企業が大規模に AI を導入できるようにするには、ユーザーがセキュリティで保護された認証を使用し、フィッシング対応の認証方法から パスキーなどのフィッシングに強い認証方法に移行することが不可欠です。 そのため、Microsoft Entra IDはパスキーを既定のサインイン エクスペリエンスにしているため、すべての組織が既定でフィッシングに強いセキュリティを取得します。 SMS と音声はセキュリティで保護された認証方法として配置されなくなり、Entra IDではネイティブに提供されなくなります。
2026 年 9 月 1 日から、パスキーが既定の認証エクスペリエンスになり、SMS または音声が有効になっているユーザーに対して自動的に有効になります。 2027 年 2 月 1 日以降、Microsoft が提供する SMS および音声の通信配信は提供終了となります。引き続きこれらの方法を必要とするお客様は、Microsoft Security Store を通じてカスタマー マネージド プロバイダーを設定する必要があります。 カスタマー マネージド 通信の詳細については、2026 年 9 月 18 日に公開予定です。
既にパスキー、Windows Hello for Business、またはその他のフィッシング詐欺に強い方法でサインインしているユーザーは、これらの方法を引き続き使用できます。 ただし、SMS または音声を有効にしたままのユーザーには、対象となるデバイスにパスキーを登録するためのプロンプトが表示される場合があります。 引き続き SMS または音声を使用しているテナントのユーザーを確認するには、「 テナントでアクティブな SMS または音声ユーザーを検索する」を参照してください。
退役のタイムライン
| Date | マイルストーン | 行うべきこと |
|---|---|---|
| 2026 年 9 月 1 日 | ユーザーが SMS または音声で有効になっているテナントでは、それらのユーザーは自動有効になり、MFA サインイン時に Passkey 登録用にナッジされます。 | 変更が発生した場合は、エンド ユーザーに通知します。 パスキーのデプロイ ガイドを使用して、パスキーを使用するための環境を準備します。 |
| 2027 年 2 月 1 日 | Microsoft提供された SMS と音声は、Microsoft Entra IDで完全に廃止されました | すべてのユーザーがこの日付より前にフィッシングに強い方法 (パスキー、Windows Hello、または FIDO2) を使用していることを確認してください。または、ユーザーがサインインの妨害を経験する可能性があります。 |
| 2027 年 2 月 1 日以降 |
使用可能な MFA 方法が SMS または音声のみのユーザーは、サインイン時にパスキーを登録してアカウントへのアクセスを続行する必要があります。 このプロンプトは ブロックされます。 ユーザーは、アカウント へのサインインを続行する前に、パスキーを登録する 必要があります。 この 2 月 1 日の動作からのオプトアウトはありません。 すべてのテナントに適用されます。 |
ユーザーをフィッシングに強い方法に移行するか、通信プロバイダーを選択して SMS または音声を引き続き使用します。 |
パスキーへの移行を準備する
1. SMS または音声が有効なユーザーを検索する
Microsoftでは、移行を計画する前に、SMS または音声が有効になっているユーザーを特定することをお勧めします。 各グループを検索するには、次の手順を使用します。
SMS または音声が有効になっているユーザーを検索するには、この PowerShell スクリプトを実行します。 グローバル閲覧者、認証ポリシー管理者、またはセキュリティ閲覧者ロールのいずれかが有効になっていることを確認します。
2. ユーザーをパスキーに移動する
パスキーは、Microsoft Entra IDの既定のフィッシング耐性資格情報です。 デバイスまたは同期された資格情報ストアに関連付けられ、共有シークレットの代わりに暗号化キーを使用し、フィッシング、SIM スワップ、リプレイ攻撃に対して耐性があります。
Microsoft Entra IDでは、次の 2 種類のパスキーがサポートされています。
- 同期されたパスキー — プラットフォーム資格情報マネージャー (iCloud キーチェーン、Google パスワード マネージャーなど) に保存され、ユーザーのデバイス間で同期されるパスキー。 プラットフォーム資格情報マネージャーを既に使用しているユーザーに最適です。
