのユーザーが忘れたパスワードをリセットするときは、前回と同じパスワードをもう一度使えてしまいます（Microsoft Learn「Microsoft Entra ID のパスワード ポリシーとアカウント制限」）。社員への案内には、前と同じパスワードにしないことも書いておくことをお勧めします。
パスワードを10回間違えてロックされた社員も、SSPR でロックを解除できます。既定では、ロックは1分で、さらに間違えると長くなります。なお、パスキーなどでパスワードを使わずにサインインしている社員向けに、今のパスワードを入れずにパスワードを変えられる機能もあります。Learn は、2026年10月下旬から出始め、11月末までに出そろう予定としています（2026年11月6日時点）。これは SSPR とは別の機能で、P1・P2 が要ります。既定では無効で、Learn の手順では、管理者が［認証方法］＞［ポリシー］の［パスワード］で有効にします。
有効にした後も情シスに来る人と、その受け方
SSPR を有効にしても、パスワードの相談はゼロにはなりません。来るのは主に、対象に入っていない人、方法を登録していない人、方法そのものをなくした人です。Microsoft サポートの社員向けのページにあるよくあるエラーの表と、ここまでの節の内容から、当社が並べると次のようになります。
スマホをなくした、機種を変えたという人は、本人確認の方法そのものを失っているので、SSPR では戻せません。管理者が一時アクセス パスを渡すか、多要素認証の再登録を求めて戻します。手順は 多要素認証のリセットと再登録の記事にまとめました。
誰がいつ SSPR を使ったかは、Entra 管理センターの［ユーザー］の［監査ログ］で、サービスを「セルフサービス パスワード管理」に絞ると見られます（Microsoft Learn「Microsoft Entra パスワード管理のレポート オプション」）。アクティビティには、「パスワードのリセット (セルフサービス)」や、24時間に何度も試みたことを示す「セルフサービス パスワード リセットからのブロック」があります。回数は、英語版では「合計5回を超えて」、日本語版では「合計 5 回以上」と書かれています。このデータを集めるには、レポートか監査ログを少なくとも1回開いておく必要があります。本人の覚えのないリセットやブロックがあれば、サインイン ログで乗っ取りを確かめる記事の手順で、その前後のサインインを見ます。
対象を広げる前の週にやること
まず、管理者ロールの無いテスト用のアカウントを入れたグループを作り、［プロパティ］で「選択済み」にします。そのアカウントで https://aka.ms/ssprsetup から方法を2つ登録し、ブラウザーのプライベート ウィンドウで https://aka.ms/sspr からリセットしてみます。通知のメールが届くこと、［カスタマイズ］の連絡先が出ることも確かめます。管理者のアカウントに方法が2つ登録されているかも、このときに見ておきます。全社に広げる前に、社員へ「何を登録するか」「忘れたらどこを押すか」を1枚にまとめて配っておくことをお勧めします。登録していない人は、忘れた日に戻せないからです。連休明けの朝の電話を減らせるかどうかは、この登録がそろっているかで決まります。当社では、こうしたサインインの設定を含めた Microsoft 365 の導入支援も行っています。
この記事の確かめ方
2026年11月6日に、Microsoft Learn の日本語版と英語版の次のページを開いて書きました：しくみ: Microsoft Entra のセルフサービス パスワード リセット、SSPR のチュートリアル、セルフサービス パスワード リセットのライセンス要件、パスワード ポリシーとアカウント制限、セルフサービス パスワード リセット ライトバックのしくみ、パスワード管理のレポート オプション、ユーザー認証連絡先情報の事前設定、Microsoft Entra 認証の概要、認証方法を管理する、統合されたセキュリティ情報の登録の概要、SMS と音声の提供終了に関してよく寄せられる質問、ユーザーが自分でパスワードをリセットできるようにする（Microsoft 365 管理者）。社員側の手順は Microsoft サポートのページで確かめました。日本語版と英語版で内容が違うところは、英語版で確かめました。
画面の写真は、当社の検証用の環境の Entra 管理センターで2026年11月6日に撮ったものです。設定は見ただけで、どの画面でも［保存］は押していません。社員として登録・リセットする画面は撮っていません。写真では、組織名と名前を伏せています。画面の表記と既定値は変わることがあります。
執筆・監修
Aurant Technologies CAIO（Chief AI Officer）
Microsoft 365 と生成 AI の導入を支援する立場から、Microsoft 365 の管理者の方向けにまとめています。
Microsoft 365・Google Workspace の移行と設定のスポット相談
メールの移行、ドメインとDNS、共有アドレスや代理人の権限、新しいOutlookへの切り替え、Copilot・Geminiを使うときの社内ルール。調べた手順で直らないとき、同じことが何人もで起きているときに、いま困っていることを1件から相談できます。