パスワードレス認証は、パスワードを Windows Hello、FIDO2 セキュリティ キー、パスキー、証明書、Microsoft Authenticator 電話によるサインイン、一時アクセス パスなど、より強力なサインイン方法に置き換えることでフィッシングや資格情報の盗難を減らすことができます。
Microsoft Intune では、パスワードなしの資格情報は発行されません。 代わりに、デバイス、アプリ、ユーザー エクスペリエンスを準備して、これらのパスワードレスの方法が大規模に確実に機能するようにします。 Microsoft Entra ID は資格情報を検証し、認証と条件付きアクセス ポリシーを適用する ID 機関であり、Microsoft Intune はデバイス設定を構成し、コンプライアンスを適用し、それらの方法が依存するプラットフォーム機能を有効にします。 Microsoft Entra ID と Microsoft Intune を組み合わせることで、さまざまなプラットフォームやフォーム ファクターでパスワードレス認証を採用するために必要な ID 基盤とデバイスの準備が提供されます。
パスワードレス体験はプラットフォームによって異なります。 Windows では、通常、デバイス サインインと SSO を介したアプリ アクセスの両方にまたがります。 macOS では、デバイスに紐付けられた詳細な ID ではなく、プラットフォーム認証とアプリへの SSO が中心となります。 iOS/iPadOS と Android では、多くの場合、デバイス サインインよりもアプリ サインイン、ブローカー認証、パスキー動作に重点が置かれます。 プラットフォームの要件を評価し、展開を計画するときは、これらの違いに留意してください。
この記事では、Microsoft Intune がパスワードレス戦略をサポートする方法を管理者の観点から説明します。 展開の詳細については、各パスワードレス方式の実装リンクを参照してください。
Microsoft のパスワードレス ソリューションのしくみ
Microsoft のパスワードレス ソリューションでは、ID およびシングル サインオン (SSO) 用の Microsoft Entra ID と、デバイスの構成とポリシーの適用のための Microsoft Intune を組み合わせます。 この組み合わせにより、ユーザーはパスワードを入力しなくても、生体認証、FIDO2セキュリティ キー、パスキーなどの強力な資格情報を使用して認証できます。
Microsoft Entra ID は、コア ID プロバイダーです。 Windows Hello PIN、FIDO2 キー、パスキーなどのパスワードなしの資格情報を確認します。 認証が成功すると、Microsoft Entra ID はプライマリ更新トークン (PRT) または同等のトークンを発行し、Microsoft 365、Azure、その他の保護されたリソースへのシームレスな SSO を可能にします。 条件付きアクセス ポリシーでは、アクセスを許可する前に、デバイスの状態、認証の強度、リスク シグナルを評価します。
Microsoft Intune は、設定の構成、コンプライアンスの適用、必要なアプリの展開、パスワードレスを大規模に実用化するプラットフォーム エクスペリエンスのサポートにより、パスワードレス サインイン用にデバイスを準備します。 Microsoft Intune は、Windows、macOS、iOS/iPadOS、Android 用の 1 つの管理プレーンを管理者に提供します。
Windows、macOS、iOS、Android のプラットフォーム機能では、生体認証、セキュリティで保護されたハードウェア (Windows の TPM、macOS のセキュリティで保護されたエンクレーブ)、パスキーのサポート、ブローカー シングル サインオンなど、デバイスに拘束されたエクスペリエンスが提供されます。
この分離は重要です。 Microsoft Entra ID は ID 機関です。 Microsoft Intune は、ユーザーがこれらのメソッドを正常に採用して使用できるようにする管理レイヤーです。
パスワードレス、MFA、フィッシングに対する耐性
パスワードレス認証では、セキュリティ要因は排除されません。 ほとんどのパスワードレスの方法は、実際には多要素認証 (MFA) の要件を満たしています。 たとえば、Windows Hello は、デバイスに紐付けられた資格情報 (所有) と生体認証ジェスチャ (組み込み) または PIN (知識) を組み合わせて使用し、MFA by Designs を満たします。 その結果、条件付きアクセス認証強度ポリシーは、多くのパスワードレスメソッドを MFA 準拠 または フィッシング耐性 MFA として分類します。
すべてのパスワードレス オプションが同じレベルの保護を提供するわけではありません。 フィッシングに強い方法と非フィッシングに強い方法の違いを理解すると、適切な認証強度を選択し、安全な ID 戦略を設計するのに役立ちます。
- フィッシングに対抗する方法では 、ハードウェアに拘束された非対称暗号化キーが使用されます。このキーは、ユーザーが悪意のあるプロンプトやなりすましプロンプトを操作した場合でも、傍受も再生もできません。
- フィッシングに強い手段では 、パスワードレスのフローが使用されますが、ソーシャル エンジニアリング、プロンプト操作、または MFA 疲労によって侵害される可能性があります。
この記事で後述する各方法には、フィッシングに対する耐性のレベルが含まれています。
詳細情報
Microsoft Intune でのパスワードレス認証の利点
Microsoft Intune、Microsoft Entra ID、プラットフォーム機能を一緒に使用すると、organization は次のメリットを得られます:
- シームレス シングル サインオン: ユーザーはデバイスに 1 回サインインするだけで、アプリ、クラウド サービス、また、場合によってはオンプレミスのリソースに自動的にアクセスできるようになります。 パスワード リセットの呼び出しや認証プロンプトの繰り返しが排除されます。
- デバイス間でのユーザーの利便性: ユーザーは、デバイス間でネイティブで一貫したエクスペリエンスを得ることができます。 Windows Hello は OS サインインを使用し、macOS は Touch ID と Microsoft Entra ID を統合し、モバイル プラットフォームは Microsoft Authenticator とプラットフォーム パスキーを使用します。 ユーザーは、デバイスごとに個別のパスワードを操作する必要はありません。
