この記事では、Windows 10および 11 台のデバイスで FIDO2 セキュリティ キーベースのパスワードレス認証を有効にすることに重点を置いています。 この記事の手順を完了すると、FIDO2 セキュリティ キーを使用して、Microsoft Entra アカウントを使用して、Microsoft Entra IDとMicrosoft Entraハイブリッド参加済みWindows デバイスの両方にサインインできます。
FIDO2 セキュリティ キーの前提条件
認証方法を構成するための少なくとも 認証ポリシー管理者 アクセス許可を持つアカウント。
Microsoft Entra 管理センターの認証方法にあるPasskey (FIDO2)ポリシーで、パスキーによるサインインを有効にする必要があります。
デバイスは、次の要件を満たす必要があります。
デバイスの種類 Microsoft Entra参加済み Microsoft Entra のハイブリッド参加 互換性のある FIDO2 セキュリティ キー x x WebAuthN にはバージョン 1903 以降Windows 10必要 x x Microsoft Entra参加済みデバイスにはWindows 10 バージョン 1909 以上が必要です。 x Microsoft Entra ハイブリッド参加済みデバイスには、Windows 10 バージョン 2004 以降が必要です。 x Windows Server 2016 以降を実行する完全に修正プログラムが適用されたドメイン コントローラー x Microsoft Entra ハイブリッド認証管理モジュール x Microsoft Intune (省略可能) x x プロビジョニング パッケージ (オプション) x x グループ ポリシー (省略可能) x
サポートされていないシナリオ
以下のシナリオはサポートされていません。
- Windows Server Active Directory Domain Services (AD DS) ドメイン参加済みの (オンプレミス専用デバイスの) 展開。
- webauthn リダイレクト以外のセキュリティ キーを使用する RDP、VDI、Citrix などのシナリオ。
- セキュリティ キーを使用した S/MIME。
- セキュリティ キーを使用して [別のユーザーとして実行] します。
- セキュリティ キーを使用したサーバーへのサインイン。
デバイスのサインインとロック解除
- FIDO2 セキュリティ キーを使用した OOBE サインインがサポートされています。 Web サインインを使用して Windows デバイスのロックを解除できます。 詳細については、「 Web Sign-In を使用して Windows でパスワードレス Sign-In を有効にする」を参照してください。
- 複数のMicrosoft Entra アカウントを含むセキュリティ キーを使用してWindows デバイスにサインインまたはロック解除する場合、デバイスの既定値はキーに最後に追加されたアカウントになります。 ただし、WebAuthn を使用すると、ユーザーは認証に使用する特定のアカウントを選択できます。
- デバイスのロックを解除するには、Windows 10 バージョン 1809 が必要です。 最適なエクスペリエンスを得るためのバージョン 1903 以降Windows 10使用してください。
デバイスを準備する
参加済みのMicrosoft Entraデバイスは、Windows 10バージョン1909以降を実行する必要があります。
Microsoft Entra のハイブリッド参加デバイスは、Windows 10 バージョン 2004 以降を実行する必要があります。
FIDO2 セキュリティ キーのデバイス バインド パスキー プロファイルを構成する
デバイス バインド キー プロファイルを使用すると、物理セキュリティ キーに格納されているデバイス バインド パスキーの構成証明とキー制限設定を定義できます。
少なくとも 認証ポリシー管理者として Microsoft Entra 管理センターにサインインします。
[Entra ID]>[Authentication メソッド] に移動します。
認証方法 |[ポリシー] ページで、パスキー (FIDO2)>構成を選択します。
[ + プロファイルの追加] を選択します。
プロファイルの 名前 ( FIDO2 セキュリティ キーなど) を入力します。
[パスキーの種類] で、[デバイス バインド] と [保存] を選択します。
注
特定のパスキー プロファイルに対してデバイス バインド パスキーを無効にした場合、対象ユーザーは既に登録されている場合でも、デバイス バインド パスキーを使用してサインインすることはできません。
例: 特定の AAGUID をターゲットとする
特定の AAGUID をターゲットにして、ユーザーが登録できる認証子を制御できます。 この例では、パスキー プロファイルで許可されるのは、FIDO2 セキュリティ キーの特定のモデルに対する AAGUID のみです。
このプロファイルを構成するには:
ターゲット固有の AAGUID を選択します。
[動作] を [許可] に設定します。
[ モデル/プロバイダー AAGUID] で、サインインを許可する FIDO2 セキュリティ キー モデルの AAGUID を追加し、[保存] を選択 します。
Warning
[ 構成証明の強制] を選択した場合は、登録時に構成証明が必要です。 Microsoft Entra IDは、認証子の作成とモデルを信頼されたメタデータと照らして検証できます。 構成証明は、パスキーが本物であり、指定されたベンダーからのものであることを組織に保証します。 [構成証明の強制] を選択しない場合、Microsoft Entra IDは、パスキーに関する属性 (同期またはデバイスバインドなど) を保証できません。
構成証明の適用は、登録時にのみパスキー (FIDO2) が許可されるかどうかを制御します。 構成証明なしでパスキー (FIDO2) を登録したユーザーは、後で [ 構成証明の強制 ] が選択されている場合、サインインはブロックされません。
