Entraパスキー入門：初心者向け詳細ガイド

パスワードよりも100%安全で、設定の負担が少なく、フィッシング耐性のある認証方法があればどうでしょうか？パスキーがあなたの答えです。 パスキーは新しいものではなく、最近どこでも使われているのを目にしているはずです。Microsoft Entraはパスキーを完全にサポートしています。 デバイスバウンド型パスキーと同期型パスキーの両方がGA（一般提供）されており、この記事ではEntraにおけるパスキーのあらゆる側面を掘り下げていきます。 なぜパスキーはパスワードレス認証の未来なのか？ 簡単に言うと、パスキーはフィッシング耐性があります。パスキーは正規のサービスプロバイダーのドメインにバインドされているため、攻撃者はユーザーを偽のウェブサイトに誘導して認証させることはできなくなります。さらに、パスキーは再利用されたり盗まれたりすることもありません。認証には、ユーザーのデバイスに安全に保存された秘密鍵が必要であり、攻撃者が認証情報をリプレイしたり悪用したりすることは不可能になります。 パスキーはどのようにMFAを満たすのか？ パスキーは、単一の認証方法のように聞こえる場合でも、通常は多要素認証（MFA）を満たします。 あなたが持っているもの – 秘密鍵を保存しているデバイス（あなたの電話、ラップトップなど） あなたが知っている、またはあなた自身であるもの – デバイスのロックを解除するPIN/パスワードまたは生体認証（指紋、Face ID） パスキーのキーペア – WebAuthnプロトコルが動作する仕組み パスキーのセキュリティを理解することは重要です。 ユーザーがアカウントにパスキーを登録すると、キーペアが作成されます。パスキーがデバイスバウンド型の場合、秘密鍵はデバイスに安全に保存され、公開鍵はEntra ID内のユーザーアカウントに配置されます。しかし、同期型パスキーの場合は、秘密鍵は暗号化され、同期パスキーをサポートするサービスに保存されます。これはWebAuthn（Web Authentication）オープンスタンダードの基本です。 ユーザーがパスキーを使用してM365リソースにログインしようとする Entraはチャレンジ（一度だけ使用される新しいランダムなナンス値）と、Relying Party ID（login.microsoftonline.com）を送信します。 ブラウザ/クライアントはそれを認証子に渡します。これは、WebAuthn APIを介して、デバイスのTPM/Secure Enclave、FIDO2キー、または認証アプリです。 ユーザー検証がローカルで行われます – ユーザーは生体認証またはPINを提供し、デバイス上の秘密鍵のロックを解除するか、電話からQRコードをスキャンして認証アプリで検証します。 ステップ4の検証が成功すると、デバイスはチャレンジに署名します。具体的には、認証子データとクライアントデータのハッシュ（ナンス、オリジン、Relying Party IDを含む）に署名します。 署名された応答がEntraに返送されます。これには以下が含まれます： 認証子ID – Entraがどの公開鍵を検索すべきかを知るため 認証子データ – ユーザーの存在と検証を確認するフラグ 署名 – 秘密鍵によって生成されたもの Entraは公開鍵を検索します – 認証子IDを使用して、ユーザーアカウント上の対応する公開鍵を見つけます。 Entraは署名を検証します。公開鍵に対して署名をチェックします。一致すれば、チャレンジは正しい秘密鍵で署名されたことになります。 トークンが発行され、Entraはユーザーが主張する人物であることを確認し、アクセストークンを発行します。 パスキーが別のデバイスにある場合 登録プロセス中、ユーザーは同じデバイスでパスキーを作成するか、Microsoft Authenticatorのようなアプリを使用して別のデバイスで作成するか、FIDO2キーを使用できます。同じデバイスの場合、通常はWindowsデバイスのTPMまたはMacデバイスのSecure Enclaveです。しかし、別のデバイスで行う場合、2種類のパスキーモードがあります。 プラグインパスキーUSB接続またはNFCでプロセスを完了します。デバイスが信号を発したときにユーザーはデバイスに触れる必要があり、検証プロセスが完了します。これは主に生体認証チャレンジであり、その後、チャレンジに署名するための詳細が送信されます。 認証アプリでのパスキーパスワードマネージャーまたはMicrosoft Authenticator、キーチェーン：Bluetooth経由でデバイスとラップトップの間に安全な暗号化トンネルを作成し、チャレンジフローを完了してWebAuthnを転送します。 