セキュリティ

Entraパスキー入門：初心者向け詳細ガイド

A Beginner's Deep Dive Guide to Entra Passkeys (emsroute.com)

12 pointsby speckx2026年9月2日8 コメント

要約

この記事は、パスワードよりも安全で、設定の負担が少なく、フィッシング耐性のある認証方法であるパスキーについて、Microsoft Entraの観点から解説します。パスキーがなぜパスワードレス認証の未来なのか、MFAをどのように満たすのか、そしてWebAuthnプロトコルに基づいたキーペアの仕組みや、デバイスバウンド型と同期型のパスキーの違い、Entraでの設定方法とエンドユーザーの登録手順について詳しく説明しています。

全文翻訳

Entraパスキー入門：詳細ガイド

パスワードよりも100%安全で、設定の負担も少なく、フィッシング耐性のある認証方法があればどうでしょうか？パスキーがその答えです。パスキーは新しいものではなく、最近どこでも使われているのを目にするでしょう。

Microsoft Entraはパスキーに完全対応しています。デバイスバウンドパスキーと同期パスキーの両方がGA（一般提供）されており、この記事ではEntraにおけるパスキーのあらゆる側面を網羅します。

パスキーはなぜパスワードレス認証の未来なのか？

簡単に言うと、パスキーはフィッシングに強いのです。攻撃者は、パスキーが正当なサービスプロバイダーのドメインに紐づいているため、偽のウェブサイトでユーザーを認証させることはできなくなります。

さらに、パスキーは再利用されたり盗まれたりすることがありません。認証にはユーザーのデバイスに安全に保存された秘密鍵が必要であり、攻撃者が認証情報を再生したり悪用したりすることは不可能です。

パスキーはどのようにMFAを満たすのか？

パスキーは、単一の認証方法のように聞こえるかもしれませんが、通常は多要素認証（MFA）の要件を満たします。

あなたが持っているもの – 秘密鍵を保存しているデバイス（スマートフォン、ラップトップなど）
あなたが知っているもの、またはあなた自身 – デバイスのロックを解除するためのPIN/パスワード、または生体認証（指紋、Face ID）

パスキーのキーペア – WebAuthnプロトコル

パスキーのセキュリティを理解することは重要です。ユーザーがアカウントにパスキーを登録すると、キーペアが作成されます。デバイスバウンドパスキーの場合、秘密鍵はデバイスに安全に保存され、公開鍵はEntra ID内のユーザーアカウントに配置されます。しかし、同期パスキーの場合は、秘密鍵は暗号化され、同期パスキーをサポートするサービスに保存されます。これがWebAuthn（Web Authentication）オープン標準の基本です。

ユーザーがパスキーを使用してM365リソースにログインしようとします。
Entraはチャレンジ（一度だけ使用されるランダムなノンス）とRelying Party ID（login.microsoftonline.com）を送信します。
ブラウザ/クライアントはこれをWebAuthn API経由で認証デバイス（デバイスのTPM/Secure Enclave、FIDO2キー、または認証アプリ）に渡します。
ローカルでユーザー検証が行われます – ユーザーは生体認証またはPINを提供し、デバイス上の秘密鍵をアンロックするか、スマートフォンからQRコードをスキャンして認証アプリで検証します。
ステップ4の検証が成功すると、デバイスはチャレンジ（具体的には、認証データ + クライアントデータのハッシュ（ノンス、オリジン、Relying Party IDを含む）のハッシュ）に署名します。署名された応答がEntraに返送されます。これには以下が含まれます：
- 認証情報ID – Entraがどの公開鍵を探すべきかを知るため
- 認証データ – ユーザーの存在と検証を確認するフラグ
- 署名 – 秘密鍵によって生成されたもの
Entraは公開鍵を検索します – 認証情報IDを使用して、ユーザーのアカウントにある一致する公開鍵を見つけます。Entraは署名を検証し、公開鍵に対して署名をチェックします。一致すれば、チャレンジは正しい秘密鍵で署名されたことになります。トークンが発行され、Entraはユーザーが主張する本人であることを確認し、アクセストークンを発行します。