![「FIDO2 セキュリティ キー」という名前のパスキー プロファイルのスクリーンショット。[構成証明を適用する] と [特定の AAGUID をターゲットにする] が選択されており、[動作] が [許可] に設定され、特定の FIDO2 セキュリティ キー モデルの AAGUID が追加されています。](media/how-to-authentication-passkey-profiles/security-key-high-assurance-profile.png)
![「FIDO2 セキュリティ キー」という名前のパスキー プロファイルのスクリーンショット。[構成証明を適用する] と [特定の AAGUID をターゲットにする] が選択されており、[動作] が [許可] に設定され、特定の FIDO2 セキュリティ キー モデルの AAGUID が追加されています。](media/how-to-authentication-passkey-profiles/security-key-high-assurance-profile.png#lightbox)
デバイス バインド パスキー プロファイルの有効化とターゲット グループ
組織は、次の 1 つ以上の方法を使用して、組織の要件に基づいてWindowsサインインにセキュリティ キーを使用することを選択できます。
- Microsoft Entra 管理センターで有効にする
- Microsoft Intuneで有効にする
- ターゲットにされたMicrosoft Intuneの展開
- プロビジョニング パッケージで有効にする
- グループ ポリシーを使用して有効にする (Microsoft Entraハイブリッド参加済みデバイスのみ)
重要
Microsoft Entraハイブリッド参加済みデバイスを持つ組織は、さらに、「オンプレミス リソースに対する FIDO2 認証を有効にする」 の記事に記載された手順を完了しなければ、Windows 10でFIDO2セキュリティキー認証が機能しません。
Microsoft Entra参加しているデバイスを持つ組織は、デバイスが FIDO2 セキュリティ キーを使用してオンプレミス リソースに対して認証を行う前に、これを行う必要があります。
Microsoft Entra 管理センターで有効にする
少なくとも 認証ポリシー管理者として Microsoft Entra 管理センターにサインインします。
[Entra ID]>[Authentication メソッド] に移動します。
認証方法 | ポリシー ページで、パスキー (FIDO2)>有効化して対象を指定 を選択します。
[ 有効化] タブと [ターゲット ] タブで、[ 有効] が [オン] になっていることを確認します。
[ ターゲットの追加] を選択し、[ すべてのユーザー ] または [ターゲットの選択] を選択して特定のグループを選択します。
デバイスにバインドされたパスキーのプロファイルを選択します。
選択したユーザーのデバイス バインド パスキーを有効にするには、[ 保存] を 選択します。
Microsoft Intuneで有効にする
Intune を使用してセキュリティ キーを使用できるようにするには、次の手順を実行します。
- Microsoft Intune管理センターにサインインします。
- デバイス>デバイス登録>Windows登録>Windows Hello for Business に進みます。
- [サインインにセキュリティ キーを使用する] を [有効] に設定します。
サインインのセキュリティ キーの構成は、Windows Hello for Businessの構成に依存しません。
注
これにより、既にプロビジョニングされているデバイスのセキュリティ キーは有効になりません。 その場合は、次の方法（対象を絞った Intune 展開）を使用してください。
ターゲットとなる Intune のデプロイ
資格情報プロバイダーを有効にするために特定のデバイス グループをターゲットにするには、Intune を介して次のカスタム設定を使用します。
- Microsoft Intune管理センターにサインインします。
- Devices>Windows>Configuration profiles>Create profile に移動します。
- 次の設定を使用して、新しいプロファイルを構成します。
- プラットフォーム: Windows 10以降
- プロファイルの種類: カスタム > テンプレート
- 名前: Windows サインインのセキュリティ キー
- 説明: Windowsサインイン中に FIDO セキュリティ キーを使用できるようにします
-
次へ>追加, 行の追加で、次のカスタム OMA-URI 設定を追加します。
- 名前: Windows サインインの FIDO セキュリティ キーを有効にする
- 説明: (省略可能)
- OMA-URI: ./デバイス/ベンダー/MSFT/パスポートフォーワーク/セキュリティキー/サインインにセキュリティキーを使用
- データ型:Integer
- 値: 1
- 特定のユーザー、デバイス、グループなど、残りのポリシー設定を割り当てます。 詳細については、「
Microsoft Intune を参照してください。
プロビジョニング パッケージを使用して有効にする
Microsoft Intuneによって管理されていないデバイスの場合は、プロビジョニング パッケージをインストールして機能を有効にすることができます。 Windows構成デザイナー アプリは、Microsoft ストアからインストールできます。 プロビジョニング パッケージを作成するには、次の手順を実行します。
- Windows構成デザイナーを起動します。
- [>] を選択します。
- プロジェクトに名前を付け、プロジェクトが作成されるパスを書き留め、[ 次へ] を選択します。
- [選択したプロジェクト ワークフロー] として [プロビジョニング パッケージ] を選択したままにして、[次へ] を選択します。
- すべての Windows デスクトップ エディションを表示および構成する設定を選択し、次へを選択します。
