登録キャンペーンを実行してパスキーまたはMicrosoft Authenticatorを設定する

サインイン時に、ユーザーにパスキーまたは Microsoft Authenticator を設定するよう促すことができます。ユーザーは通常のサインインを実行し、通常どおり多要素認証 (MFA) を実行した後、対象となる認証方法を設定するように求められます。ユーザーまたはグループを含めたり除外したりして、誰にナッジを送るかを制御したり、安全性の低い認証方法からパスキーまたは Authenticator への移行を促す対象を絞ったキャンペーンを作成したりできます。

登録キャンペーンでは、次の 2 つの認証方法がサポートされています。

Passkey (FIDO2): ユーザーがパスキーを登録するようにナッジします。これには、同期されたパスキーとデバイスバインドパスキーの両方が含まれます。
Authenticator: プッシュ通知を利用するために、ユーザーに Authenticator のダウンロードと設定を促します。

登録キャンペーンでは、一度に 1 つの認証方法のみを対象にすることができます。 Authenticator と passkey の両方のキャンペーンを同じテナントで同時に実行することはできません。

また、ユーザーがナッジを延期 ("一時停止") できる日数を定義することもできます。ユーザーが [ 今すぐスキップ ] をタップしてセットアップを延期した場合、再通知期間が経過した後、次の MFA 試行で再びナッジされます。再通知の回数は無制限、または 3 回まで (これを過ぎると登録が必要になります) のどちらかに決めることができます。

ユーザーが通常のサインインを行う際に、セキュリティ情報の登録を管理するMicrosoft Entra 条件付きアクセスポリシーが適用されてから、ユーザーが認証方法を設定するように微調整されます。たとえば、条件付きアクセスポリシーで、セキュリティ情報の更新は内部ネットワークでのみ実行できる必要がある場合です。ユーザーが内部ネットワーク上にいない限り、ユーザーにメッセージは表示されません。

前提条件

必要に応じて、登録キャンペーンを構成する前に、各認証方法を登録したユーザーの数を決定できます。認証方法のアクティビティレポートを参照してください。
多要素認証を有効にする必要がありますが、ライセンス要件はありません。
次の 2 つの認証キャンペーンから選択できます。
- Authenticator キャンペーン: ユーザーが自分のアカウントにプッシュ通知用に Authenticator を設定することはできません。認証方法ポリシーで Authenticator のユーザーを有効にします。 認証モード は[ 任意] または[ プッシュ]に設定する必要があります。モードが パスワードレスに設定されている場合、ユーザーはナッジの対象になりません。詳細については、「 Authenticator でパスワードなしのサインインを有効にする」を参照してください。
- パスキーキャンペーン: 認証方法ポリシーでパスキー (FIDO2) 認証方法を有効にする必要があります。さらに、パスキー (FIDO2) メソッドの構成で[ セルフサービスセットアップを許可する ]トグルを有効にする必要があります。詳細については、「パスキーを有効にする」を参照してください。

ユーザーエクスペリエンス

Authenticator キャンペーン

Authenticator 登録キャンペーンの対象になると、次のフローが発生します。

MFA を完了する必要があります。
Authenticator プッシュ通知が有効になっていて、設定されていない場合は、サインインエクスペリエンスを向上させるために Authenticator を設定するように求められます。

パスワードレスパスキー、セルフサービスパスワードリセット、セキュリティの既定値など、その他のセキュリティ機能もセットアップを求められる場合があります。
[ 次へ ] を選択し、Authenticator のセットアップをステップ実行します。
Authenticator を設定しない場合は、[ 今すぐスキップ ] を選択して、プロンプトを最大 14 日間再通知できます。これは管理者が設定できます。無料サブスクリプションと試用版サブスクリプションを持つユーザーは、プロンプトを最大 3 回再通知できます。