パスキーが別のデバイスにある場合

登録プロセス中、ユーザーは同じデバイスまたは別のデバイスでパスキーを作成できます。Microsoft Authenticatorのようなアプリを使用したり、FIDO2キーを使用したりします。同じデバイスの場合、通常はWindowsデバイスのTPMやMacデバイスのSecure Enclaveが使用されます。しかし、別のデバイスで行う場合、2種類のパスキーモードがあります。

プラグインパスキー

USB接続またはNFCでプロセスが完了します。ユーザーは、検証プロセスを完了したことを示すデバイスにタッチする必要があります。これは主に生体認証チャレンジであり、その後、チャレンジに署名するための詳細が送信されます。

認証アプリ内のパスキー

パスワードマネージャーまたはMicrosoft Authenticator、Key Chain：Bluetoothを介してデバイスとラップトップの間に安全な暗号化トンネルを作成し、チャレンジフローを完了してWebAuthnを転送します。

パスキーの種類

デバイスバウンドパスキー

以下の図が示すように、異なるデバイスから同じユーザーアカウントに対してデバイスバウンドパスキーを作成できます。ただし、この場合、個別のキーペアが作成され、同期なしで個別に機能します。アカウントに単一のパスキーがあり、デバイスを紛失した場合、新しいデバイス用に新しいパスキーを作成する必要があることがわかります。

［画像：デバイスバウンドパスキーの概念図］

デバイスバウンドパスキーの使用例

具体的には、FIDO2キーです。標準アカウントで認証アプリと共にMFAを使用している典型的なシナリオです。組織のクラウドチームに所属しており、アプリケーション管理者ロールへのアクセス昇格資格を持つRBACが有効なアカウントを持っています。認証強度はFIDO2キーに設定されており、アクセス昇格時にMFAプロセスを完了する必要があります。

これにより、特定のFIDO2キーのみを高権限のアプリケーション管理者ロールに許可し、標準の認証アプリがMFAチャレンジを完了できないようにすることで、攻撃対象領域が削減されます。

同期パスキー

パスキープロバイダーのクラウドに保存されたパスキー。

Apple – Apple Key Chain
Android – Password Manager
1Password – 1Password vault

重要！ – Appleデバイスで、パスキーを作成しようとしたときにAppleパスワードオプションが表示されない場合は、以下の設定が有効になっていることを確認してください。

設定 > 一般 > 自動入力とパスワード

［画像：Appleデバイスの設定画面］

［画像：Appleデバイスのパスワード設定画面］

設定の時間！

役立つヒント: 組織でパスキーが新しい場合は、パイロットユーザーのセットでテストしてください。

手順:

［画像：Entraパスキー設定の全体像］

Entraでのパスキー設定

Entraにはパスキープロファイルがあり、デバイスバウンドまたは同期パスキーをすべてのユーザーまたはユーザーグループに設定できます。

この変更前は、デバイスバウンドパスキーのみでした。

デフォルトのプロファイルは次のようになります。

［画像：Entraパスキーのデフォルトプロファイル設定］

上記の構成では、アテステーション（証明）を強制するように設定されており、FIDO2キーモデルまたはパスキープロバイダーが本物であり、ベンダーから適切な証明書を持っていることがわかります。

また、AndroidおよびiOSデバイスのMicrosoft Authenticatorに制限しました。ここで、より多くのFIDO2キーモデルのAAGUIDを追加できます。

［画像：Entraパスキープロファイルの設定画面（制限付き）］

パブリックプレビューにオプトインすると、次の画面が表示されます。ここでプロファイルの構築を開始し、ユーザーグループを追加します。

［画像：Entraパスキープロファイル設定（プレビュー）］

同期パスキーポリシーの作成

構成セクションに移動し、プロファイルの追加を選択します。

アテステーションの強制とターゲットのAAGUIDの指定は、同期パスキーであるため不要です。

保存を押します。

［画像：Entra同期パスキーポリシー設定］

有効化とターゲットタブに移動し、ターゲットの追加を選択して、すべてのユーザーまたはターゲットの選択を選びます。

デフォルトの「すべてのユーザー」行を削除し、必要なものを追加できます。

完了したら、保存を押します。

［画像：Entra同期パスキーポリシーのターゲット設定］

エンドユーザーがパスキーを登録する方法

エンドユーザー向けにパスキーを展開する予定がある場合、この部分は重要です。これは、必要な認証強度を持つCAポリシーをユーザーに有効にする前に発生する必要があります。これにより、ユーザーがサインインすると、M365リソースにログインする前にパスキープロセスを完了するように求められます。