- 完了を選択します。
- 新しく作成したプロジェクトで、 ランタイム設定>WindowsHelloForBusiness>SecurityKeys>UseSecurityKeyForSignIn に移動します。
- UseSecurityKeyForSignIn を有効に設定します。
- エクスポート>プロビジョニング パッケージの選択
- [ビルド] ウィンドウの [プロビジョニング パッケージの説明] で既定値のままにして、[次へ] を選択します。
- [ビルド] ウィンドウの [プロビジョニング パッケージのセキュリティの詳細の選択] で既定値のままにして、[次へ] を選択します。
- [ビルド] ウィンドウの [プロビジョニング パッケージを保存する場所の選択] でパスをメモまたは変更し、[次へ] を選択します。
- [プロビジョニング パッケージのビルド] ページで [ビルド] を選択します。
- 作成した 2 つのファイル (ppkg と cat) を、後でマシンに適用できる場所に保存します。
- 作成したプロビジョニング パッケージを適用するには、「 プロビジョニング パッケージの適用」を参照してください。
注
バージョン 1903 Windows 10実行されているデバイスでは、共有 PC モード (EnableSharedPCMode) も有効にする必要があります。 この機能の有効化の詳細については、「
グループ ポリシーを使用して有効にする
Microsoft Entraハイブリッド参加済みデバイスの場合、組織は次のグループ ポリシー設定を構成して FIDO セキュリティ キーのサインインを有効にすることができます。 この設定は、 コンピューターの構成>Administrative Templates>System>Logon>Turn on security key sign-in にあります。
- このポリシーを [有効] に設定すると、ユーザーはセキュリティ キーを使用してサインインできます。
- このポリシーを [無効] または [ 未構成] に設定すると、ユーザーはセキュリティ キーを使用してサインインできなくなります。
このグループ ポリシー設定には、 CredentialProviders.admx グループ ポリシー テンプレートの更新バージョンが必要です。 この新しいテンプレートは、次のバージョンの Windows Server と Windows 10 20H1 で使用できます。 この設定は、これらの新しいバージョンのWindowsのいずれかを実行しているデバイスで管理するか、グループ ポリシー管理テンプレートの中央ストアを作成して管理する方法に関するガイダンスに従って、Windowsで一元的に管理できます。
Microsoft Graph API (プレビュー) を使用して FIDO2 セキュリティ キーをプロビジョニングする
現在プレビュー段階では、管理者は Microsoft Graph およびカスタム クライアントを使用して、ユーザーに代わって FIDO2 セキュリティ キーをプロビジョニングできます。 プロビジョニングには、 認証管理者ロール または UserAuthenticationMethod.ReadWrite.All アクセス許可を持つクライアント アプリケーションが必要です。 プロビジョニングの改善点は次のとおりです。
- Microsoft Entra ID から WebAuthn 作成オプション を要求する機能
- プロビジョニングされたセキュリティ キーをMicrosoft Entra IDに直接登録する機能
これらの新しい API を使用すると、組織はユーザーに代わってセキュリティ キーにパスキー (FIDO2) 資格情報をプロビジョニングする独自のクライアントを構築できます。 このプロセスを簡略化するには、主要な手順 3 つが必要です。
- ユーザー用の creationOptions のリクエスト: Microsoft Entra ID は、あなたのクライアントがパスキー (FIDO2) 資格情報をプロビジョニングするために必要なデータを返します。 これには、ユーザー情報、証明書利用者 ID、資格情報ポリシー要件、アルゴリズム、登録チャレンジなどの情報が含まれます。
- 作成オプションを使用してパスキー (FIDO2) 資格情報をプロビジョニングします。
creationOptionsを使用し、クライアント認証プロトコル (CTAP) をサポートするクライアントを用いて資格情報を設定してください。 この手順では、セキュリティ キーを挿入し、PIN を設定する必要があります。 - プロビジョニングされた資格情報を Microsoft Entra ID に登録する: プロビジョニング プロセスの書式設定された出力を使用して、対象ユーザーのパスキー (FIDO2) 資格情報を登録するために必要なデータを Microsoft Entra ID に提供します。
トラブルシューティングとフィードバック
フィードバックを共有したい場合や、この機能に関する問題が発生した場合は、次の手順に従ってWindowsフィードバック Hub アプリを使用して共有してください。
- フィードバック ハブを起動し、サインインしていることを確認します。
- 次の分類でフィードバックを送信します。
- カテゴリ:セキュリティとプライバシー
- サブカテゴリ: FIDO
- ログをキャプチャするには、[ 問題を再作成する] オプションを使用します。
FIDO2 セキュリティ キーを登録する
管理者がデバイス バインド パスキー プロファイルを作成した後、ユーザーはデバイスに FIDO2 セキュリティ キーを登録できます。
登録手順については、「 FIDO2 セキュリティ キーを使用してパスキーを登録する」を参照してください。
FIDO2 セキュリティ キーを使用してサインインする
登録後、ユーザーはデバイスの FIDO2 セキュリティ キーを使用してMicrosoft Entra IDにサインインできます。
サインイン手順については、「 FIDO2 セキュリティ キーを使用したサインイン」を参照してください。