パスキーの種類 デバイスバウンド型パスキー 以下の図が説明するように、異なるデバイスから同じユーザーアカウントに対してデバイスバウンド型パスキーを作成できます。ただし、この場合、個別のキーペアが作成され、同期なしで個別に機能します。ご覧のとおり、アカウントに単一のパスキーがある状況でデバイスを紛失した場合、新しいデバイス用に新しいパスキーを作成する必要があります。 デバイスバウンド型パスキーの使用具体的には、FIDO2キーです。標準アカウントで認証アプリと共にMFAを使用している典型的なシナリオです。あなたは組織のクラウドチームに所属しており、アプリケーション管理者ロールにアクセスを昇格できるRBACが有効なアカウントを持っています。認証強度（Authentication Strength）がFIDO2キーに設定されており、アクセスを昇格する際にMFAプロセスを完了する必要があります。これにより、標準の認証アプリがMFAチャレンジを完了することを許可せず、特定のFIDO2キーのみを高権限ロールアプリケーション管理者に許可することで、攻撃対象領域が削減されます。 同期型パスキーパスキープロバイダーのクラウドに保存されているパスキー。 Apple – Appleキーチェーン Android – パスワードマネージャー 1Password – 1Passwordボルト 重要！ – Appleデバイスで、パスキーを作成しようとしたときにAppleパスワードオプションが表示されない場合は、以下の設定が有効になっていることを確認してください。設定 > 一般 > 自動入力とパスワード 構成時間！ 役立つヒント：パスキーが組織で新しい場合は、パイロットユーザーのセットでこれをテストしてください。 手順：Entraでのパスキー構成 Entraにはパスキープロファイルがあり、デバイスバウンド型または同期型パスキーをすべてのユーザーまたはユーザーグループに設定できます。この変更の前は、デバイスバウンド型パスキーのみでした。デフォルトのプロファイルは次のようになります。 上記の構成では、アテステーション（証明）を強制するように設定されており、FIDO2キーのモデルまたはパスキープロバイダーが本物であり、ベンダーから適切な証明書を持っていることがわかります。また、AndroidおよびiOSデバイスのMicrosoft Authenticatorに制限しました。ここで、より多くのFIDO2キーモデルAAGUIDを追加できます。 パブリックプレビューにオプトインすると、次の画面が表示されます。ここでプロファイルを作成し、ユーザーグループを追加します。 同期型パスキーポリシーの作成 「構成」セクションに移動し、「プロファイルを追加」を選択します。アテステーションの強制と特定のAAGUIDのターゲット指定は、同期型パスキーであるため必要ありません。「保存」をクリックします。 「有効化してターゲット指定」タブに移動し、「ターゲットを追加」を選択して「すべてのユーザー」または「ターゲットを選択」を選択します。 デフォルトの「すべてのユーザー」行を削除して、必要なものを追加できます。完了したら、「保存」をクリックします。 エンドユーザーにパスキーを登録してもらう これは、エンドユーザー向けにパスキーを展開する予定がある場合に重要です。これは、必要な認証強度を持つユーザーに対してCAポリシーを有効にする前に発生する必要があります。そうすることで、ユーザーがサインインすると、M365リソースにログインする前にパスキープロセスを完了するように求められます。これにより、グループ内のユーザーは「マイアカウント」>「セキュリティ情報」>「サインイン方法の追加」からパスキーを作成するオプションを持つようになります。 ユーザーのパスキープロファイルがデバイスバウンド型の場合 1 – デバイスに依存しないように、認証アプリでパスキーを作成する必要がある場合 2 – デバイス上のパスキー。この場合、WindowsのTPM、またはデバイス外でパスキーを作成するオプションがあります。 ユーザーのパスキープロファイルが同期型の場合 2 – 「パスキー」オプションを選択し、「別のデバイスを使用してパスキーを作成」を選択すると、「パスキーを保存する場所を選択」画面が表示されます。 iPhone、iPad、またはAndroidデバイスを選択します。 モバイルデバイスからQRコードをスキャンし、「パスワード（Appleキーチェーン）」を選択します。 スキャンプロセスを完了すると、キーがキーチェーンに作成されます。ログインしているデバイス（例：ラップトップ）とモバイルデバイス間のBluetooth接続があることを確認してください。 キーチェーンに保存されたパスキーは、以下のようにセキュリティ情報に表示されます。 Entraでの認証強度の作成 認証強度の作成