既定で提供されている SMS/音声通話の廃止が案内されました。それに伴い 2026 年 9 月 1 日以降に順次パスキーと登録キャンペーンの自動有効化が順次展開されていく見込みです。
一方で、組織によってはこの自動有効化を延期したい要望もあり、この要望に対応するための 自動パスキー有効化を一時的にオプトアウトする設定が公開されました。
しかしながら、公開されたオプトアウト設定 (optOutSettings) 手順は、慣れた人でないと設定が難しいとのご意見をいただいております。そのため、Windows 11 上でオプトアウト設定作業を実施する際のステップ バイ ステップの手順を紹介します。
なお、上述の公開情報では、Microsoft Graph API の Web リクエストを手動で作成して設定する手順になっておりますが、今回紹介する手順では、より簡易に実施するために Microsoft Graph PowerShell モジュールを利用します(実施する設定内容は同じです)。
Microsoft Graph PowerShell モジュールを利用してオプトアウトする手順
PowerShell を管理者権限で起動します。
以下のコマンドを実行し、Microsoft Graph PowerShell モジュールをインストールします。(既にモジュールがインストールされている場合はスキップしてください)
Install-Module Microsoft.Graph -Force
以下のコマンドを実行し、対象テナントのグローバル管理者でサインインします。
([要求されているアクセス許可] という画面が表示された場合は、[承諾] を押下します)
(「このデバイスのすべてのアプリ、Web サイト、サービスにサインインしますか?」が表示された場合は「いいえ、このアプリのみです」を選択してください)
※ グローバル管理者を利用しない場合は、実行するユーザーに 2 つのロール (クラウド アプリケーション管理者と認証ポリシー管理者) が付与されていれば実行可能です。Set-ExecutionPolicy RemoteSigned -Scope Process
Connect-MgGraph -Scopes "Policy.ReadWrite.AuthenticationMethod"以下のコマンドを実行し、現在の optOutSettings の設定を確認します。オプトアウトを設定していない場合は、何も出力されません。
(Invoke-MgGraphRequest -Method GET -Uri "/beta/policies/authenticationmethodspolicy").optOutSettings
以下のコマンドを実行して optOutSettings を true に変更してオプトアウトします。
$params = @{
optOutSettings = @{
passkeyDynamicMigration = $true
}
}
Invoke-MgGraphRequest -Method PATCH -Uri "/beta/policies/authenticationmethodspolicy" -Body $params以下のコマンドを実行して optOutSettings の設定が変更されたことを確認します。
(Invoke-MgGraphRequest -Method GET -Uri "/beta/policies/authenticationmethodspolicy").optOutSettings
作業完了後、以下のコマンドでセッションを切断し作業を終了します。
Disconnect-MgGraph
上記コマンド実行時の PowerShell 画面イメージは以下の通りです。
免責事項
本サンプル コードは、あくまでも説明のためのサンプルとして提供されるものであり、製品の実運用環境で使用されることを前提に提供されるものではありません。
本サンプル コードおよびそれに関連するあらゆる情報は、「現状のまま」で提供されるものであり、商品性や特定の目的への適合性に関する黙示の保証も含め、明示・黙示を問わずいかなる保証も付されるものではありません。
マイクロソフトは、お客様に対し、本サンプル コードを使用および改変するための非排他的かつ無償の権利ならびに本サンプル コードをオブジェクト コードの形式で複製および頒布するための非排他的かつ無償の権利を許諾します。
但し、お客様は以下の 3 点に同意するものとします。
(1) 本サンプル コードが組み込まれたお客様のソフトウェア製品のマーケティングのためにマイクロソフトの会社名、ロゴまたは商標を用いないこと
(2) 本サンプル コードが組み込まれたお客様のソフトウェア製品に有効な著作権表示をすること
(3) 本サンプル コードの使用または頒布から生じるあらゆる損害（弁護士費用を含む）に関する請求または訴訟について、マイクロソフトおよびマイクロソフトの取引業者に対し補償し、損害を与えないこと
おわりに
本記事では自動パスキー有効化を一時的にオプトアウトする手順を具体的に紹介しました。製品動作に関する正式な見解や回答については、お客様環境などを十分に把握したうえでサポート部門より提供しますので、ぜひ弊社サポート サービスをご利用ください。
]]>この記事では、MFA の認証方法を SMS や音声通話からパスキーへ移行する際に、組織内のユーザーへのパスキー展開を効率的に進めるために役立つ登録キャンペーン を利用したセットアップ方法をご紹介します。
現在、多くの組織で MFA (多要素認証) が広く利用されていますが、その認証方法として SMS や音声通話を利用しているユーザーも数多く存在します。すでに公開されているとおり、Microsoft Entra ID が既定で提供している SMS や音声通話といった電話網ベースの認証方法は廃止に向けた移行が進められています。そのため、パスキーの導入や展開を検討されているお客様も多いのではないでしょうか。