パスキーキャンペーン

パスキー登録キャンペーンの対象になると、次のフローが発生します。

MFA を完了する必要があります。
アカウントに対してパスキー登録が有効になっていて、パスキーが登録されていない場合は、パスキーを設定するように求められます。

注

パスキーのナッジ評価では、現在使用しているデバイスとブラウザーの組み合わせに対応するローカルのパスキーがあるかどうかを判定します。このエクスペリエンスについてすでにローカルパスキーがある場合、通知は表示されません。ナッジの評価は、ユーザーアカウントではなく、使用する各デバイスとブラウザーの組み合わせに基づいています。各プラットフォームでナッジを満たすパスキーの種類の詳細については、「プラットフォーム別の Passkey ナッジの評価」セクションを参照してください。
パスキーを設定したくない場合は、今はスキップ を選択して、メッセージを後で再表示できます。
パスキー登録中にエラーが発生した場合は、スキップオプションを含むエラー画面が表示されます。エラー画面からのスキップは、制限されたスキップ数にはカウントされないため、登録エラーによってサインインがブロックされることはありません。

Microsoft Entra 管理センターを使用して登録キャンペーンポリシーを有効にする

Microsoft Entra 管理センターで登録キャンペーンを有効にするには、次の手順に従います。

少なくとも認証ポリシー管理者として Microsoft Entra 管理センターにサインインします。
Entra ID>認証方法>登録キャンペーン に移動し、編集を選択します。
状態の場合:
- [ 有効] を 選択して、すべてのユーザーの登録キャンペーンを有効にします。状態が [有効] に設定されている場合は、ターゲット認証方法、再通知期間、制限された数のスヌーズ、およびインクルード/除外ターゲットを構成できます。
- Microsoft managed を選択して、Microsoft推奨される既定値で登録キャンペーンを有効にします。 Microsoft managed を選択すると、ターゲット認証方法、再通知期間、および制限された数のスヌーズが自動的に設定され、構成できません。 include/exclude ターゲットは引き続き構成できます。詳細については、「 Microsoft Entra ID での認証方法の保護」を参照してください。
注

状態が Microsoft managed に設定されている場合、Microsoftはテナントのベストプラクティスに基づいて最適なキャンペーン設定を決定します。次の変更は、テナントに段階的にロールアウトされます。
- ターゲット認証方法が Authenticator から passkeys (FIDO2) に変更されます。
- 再通知できる日数は 1 日に変更されます。この設定は構成できなくなりました。
- スヌーズ回数の制限が無効（スヌーズ回数が無制限）に変更されます。この設定は構成できなくなりました。
- 音声通話またはテキストメッセージユーザーからすべての MFA 対応ユーザーへのユーザーターゲットの変更。
テナントがパスキー (FIDO2) ポリシーの特定の AAGUID を対象としている場合、ターゲット認証方法は、Microsoftマネージドモードのパスキーに更新されません。引き続き [有効] に切り替えて、パスキーのターゲット設定を手動で構成できます。変更が有効になった後、対象ユーザーは MFA が完了した後、サインイン中にパスキー登録ナッジを受け取ります。

パスキーを有効にしたいが、登録キャンペーンでパスキーをターゲットにしたくない場合は、状態を Enabled と target Authenticator に切り替えることができます。状態を [無効] に設定することもできます。マネージド値Microsoft設定方法の詳細については、「Microsoftマネージド値」を参照してください。
登録キャンペーンの状態が [有効] に設定されている場合は、 制限された数のスヌーズを使用してユーザーのエクスペリエンスを構成できます。
- [制限された数のスヌーズ] が [有効] に設定されている場合、ユーザーは割り込みプロンプトを 3 回スキップでき、その後、対象の認証方法の登録が強制されます。
- スヌーズ回数の制限 が無効に設定されている場合、ユーザーは回数無制限でスヌーズでき、登録を避けることができます。
注

スヌーズ回数の制限 が有効に設定されている場合、スヌーズ回数はユーザーごとに追跡され、キャンペーンの再起動や設定変更後も維持されます（ターゲティング方法の更新を含む）。この設定により、一貫性のある予測可能な登録エクスペリエンスが保証されます。

スヌーズを許可する日数は、 連続する 2 つの通知プロンプト間の期間を設定します。たとえば、期間が 3 日に設定されている場合、登録をスキップしたユーザーには、3 日後まで再びメッセージが表示されません。
[認証方法] で、ターゲットとする方法を選択します。
- Microsoft Authenticator: ユーザーに Authenticator の設定を促します。
- パスキー: ユーザーがパスキーを登録するようにナッジします (同期されたパスキーとデバイスバインドパスキーの両方が含まれます)。
登録キャンペーンから除外するユーザーまたはグループを選択し、[ 保存] を選択します。