これにより、グループ内のユーザーはマイアカウント > セキュリティ情報 > サインイン方法の追加からパスキーを作成するオプションを持つようになります。

［画像：Entraセキュリティ情報画面（パスキー追加オプション）］

ユーザーのパスキープロファイルがデバイスバウンドの場合

1 – デバイスに依存しないように、認証アプリでパスキーを作成する場合

2 – デバイス内のパスキー。この場合、WindowsのTPM、またはデバイス外でパスキーを作成するオプションがあります。

ユーザーのパスキープロファイルが同期されている場合

2 – パスキーオプションを選択し、「別のデバイスを使用してパスキーを作成」を選択すると、「パスキーの保存場所を選択」画面が表示されます。「iPhone、iPad、またはAndroidデバイス」を選択します。

［画像：パスキーの保存場所選択画面］

［画像：QRコード表示画面］

［画像：Apple Key Chainでのパスキー作成］

モバイルデバイスからQRコードをスキャンし、「パスワード」（Apple Key Chain）を選択します。

スキャンプロセスを完了すると、キーがKey Chainに作成されます。

ログインしているデバイス（例：ラップトップ）とモバイルデバイス間でBluetooth接続があることを確認してください。

Key Chainに保存されたパスキーは、以下のようにセキュリティ情報に表示されます。

［画像：Entraセキュリティ情報画面（同期パスキー表示）］

Entraでの認証強度（Authentication Strength）の作成

認証強度を作成することで、条件付きアクセス（CA）ポリシーに追加して、ユーザーに登録と今後の使用を強制できます。

ここでは飛躍して、強度としてパスキーのみを選択しました。ただし、前述したように、必ず最初にパイロットユーザーのセットにのみCAポリシーを追加してください。

条件付きアクセスポリシー > 認証強度

強度名: Passkeys FTW

［画像：Entra認証強度設定画面（新規作成）］

［画像：Entra認証強度設定画面（パスキー選択）］

CAポリシーの設計

ポリシーに必要なユーザー、リソース、その他の条件を設定します。

以下に示すように、重要な部分のみをキャプチャしました。「認証強度を要求する」オプションを選択し、先ほど作成した強度を指定しました。

［画像：Entra条件付きアクセスポリシー設定画面（認証強度適用）］

Entra KerberosにおけるFIDO2の対応

以前、Cloud Kerberos Trustに関する記事を書きました。そのパート1はEntra Kerberosの設定です。

Entra Kerberosの良い点は、FIDO2に対応していることです！つまり、Entra参加済みデバイスからオンプレミスリソースに認証する必要がある場合、その認証プロセスはKeypassを使用して完了できます。

近日公開予定？ 2026年3月中旬

Windows上のMicrosoft Entraパスキー

MC1247893 – Windows上のMicrosoft Entraパスキーがフィッシング耐性のあるサインインをサポート | Microsoft 365 メッセージセンターアーカイブ

違いは何ですか？ これは特に、管理されていないデバイス、個人用デバイス、または共有タイプのデバイス向けです。

何が使用されますか？ これは、Entra保護リソースにアクセスする際に、Windows Hello（Windows Hello for Businessではない）を使用してパスキーを保存します。

言い換えれば、パスキーはWindows Helloコンテナに保存されます。

オプトイン方法 現在パスキープロファイルを有効にしている場合、以下のプロファイルを作成する必要があります。これも、まず少数のユーザーのみでテストしてください。

認証方法ポリシーでパスキー（FIDO2）認証方法を有効にします。
パスキープロファイルを作成し、以下を設定します：
- アテステーションの強制: 無効
- キーの制限: 有効
適切なグループにパスキープロファイルを割り当てます。
パスキー認証をサポートしていることを確認するために、条件付きアクセスおよび認証強度ポリシーを検証します。
パイロットユーザーにサポートされるシナリオと登録手順について伝えます。

EMS Routeからさらに発見

最新の投稿をメールで受け取るには登録してください。