登録キャンペーンを利用することで、組織内へのパスキー展開を効率的に進めることができます。前述の公開情報でも設定方法が紹介されていますが、テキスト中心の説明のため、具体的なイメージを持ちにくい場合があります。本記事では、各手順をスクリーン ショット付きでわかりやすく解説していますので、パスキー展開時の参考としてぜひご活用ください。
1. 想定シナリオ
- この記事では、すでに電話 (SMS) を MFA の認証方法として利用しているユーザーが、セキュリティ キーを利用したパスキーをセットアップする手順を紹介します。
- セキュリティ キーの機種によっては、利用を開始する前に、暗証番号 (PIN) の設定など、セキュリティ キー自体の初期設定が必要な場合があります。必要な事前準備については、ご利用のセキュリティ キーのベンダーにご確認ください。
- この記事では、事前設定が完了した YubiKey 5Ci を使用して手順を作成しています。
- また、この記事の手順では Microsoft Edge を使用しています。他のブラウザーを利用する場合、一部の画面やポップアップの表示が異なることがあります。
2. 事前準備
パスキーを利用するには、認証方法ポリシーでパスキー (FIDO2) が有効化されており、対象ユーザーを含むグループがターゲットとして設定されている必要があります。
管理者にて [Microsoft Entra 管理センター (entra.microsoft.com)] > [認証方法] > ポリシー > [パスキー(FIDO2)] で有効化し、対象のユーザーを含むグループがターゲットに追加されていることを確認してください (下図のようにグループではなくすべてのユーザーを指定することもできます)。
なお、[パスキー (FIDO2)] の [構成] タブにある [セルフサービス設定を許可] は、既定で有効に設定されています。意図的に無効化している場合は、本手順を実施する前に有効化してください (チェックが入っている場合は有効です)。
3. 登録キャンペーンの有効化
3-1. [Microsoft Entra 管理センター (entra.microsoft.com)] > [認証方法] > 登録キャンペーン にアクセスします。
3-2. 次のように設定し [保存] します。
| 設定項目 | 設定値 |
|---|---|
| 状態 | 有効 |
| 認証方法 | パスキー (FIDO2) |
| 再通知できる日数 | 任意に設定します。登録キャンペーンによる登録画面が表示される間隔を指定します。 |
| 再通知の回数が制限されています | 任意に設定します。有効になっている場合は、ユーザーは登録キャンペーンによる登録画面を 3 回スキップできますが、4 回目以降は登録が強制されます。 |
| 含む | 登録キャンペーンの対象にするユーザーのグループを指定します。 |
| 除外 | 登録キャンペーンから除外したいユーザーを明示的に指定します。 |
Note
登録キャンペーンを有効化後、実際に登録キャンペーンによって認証方法の登録が要求されるようになるまで少し時間がかかる場合があります (検証環境では 1 時間程度かかった事例があります)。
4. 登録キャンペーンでパスキーの登録 (セットアップ) を完了させるまでの流れ
登録キャンペーンは MFA が完了したタイミングで動作します。この動作をスクリーンショット付きで紹介します。
4-1. MFA を完了させます。
4-2. 「アカウントをセキュリティ保護しましょう」という認証方法の登録を誘導する画面が表示されますので [次へ] 進みます。
ヒント
なお、この「アカウントをセキュリティ保護しましょう」の画面で [今はしない] を選択すると認証方法の登録をスキップすることができます。
4-3. 以下のパスキーの登録が始まる画面が表示されます。セキュリティ キーが作業端末に接続されていることを確認してから [次へ] 進みます。
4-4. パスキーの登録が開始されます。自動で次の画面に遷移します。
4-5. パスキーの保存先を指定します。既定では下図のように Windows に保存する選択肢になっている場合があります。この場合は [変更] を選択します。
4-6. パスキーの保存先選択画面が表示されるのでセキュリティ キーを選択します。
4-7. セキュリティ キーのモデルによっては事前に設定した暗証番号 (PIN) の入力が要求されるので入力してから [OK] を選択します。
4-8. セキュリティ キーのモデルによってはキーへの物理的な接触が要求されますので、キーに触れます。
4-9. 後でセキュリティ情報ページで識別できるよう、パスキーに任意の名前を付けて [次へ] を選択します。
4-10. [完了] を選択してパスキーの登録 (セットアップ) を終了します。
5. おわりに
以上、登録キャンペーンを利用して認証方法にパスキー (セキュリティ キー) をセットアップする手順を紹介しました。
パスキーはフィッシング耐性を備えた認証方法であり、今後、認証方法の中心となることが期待されています。
SMS や音声通話を利用した認証方法の廃止に備え、本記事を参考に登録キャンペーンを活用したパスキー展開をご検討ください。
製品動作に関する正式な見解や回答については、お客様環境などを十分に把握したうえでサポート部門より提供しますので、ぜひ弊社サポート サービスをご利用ください。
この記事では、MFA の認証方法を SMS や音声通話からパスキーへ移行する際に、組織内のユーザーへのパスキー展開を効率的に進めるために役立つ