Graph エクスプローラーを使用して登録キャンペーンポリシーを有効にする

Microsoft Entra 管理センターを使用するだけでなく、Graph エクスプローラーを使用して登録キャンペーンポリシーを有効にすることもできます。認証方法ポリシー Graph API を使用する必要があります。少なくとも認証ポリシー管理者ロールが割り当てられているユーザーは、ポリシーを更新できます。

Graph Explorer を使用してポリシーを構成するには、次の手順を実行します。

Graph Explorer にサインインし、 Policy.Read.All および Policy.ReadWrite.AuthenticationMethod アクセス許可に同意してアクセス許可ウィンドウを開きます。

認証方法ポリシーを取得します。

GET https://graph.microsoft.com/v1.0/policies/authenticationmethodspolicy

ポリシーの registrationEnforcement と authenticationMethodsRegistrationCampaign セクションを更新して、ユーザーまたはグループでナッジを有効にします。

ポリシーを更新するには、更新された PATCH セクションのみを使用して、認証方法ポリシーに対してregistrationEnforcementを実行します。
```
PATCH https://graph.microsoft.com/v1.0/policies/authenticationmethodspolicy
```

次の表に、 authenticationMethodsRegistrationCampaign プロパティの一覧を示します。

名前	指定できる値	説明
`snoozeDurationInDays`	範囲: 0 から 14	ユーザーが再度注意喚起されるまでの日数を定義します。値が `0` の場合、ユーザーは MFA の試行ごとに再確認を求められます。既定値: 1 日
`enforceRegistrationAfterAllowedSnoozes`	`true` `false`	ユーザーが3回スヌーズした後にセットアップを行う必要があるかどうかを指定します。 `true`場合、ユーザーは登録する必要があります。 `false`場合、ユーザーは無期限にスヌーズできます。既定値: `true`
`state`	`enabled` `disabled` `default`	この機能を有効または無効にすることができます。既定値は、構成が明示的に設定されていない場合に使用され、この設定にMicrosoft Entra ID既定値が使用されます。必要に応じて、状態を `enabled` (すべてのユーザー) または `disabled` に変更します。
`excludeTargets`	該当しません	機能の対象としないさまざまなユーザーとグループを除外できます。ユーザーが除外されたグループと含まれるグループに含まれている場合、そのユーザーは機能から除外されます。
`includeTargets`	該当しません	機能の対象にするさまざまなユーザーとグループを含めることができます。

次の表に、 includeTargets プロパティの一覧を示します。

名前	指定できる値	説明
`targetType`	`user` `group`	対象となるエンティティの種類。
`ID`	グローバル一意識別子 (GUID)	対象となるユーザーまたはグループの ID。
`targetedAuthenticationMethod`	`microsoftAuthenticator` `fido2`	ユーザーに登録を促される認証方法。 `microsoftAuthenticator`を使用してユーザーを微調整して Authenticator を設定するか、`fido2`を使用してユーザーを微調整してパスキーを登録します。

次の表に、 excludeTargets プロパティの一覧を示します。

名前	指定できる値	説明
`targetType`	`user` `group`	対象となるエンティティの種類。
`ID`	文字列	対象となるユーザーまたはグループの ID。

例

使い始めるには、次のサンプル JSON ボディを使用できます。

すべてのユーザーを含め、Authenticator を対象とします。

テナント内のすべてのユーザーを対象にして Authenticator の設定を促す場合は、次の JSON の例を、ユーザーとグループの該当するグローバル一意識別子 (GUID) で更新してください。次に、Graph エクスプローラーにそれを貼り付けて、エンドポイントで PATCH を実行します。

{
"registrationEnforcement": {
        "authenticationMethodsRegistrationCampaign": {
            "snoozeDurationInDays": 1,
            "enforceRegistrationAfterAllowedSnoozes": true,
            "state": "enabled",
            "excludeTargets": [],
            "includeTargets": [
                {
                    "id": "all_users",
                    "targetType": "group",
                    "targetedAuthenticationMethod": "microsoftAuthenticator"
                }
            ]
        }
    }
}

