Microsoft Entra 認証方法 API の概要
名前空間: microsoft.graph
認証方法 は、ユーザーが Microsoft Entra ID で認証する方法です。 Microsoft Entra ID の認証方法には、パスワードと電話 (SMS や音声通話など) が含まれます。これは、現在、Microsoft Graph ベータ エンドポイントで管理可能であり、FIDO2 セキュリティ キーや Microsoft Authenticator アプリなど、多くのユーザーが管理できます。 認証方法は、プライマリ、セカンドファクター、およびステップアップ認証で使用され、セルフサービスパスワードリセット (SSPR) プロセスでも使用されます。
認証方法 API は、ユーザーの認証方法を管理するために使用されます。 例:
- ユーザーに電話番号を追加できます。 その後、ユーザーがポリシーで使用できるようにする場合は、その電話番号を SMS と音声通話の認証に使用できます。
- その番号を更新するか、ユーザーから削除できます。
- SMS サインインの番号を有効または無効にすることができます。
- ユーザーの FIDO2 セキュリティ キーの詳細を取得し、ユーザーがキーを紛失した場合は削除できます。
- ユーザーの Microsoft Authenticator 登録の詳細を取得し、ユーザーが電話を紛失した場合は削除できます。
- ユーザーの Windows Hello for Business 登録の詳細を取得し、ユーザーがデバイスを紛失した場合は削除できます。
- ユーザーにメール アドレスを追加できます。 ユーザーは、Self-Service パスワード リセット (SSPR) プロセスの一部として、その電子メールを使用できます。
- そのメールを更新することも、ユーザーから削除することもできます。
ユーザーが認証方法を使用する機能は、テナントの 認証方法ポリシー によって管理されます。 たとえば、R&D 部門のユーザーのみが FIDO2 メソッドの使用を有効にできますが、すべてのユーザーが Microsoft Authenticator の使用を有効にできる場合があります。
監査またはセキュリティ チェックのためにユーザーの作成全体を反復処理する必要があるシナリオでは、認証方法 API を使用することはお勧めしません。 このようなシナリオでは、認証方法の登録と使用状況レポート API (beta エンドポイントでのみ使用可能) を使用することをお勧めします。
Microsoft Graph で管理できる認証方法は何ですか?
| 認証方法 | 説明 | 例 |
|---|---|---|
| emailAuthenticationMethod | 電子メール アドレスは、Self-Service パスワード リセット (SSPR) プロセスの一部としてユーザーが使用できます。 | ユーザーの認証メール アドレスを確認します。 ユーザーにメール アドレスを追加、更新、または削除します。 |
| fido2AuthenticationMethod | FIDO2 セキュリティ キーは、ユーザーが Microsoft Entra ID にサインインするために使用できます。 | 紛失した FIDO2 セキュリティ キーを削除します。 |
| microsoftAuthenticatorAuthenticationMethod | Microsoft Authenticator は、ユーザーが Microsoft Entra ID にサインインしたり、多要素認証を実行したりするために使用できます | Microsoft Authenticator 認証方法を削除します。 |
| passwordAuthenticationMethod | 現在、パスワードは Microsoft Entra ID の既定のプライマリ認証方法です。 | ユーザーのパスワードを再設定します |
| phoneAuthenticationMethod | ポリシーで許可されている SMS または音声呼び出し を使用して認証するために、ユーザーが電話を使用できます。 | ユーザーの認証電話番号を確認します。 ユーザーの電話番号を追加、更新、または削除します。 SMS サインインのプライマリ携帯電話を有効または無効にします。 |
| softwareOathAuthenticationMethod | OATH TOTP 仕様をサポートし、1 回限りのコードを提供するアプリケーションを使用して、ユーザーが多要素認証を実行できるようにします。 | ユーザーに割り当てられたソフトウェア OATH トークンを取得および削除します。 |
| temporaryAccessPassAuthenticationMethod | 強力な資格情報として機能し、パスワードレス資格情報のオンボードを許可する時間制限付きパスコード。 | 特定のユーザーが強力な認証または回復に使用するカスタマイズされたタイムリステッド パスコードを作成および管理します。 |
| windowsHelloForBusinessAuthenticationMethod | Windows Hello for Business は、Windows デバイス上のパスワードレス サインイン方法です。 | ユーザーが Windows Hello for Business サインインを有効にしているデバイスを確認します。 Windows Hello for Business 資格情報を削除します。 |
次の認証方法は、Microsoft Graph v1.0 ではまだサポートされていません。
| 認証方法 | 説明 | 例 |
|---|---|---|
| 既定のメソッド | 多要素認証を実行するためにユーザーが既定で選択した方法を表します。 | ユーザーの既定の MFA メソッドを変更します。 手記：現在、既定のメソッドの詳細の管理は、StrongAuthenticationMethods プロパティを使用して、MSOL Get-MsolUser コマンドレットと Set-MsolUser コマンドレットでのみサポートされています。 |
| ハードウェア トークン | ユーザーが 1 回限りのコードを提供する物理デバイスを使用して多要素認証を実行できるようにします。 | ユーザーに割り当てられたハードウェア トークンを取得します。 |
| セキュリティに関する質問と回答 | セルフサービス パスワード リセットを実行するときに、ユーザーが ID を検証できるようにします。 | ユーザーが登録したセキュリティの質問を削除します。 |
| 認証の状態 | ユーザーのサインイン設定とユーザーごとの MFA を管理する | ユーザーの MFA 状態を確認または設定します。 システム優先多要素認証 (MFA) 設定を参照または設定します。 |
多要素認証を再登録する必要があります
ユーザーが次回サインインするときに新しい多要素認証を設定するように要求するには、個々の DELETE 認証方法操作を呼び出して、各ユーザーの現在の認証方法を削除します。 ユーザーにこれ以上の方法がない場合は、次に強力な認証が必要な場所にサインインする際に登録するように求められます。
テナント レベルの認証方法の使用方法
MFA およびパスワードレス認証に登録または登録解除されたユーザー、SSPR に登録または登録解除されたユーザーなど、テナント レベルの認証方法の登録と使用状況を監視するには、 認証方法の使用状況レポート API を使用します。
次の手順
- 認証方法の種類とそのさまざまな方法を確認します。
- Graph Explorer で API を試してください。