- デバイス バインド パスキー — パスキーは、Microsoft Authenticatorの Passkey、Windows の Entra Passkey、FIDO2 ハードウェア セキュリティ キーなど、ユーザーのデバイスに作成されて格納されます。
テナントのパスキーを有効にしてロールアウトを計画するには、「Microsoft Entra IDでのパスキーのデプロイの計画」および「組織のパスキーの有効化 (FIDO2)」を参照してください。
Entra IDがサポートするパスワードレス認証方法の完全な一覧については、認証の概要Microsoft参照してください。
Important
2026 年 9 月 1 日、Entra 認証方法ポリシー (AMP) または従来の MFA 設定で SMS または音声が有効になっているユーザーは、AMP のパスキーに対して自動有効になります。 対象ユーザーは、すべての種類のパスキーが許可されるパスキー プロファイルに追加されます。 登録キャンペーンの設定は、パスキーを対象とした Microsoft 管理状態に設定され、これらのユーザーは自動的に対象に含まれます。
これらのユーザーが次にサインインして MFA を完了すると、登録キャンペーンによってパスキーが登録されます。 既定では、ユーザーはナッジプロンプトを無制限にスヌーズできます。 これを行わない場合は、9 月 1 日より前に AMP の SMS または音声からユーザーを移動します。
登録キャンペーンで積極的に導入を推進する
パスキー登録キャンペーンは、2026 年 9 月 1 日に SMS および音声対応ユーザーに対して自動的に有効になる前に有効にすることができます。 登録キャンペーンでは、ユーザーが次回サインインして MFA を完了する際にパスキーを設定するように求められます。 ヘルプ デスクの負荷を追加することなく、ユーザーを SMS と音声から大規模に移動する最も効果的な方法です。
登録キャンペーンを構成する前に、認証方法として Passkey (FIDO2) が有効になっており、SMS/Voice ユーザーがパスキー対応の認証方法ポリシーに含まれていることを確認します。
パスキーの登録キャンペーンを設定するには:
- 認証ポリシー管理者として、Microsoft Entra 管理センターにサインインします。
- Entra ID >認証方法>登録キャンペーン に移動します。
- State を Microsoft Managed に設定し、手順 1 で作成した SMS および音声のユーザーのセキュリティ グループを対象にします。
3. 運用上のニーズに合わせてセキュリティ ストア内の通信プロバイダーを評価する
Microsoftでは、可能な限り、すべてのユーザーのプライマリ移行パスとしてパスキーを使用することをお勧めします。 規制対象の業界で運用している場合、または通信チャネルの運用上のニーズがある場合 (たとえば、帯域外 SMS を必要とする特定のコンプライアンス体制や、他の方法が機能しないシナリオなど) は、Microsoft Security ストアで利用できる通信プロバイダーをそれらのユーザー セグメントに使用できます。
- 通信チャネルの真の規制または運用上のニーズがある特定のユーザー セグメントを特定します。 要件 (どの規制、どのシナリオ) を文書化します。
- 2026 年 9 月 18 日以降、Microsoft Security ストアで入手できる通信プロバイダーと関連情報を確認し、地域とコンプライアンスの要件に最も適したオプションを評価します。
- 2026 年 10 月 30 日以降、SMS または音声を引き続き使用する必要があるお客様は、Microsoft Security ストアから通信プロバイダーを選択して構成できます。
- 広範なロールアウトの前に、マーケットプレース フローを通じて運送業者契約を立ち上げ、パイロット グループでテストします。
- テナント内の他のすべてのユーザー セグメントに対して、既定では passkeys が使用されます。
4. 変更をユーザーに伝える
テナントでパスキーを有効にしている場合は、登録を開始する前に、何がいつ変更されるのか、またユーザーが何を行う必要があるのかを、ユーザーに明確に知らせてください。 調整された通信は、スムーズなパスキーロールアウトの唯一の最大の予測因子です。