すべてのユーザーを含め、パスキーを対象とします。

テナント内のすべてのユーザーを対象にし、パスキーを登録するよう促したい場合は、以下の JSON サンプルを更新してください。次に、Graph エクスプローラーにそれを貼り付けて、エンドポイントで PATCH を実行します。

{
"registrationEnforcement": {
        "authenticationMethodsRegistrationCampaign": {
            "snoozeDurationInDays": 1,
            "enforceRegistrationAfterAllowedSnoozes": true,
            "state": "enabled",
            "excludeTargets": [],
            "includeTargets": [
                {
                    "id": "all_users",
                    "targetType": "group",
                    "targetedAuthenticationMethod": "fido2"
                }
            ]
        }
    }
}

特定のユーザーまたはユーザーのグループを含めます。

テナントの特定のユーザーまたはグループを含める場合は、ユーザーとグループの関連する GUID を使用して次の JSON の例を更新します。次に、Graph エクスプローラーにその JSON を貼り付けて、エンドポイントで PATCH を実行します。

{
"registrationEnforcement": {
      "authenticationMethodsRegistrationCampaign": {
          "snoozeDurationInDays": 1,
          "enforceRegistrationAfterAllowedSnoozes": true,
          "state": "enabled",
          "excludeTargets": [],
          "includeTargets": [
              {
                  "id": "*********PLEASE ENTER GUID***********",
                  "targetType": "group",
                  "targetedAuthenticationMethod": "microsoftAuthenticator"
              },
              {
                  "id": "*********PLEASE ENTER GUID***********",
                  "targetType": "user",
                  "targetedAuthenticationMethod": "microsoftAuthenticator"
              }
          ]
      }
  }
}

特定のユーザーまたはグループを含めたり除外したりします。

テナントに特定のユーザーまたはグループを含めたり除外したりする場合は、次の JSON 例をユーザーとグループの関連 GUID で更新します。次に、Graph エクスプローラーにそれを貼り付けて、エンドポイントで PATCH を実行します。

{
"registrationEnforcement": {
        "authenticationMethodsRegistrationCampaign": {
            "snoozeDurationInDays": 1,
            "enforceRegistrationAfterAllowedSnoozes": true,
            "state": "enabled",
            "excludeTargets": [
                {
                    "id": "*********PLEASE ENTER GUID***********",
                    "targetType": "group"
                },
              {
                    "id": "*********PLEASE ENTER GUID***********",
                    "targetType": "user"
                }
            ],
            "includeTargets": [
                {
                    "id": "*********PLEASE ENTER GUID***********",
                    "targetType": "group",
                    "targetedAuthenticationMethod": "microsoftAuthenticator"
                },
                {
                    "id": "*********PLEASE ENTER GUID***********",
                    "targetType": "user",
                    "targetedAuthenticationMethod": "microsoftAuthenticator"
                }
            ]
        }
    }
}

JSON 要求本文のユーザー GUID を識別する

少なくとも認証ポリシー管理者として Microsoft Entra 管理センターにサインインします。
[ 管理 ] ウィンドウで、[ ユーザー] を選択します。
[ ユーザー ] ページで、対象とする特定のユーザーを特定します。
特定のユーザーを選択すると、そのユーザーのオブジェクト ID (ユーザーの GUID) が表示されます。

JSON 要求本文のグループ GUID を識別する

少なくとも認証ポリシー管理者として Microsoft Entra 管理センターにサインインします。
[ 管理 ] ウィンドウで、[ グループ] を選択します。
[ グループ ] ページで、対象とする特定のグループを特定します。
グループを選択してオブジェクト ID を取得します。

制限事項

Microsoft 管理モードでは、パスキーの調整はユーザーごとに評価されます。ユーザーがサインインし、登録キャンペーンの対象となっている場合、パスキープロファイルに制限がないか確認されます。ユーザーのパスキープロファイルに次のいずれかの制限がある場合、MFA が完了してもナッジは表示されません。

同期済みのみ
デバイスに限定
証明必須
AAGUID の制限

プラットフォーム別のパスキーナッジ評価

登録キャンペーンでは、ユーザーが現在のデバイスとブラウザーの組み合わせに対してローカルパスキーを持っているかどうかを評価します。次の表では、各 OS とブラウザーの組み合わせでナッジを抑制するプラットフォームパスキーの種類について説明します。ユーザーは、そのデバイスとブラウザーでナッジを抑制するために、少なくとも 1 つの一致するパスキーの種類が必要です。