Microsoft Entra ID の認証方法にパスキーを利用する方が増え始めていると思います。パスキーは従来の電話網を利用した認証方法 (SMS や音声通話) などよりもセキュリティ レベルの高い認証方法になるため、多くのお客様にご利用いただきたい認証方法です。しかしながら、ユーザーにパスキーを展開するにあたり、セットアップ手順に不安があるとの声をいただいています。
このため、この記事では、セキュリティ キーを利用したパスキーをセットアップする手順を紹介します。ステップごとにスクリーン ショットを使ったセットアップ手順になっていますので、パスキー展開にご活用いただければと思います。
想定シナリオ
この記事では、MFA に利用できる認証方法が何もセットアップされていないユーザーにおいて、PC でセキュリティ キーを利用したパスキーをセットアップするシナリオを想定して記載いたします(このために一時アクセス パスを利用する手順になっています)。
もし MFA に利用できる認証方法 (たとえば Microsoft Authenticator アプリのプッシュ通知) をすでにセットアップ済みのユーザーの場合は、後述の「1. サインインしてセキュリティ情報ページへアクセス」の手順をスキップして「2. セットアップ手順」から実施してください。
なお、セキュリティ キーのモデルによっては、利用前にそのセキュリティ キー自体を利用するための事前作業 (暗証番号 (PIN) の設定など) が必要な場合があります。必要な事前準備などについてはご利用のセキュリティ キーのベンダーへご確認ください。この記事はセキュリティ キーに事前作業済みの YubiKey 5Ci を利用して作成しています。
なお、本手順内ではブラウザーに Microsoft Edge を利用して作成しています。他のブラウザーを利用した場合は一部ポップアップなどの表示が異なる可能性があります。
1. サインインしてセキュリティ情報ページへアクセス
1-1. 管理者にて対象ユーザーに 一時アクセス パスを発行 して提供します。
1-2. 対象ユーザーにて PC で https://aka.ms/mysecurityinfo にアクセスし、一時アクセス パスを使用してサインインします。
2. セットアップ手順
2-1. セキュリティ キーを PC に接続しておきます。セキュリティ キーのモデルによっては利用前に事前準備が必要な場合があります。必要な事前準備などについてはご利用のセキュリティ キーのベンダーへご確認ください。
2-2. [サインイン方法の追加] を選択します。
2-3. [パスキー] を選択します。
2-4. [次へ] を選択します。
2-5. ブラウザーに Microsoft Edge を利用している場合、以下のように Microsoft パスワード マネージャーにパスキーを保存するかの確認ポップアップが表示される可能性があります。[別の方法で保存する] を選択します。
2-6. [Windows Hello または外部のセキュリティ キー] を選択します。
2-7. 赤枠に表示されている文言を確認します。下図のように [これはセキュリティ キー に保存されます] と表示されている場合は [これはセキュリティ キー に保存されます] をクリックします。
下図のように [これはセキュリティ キー に保存されます] 以外 が表示されている場合は [変更] を選択し、次の画面で [セキュリティ キー] を選択します。
2-8. セキュリティ キーの暗証番号 (PIN) の入力を求められた場合は入力して [OK] を選択します。
2-9. セキュリティ キーへの接触を求められた場合はタッチします。
2-10. 登録したパスキー (セキュリティ キー) をセキュリティ情報のページ上で識別できるように任意の名前を付けて [次へ] を選択します。
2-11. 「パスキーが作成されました」と表示されたら [完了] を選択します。
2-12. セキュリティ情報のページ上でもパスキーが追加されたことを確認できればセットアップ完了です。
3. セットアップしたセキュリティ キーのパスキーを利用したサインイン手順 (パスワードレス)
3-1. パスキーをセットアップしたセキュリティ キーを PC に接続しておきます。
3-2. サインインが発生したら Entra アカウントの UPN を入力して [次へ] を選択します。
3-3. パスワードの入力画面が表示された場合はパスワードを入力せずに [代わりに顔、指紋、PIN、またはセキュリティキーを使用する] を選択します。
3-4. パスキーの選択画面が表示されるので [セキュリティ キー] を選択します。
3-5. セキュリティ キーの暗証番号 (PIN) の入力を求められた場合は入力して [OK] を選択します。
3-6. セキュリティ キーへの接触を求められた場合はタッチします。
3-7. サインインが完了します。
おわりに
以上、認証方法にパスキー (セキュリティ キーを利用) をセットアップする手順を紹介しました。パスキーはフィッシング攻撃に耐性があり、今後 MFA の認証方法の中心となると想定される認証方法です。これまで中心となっていた Microsoft Authenticator アプリのプッシュ通知はスマートフォンを用意する必要があったため、特に BYOD を利用しない組織ではコスト面で負担が大きいものでした。一方でセキュリティ キーはスマートフォンよりもコスト少なく導入できるため、様々な組織で取り入れやすい仕組みと考えられています。本記事を活用して多くの方にパスキーをご利用いただき組織のセキュリティ向上の一役を担えれば嬉しく思います。
製品動作に関する正式な見解や回答については、お客様環境などを十分に把握したうえでサポート部門より提供しますので、ぜひ弊社サポート サービスをご利用ください。
Microsoft Entra ID の認証方法にパスキーを利用する方が増え始めていると思います。パスキーは従来の電話網を利用した認証方法 (SMS や音声通話) などよりもセキュリティ]]>