Microsoftでは、提供終了のタイムラインに合わせた段階的な通信計画が推奨されます。
- 認識 — SMS と音声が廃止されることを発表し、その理由を説明し、移行先の方法をユーザーに伝えます。
- アクション — ユーザーに、デバイスの種類 (Windows Hello、iOS、Android) の詳細なガイダンスを使用して、パスキーを登録するように指示します。
- リマインダー - フィッシングに強い方法をまだ登録していないユーザーに、実行する必要があるアクションを思い出させます。
電子メール、Teams、および従業員のコミュニケーション ポータルには、 エンド ユーザー のコミュニケーション テンプレートを使用します。 Microsoftでは、手順 1 で作成した SMS ユーザーと音声ユーザーのセキュリティ グループにメッセージングのスコープを設定し、適切なユーザーが適切なタイミングでユーザーから聞き取るようにすることをお勧めします。
5. 退職後
2027 年 2 月 1 日より、Microsoft提供の SMS と音声配信は、Microsoft Entra IDで廃止されます。
テナントで SMS または音声が有効なユーザーがまだ存在し、Microsoft Security ストアを介してカスタマー マネージド通信プロバイダーを構成していない場合、それらのユーザーは SMS または音声を使用して MFA を完了し、通常どおりサインインできなくなります。
この日以降、使用可能な MFA メソッドが SMS または音声のみのユーザーは、サインイン時にパスキーを登録してアカウントへのアクセスを続行する必要があります。 このプロンプトはブロックされます。 ユーザーは、アカウントへのサインインを続行する前に、パスキーを登録する必要があります。
この 2 月 1 日の動作からのオプトアウトはありません。 すべてのテナントに適用されます。
サインインの中断を回避するには、ユーザーがパスキーを登録するか、2027 年 2 月 1 日より前に別のフィッシングに対する耐性のある認証方法に移動してください。 SMS または音声を引き続き使用する必要がある有効なビジネス、規制、または運用上のニーズがある場合は、この日付より前にカスタマー マネージド通信プロバイダーを構成します。
自動パスキー有効化を一時的にオプトアウトする
一時的なオプトアウトは、2026 年 9 月 1 日から 2027 年 2 月 1 日までの変更で利用できます。 これにより、カスタマー マネージド通信プロバイダーの構成や他の認証方法への移行などの移行アクティビティを完了する間、パスキーと登録キャンペーンの有効化を遅延できます。
オプトアウトするには、Microsoft Graph Policy.ReadWrite.AuthenticationMethodアクセス許可が必要です。 Microsoft Graphを使用して認証方法ポリシーを更新し、passkeyDynamicMigration プロパティを true に設定します。
Request
PATCH https://graph.microsoft.com/beta/policies/authenticationmethodspolicy
Content-Type: application/json
{
"optOutSettings": {
"passkeyDynamicMigration": true
}
}
この設定を適用すると、オプトアウト期間中にテナントが自動パスキー有効化と登録キャンペーンのロールアウトから除外されます。 2027 年 2 月 1 日から、この設定に関係なく、標準のパスキーの移行と適用のタイムラインが適用されます。
テナントで 2027 年 2 月 1 日に Microsoft マネージド SMS または音声のユーザーがまだ有効になっていて、セキュリティ ストアを通じてカスタマー マネージド通信プロバイダーを構成していない場合、それらのユーザーは SMS または音声を使用して MFA 要件を満たし、サインインを続行できなくなります。
2027 年 2 月 1 日の施行については、オプトアウトできません。 この要件は、すべてのテナントに適用されます。
よく寄せられる質問
SMS と音声の提供終了、通信プロバイダー、オプトアウト オプション、パスキーの移行に関する一般的な質問に対する回答については、 SMS と音声の提供終了に関してよく寄せられる質問を参照してください。