たとえば、ユーザーがWindows Hello for Business資格情報を持っていて、Chrome でWindowsにサインインした場合、ナッジは抑制されます。ただし、同じユーザーが Chrome を使用して Mac にサインインすると、その資格情報がそのプラットフォームに適用されないため、ナッジされます。

Credential	Windows + Chrome	Windows + その他	Mac + Chrome	Mac + その他	iOS	Android
Windows Hello for Business	✔️	✔️	—	—	—	—
Windows での Microsoft Entra パスキー	✔️	✔️	—	—	—	—
Google パスワードマネージャー	✔️	—	✔️	—	—	✔️
iCloud キーチェーン (マネージドを含む)	—	—	✔️	✔️	✔️	—
Mac Platform シングルサインオン (SSO)	—	—	✔️	✔️	—	—
Samsung Pass	—	—	—	—	—	✔️
プラットフォーム以外のプロバイダー (セキュリティキーや認証アプリなど)	✔️	✔️	✔️	✔️	✔️	✔️

注

Linux ユーザーにはナッジされません。 FIDO2 パスキーは Linux では使用できません。

よく寄せられる質問

ユーザーはアプリケーション内で微調整できますか?

はい。登録キャンペーンでは、特定のアプリケーションの埋め込みブラウザービューがサポートされます。このキャンペーンでは、初期設定時のエクスペリエンスや、Windows の設定に埋め込まれたブラウザー表示内でユーザーに働きかけることはありません。

SSO セッション内でユーザーを微調整できますか?

ユーザーが SSO で既にサインインしている場合、ナッジはトリガーされません。

ユーザーはモバイルデバイスで微調整できますか?

登録キャンペーンによって異なります。

Microsoft Authenticator登録キャンペーンは、モバイルデバイスではサポートされていません。
Passkey 登録キャンペーンは、次のようなモバイルデバイスでサポートされています。
- モバイルデバイスでのブラウザーベースのエクスペリエンス。
- ネイティブ iOS モバイルアプリ。ネイティブ Android モバイルアプリのサポートは現在利用できません。

キャンペーンの実行期間はどのくらいですか?

キャンペーンは、必要な期間有効にすることができます。キャンペーンの実行が完了したら、管理センターまたは API を使用してキャンペーンを無効にします。

ユーザーのグループごとに異なる再通知期間を設定できますか?

いいえ。プロンプトのスヌーズ期間はテナント全体の設定で、すべてのグループに適用されます。

登録キャンペーン機能では、Authenticator を使用して MFA を設定したり、パスキーを登録したりするためのユーザーの微調整がサポートされています。パスワードレス電話によるサインインは、登録キャンペーンの対象となる方法ではありません。

Microsoft以外の認証アプリでサインインしたユーザーにナッジが表示されますか?

はい。ユーザーが登録キャンペーンに対して有効になっていて、対象の認証方法が設定されていない場合 (プッシュ通知またはパスキーの認証)、ユーザーはナッジされます。

時間ベースのワンタイムパスワードコードに対してのみ Authenticator が設定されているユーザーには、ナッジが表示されますか?

はい。ユーザーが Authenticator 登録キャンペーンに対して有効になっていて、Authenticator がプッシュ通知に対して設定されていない場合、ユーザーは Authenticator を使用してプッシュ通知を設定するように微調整されます。

既にパスキーを持っているユーザーにはナッジが表示されますか?

passkey ナッジは、ユーザーが現在のデバイスとブラウザーの組み合わせに対してローカルパスキーを持っているかどうかを評価します。ユーザーがそのエクスペリエンス用のローカルパスキーを既に持っている場合、促されることはありません。このため、あるデバイスではユーザーに促しが表示されても、別のデバイスでは表示されないことがあります。プラットフォーム固有の情報については、「プラットフォーム別の Passkey ナッジの評価」セクションを参照してください。

Authenticator と passkey の両方の登録キャンペーンを同時に実行できますか?

いいえ。登録キャンペーンでは、一度に 1 つの認証方法のみを対象にすることができます。 Authenticator または passkey をターゲットにすることはできますが、同じテナント内で両方を同時にターゲットにすることはできません。

いいえ。優れたユーザーエクスペリエンスを提供するために、ユーザーは他の認証方法を登録したのと同じセッションで Authenticator を設定するように微調整されません。

別の認証方法を登録するようにユーザーを微調整できますか?

はい。登録キャンペーンでは、Authenticator を設定したり、パスキー (FIDO2) を登録したりするためのユーザーの微調整がサポートされています。キャンペーンを構成するときに、対象となる認証方法を選択します。

再通知オプションを非表示にして、ユーザーに Authenticator の設定を強制する方法はありますか?

スヌーズ回数の制限 を有効に設定すると、ユーザーはアプリのセットアップを最大3回まで延期でき、それ以降はセットアップが必須になります。

Microsoft Entra MFA を使用していない場合でも、ユーザーに通知できますか?

いいえ。ナッジは、Microsoft Entra MFA を使用して MFA を実行しているユーザーに対してのみ機能します。

テナント内のゲスト/B2B ユーザーはナッジされますか?

Authenticator の登録キャンペーンの対象になっている場合、通知が表示されます。ゲストユーザー向けのパスキーサポートは現在利用できないため、パスキーの登録キャンペーンの対象に含まれていても、これらのユーザーには登録を促す通知は表示されません。

ユーザーがブラウザーを閉じた場合はどうしますか?

ブラウザを閉じることは、スヌーズすることと同じです。ユーザーが 3 回スヌーズした後に設定が必要となる場合、そのユーザーが次にサインインした際にナッジされます。

"セキュリティ情報の登録" の条件付きアクセスポリシーがある場合、一部のユーザーにナッジが表示されないのはなぜですか?

ユーザーが [ セキュリティ情報の登録 ] ページへのアクセスをブロックする条件付きアクセスポリシーのスコープ内にある場合、ナッジは表示されません。

サインイン中に利用規約画面が表示された場合、ナッジは表示されません。

条件付きアクセスのカスタムコントロール設定が原因でサインイン中にユーザーがリダイレクトされた場合、ナッジは表示されません。

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-06-12

登録キャンペーンを実行してパスキーまたはMicrosoft Authenticatorを設定する

前提条件

ユーザー エクスペリエンス

Authenticator キャンペーン

パスキー キャンペーン

Microsoft Entra 管理センターを使用して登録キャンペーン ポリシーを有効にする

Graph エクスプローラーを使用して登録キャンペーン ポリシーを有効にする

例

JSON 要求本文のユーザー GUID を識別する

JSON 要求本文のグループ GUID を識別する

制限事項

プラットフォーム別のパスキー ナッジ評価

よく寄せられる質問

ユーザーはアプリケーション内で微調整できますか?

SSO セッション内でユーザーを微調整できますか?

ユーザーはモバイル デバイスで微調整できますか?

キャンペーンの実行期間はどのくらいですか?

ユーザーのグループごとに異なる再通知期間を設定できますか?

パスワードレスの電話によるサインインをセットアップするようにユーザーにナッジできますか?

Microsoft以外の認証アプリでサインインしたユーザーにナッジが表示されますか?

時間ベースのワンタイム パスワード コードに対してのみ Authenticator が設定されているユーザーには、ナッジが表示されますか?

既にパスキーを持っているユーザーにはナッジが表示されますか?

Authenticator と passkey の両方の登録キャンペーンを同時に実行できますか?

ユーザーが MFA 登録を通過したばかりの場合、ユーザーは同じサインイン セッションでナッジされますか?

別の認証方法を登録するようにユーザーを微調整できますか?

再通知オプションを非表示にして、ユーザーに Authenticator の設定を強制する方法はありますか?

Microsoft Entra MFA を使用していない場合でも、ユーザーに通知できますか?

テナント内のゲスト/B2B ユーザーはナッジされますか?

ユーザーがブラウザーを閉じた場合はどうしますか?

"セキュリティ情報の登録" の条件付きアクセス ポリシーがある場合、一部のユーザーにナッジが表示されないのはなぜですか?

サインイン中に使用条件画面が表示されると、ユーザーにナッジが表示されますか?

条件付きアクセスのカスタム コントロールがサインインに適用される場合、ユーザーにナッジが表示されますか?

関連するコンテンツ