- セキュリティ体制の強化: フィッシング被害に強い方法により、資格情報の盗難やリプレイ攻撃を防ぐことができます。 デバイス コンプライアンス ゲーティングにより、有効な資格情報であっても、正常な管理対象デバイスからのみ機能することが保証され、ゼロ トラストの原則に沿っています。
- IT サポートの負荷の軽減: パスワードのリセット回数が減り、一時アクセス パスを使用したよりスムーズなオンボーディング、セルフサービス回復オプションにより、ヘルプデスクのボリュームが削減されます。
- 将来に備えたアーキテクチャ: 標準が進化するにつれて、同期されたパスキーやハードウェアでバックアップされた資格情報などの新しいパスワードレスメソッドは、大幅な再設計を必要とせずに、同じ Microsoft Entra ID + Microsoft Intune アーキテクチャにプラグインできます。
Microsoft Intune がパスワードレスの導入を促進する方法
Microsoft Intune は、強力で最新の資格情報を使用するようにデバイスとアプリケーションが適切に構成されていることを確認することで、パスワードレス認証を有効にして運用化します。 Microsoft Entra ID が ID と認証ポリシーを管理するのに対し、Microsoft Intune はパスワードレスの方法が依存するデバイス環境を準備します。
主なコントリビューションは次のとおりです。
- デバイスの準備: デバイスがパスワードレスのサインイン フローに参加できるように、デバイスを登録、登録、および構成します。
- 構成の展開: Windows Hello for Business、証明書ベースの認証、Apple プラットフォーム SSO、および同様のプラットフォーム機能に必要なポリシーを提供します。
- コンプライアンスとアクセス シグナル: アクセスを許可する前に条件付きアクセスで評価するデバイスの正常性とコンプライアンス データを提供します。
- アプリとブローカーのプロビジョニング: ID ブローカーやパスワードレス SSO シナリオを可能にするコア アプリケーション (Microsoft Authenticator や Microsoft Intune ポータル サイト など) を展開します。
- 統合されたクロスプラットフォーム管理: Windows、macOS、iOS/iPadOS、Android 全体で一貫したポリシーと管理フレームワークを提供し、エンタープライズ展開を効率化します。
ユーザーが使用できるパスワードなしの方法は、デバイス プラットフォームと Microsoft Entra ID で有効になっている認証オプションの両方によって異なります。 Microsoft Intune は、各デバイスが準備および構成され、安全で信頼性の高いパスワードレス エクスペリエンスを提供できるようにします。
Windows Hello
フィッシングに強い
Windows Hello は、パスワードを、生成されて TPM に封印されたデバイスバインド型非対称キーに置き換えます。 キーへのアクセスは、PIN または生体認証ジェスチャ (指紋または顔認識) によって制御され、1 回のサインイン手順で所有と組み込みを組み合わせます。 このメソッドはハードウェアでサポートされており、Windows デバイス用のフィッシングに耐性があります。
Intune のロール
Microsoft Intune は、Windows Hello for Business ポリシー設定を配信および適用することで、Windows Hello 用に Windows デバイスを準備します。この方法は、次の場合に最も適しています。
- パスワードレス サインインのためにクラウド優先の Windows デバイスを準備します。
- 登録および継続的な管理中に Windows Hello for Business ポリシー設定を提供します。
- Windows サインインをデバイス コンプライアンスおよび最新の管理機能に合わせます。
FIDO2 セキュリティ キー
FIDO2 セキュリティ キーは、FIDO 資格情報を格納し、デバイスのプラットフォームに依存することなくフィッシングに強い認証を提供する物理デバイス (USB、NFC、または Bluetooth) です。 資格情報はハードウェア キーにバインドされ、暗号化チャレンジによって検証されるため、傍受したり再生したりすることはできません。 FIDO2 キーは、共有デバイス、高保証環境、またはプラットフォームベースの資格情報と並んでの回復パスとして最適です。
Microsoft Intune は、サポートされているプラットフォームと関連するサインイン エクスペリエンスを管理することで、デバイスをこの方法に対応させるのに役立ちます。この方法は多くの場合、組織で次の必要がある場合に適しています。
- 共有デバイスまたは特殊なデバイス用のパスワードレスのポータブル オプション。
- 単一のプラットフォームや Microsoft Authenticator に依存しない強力なフィッシング防止オプション。
- プラットフォーム ベースの資格情報と並んだリカバリまたは代替パス。
パスキー
パスキーは、FIDO 資格情報の標準ベースの包括であり、デバイスにバインドすることも、デバイス間で同期することもできます。 Microsoft Entra ID では、次を使用できます:
- iOS 17+ および Android 14+ の Windows Hello や Microsoft Authenticator など、単一のデバイス上のセキュリティで保護されたハードウェア (TPM または Secure Enclave) に保存されているデバイスにバインドされたパスキー。
- プラットフォーム パスワード マネージャー (iCloud キーチェーンや Google パスワード マネージャーなど) またはサポートされているサード パーティ プロバイダーによって管理され、クロスデバイス使用を可能にする同期パスキー。
- Windows の Microsoft Entra パスキーは、生体認証検証に Windows Hello を使用するが、デバイスの参加や登録は必要ない FIDO2 パスキーです。 ユーザーは同じデバイス上の複数の Microsoft Entra アカウントに対して複数のパスキーを登録できるため、共有デバイス、アンマネージド エンドポイント、および Windows Hello for Business がプロビジョニングされていないシナリオに適しています。
Microsoft Intune の観点から見ると、パスキーは主にプラットフォームとアプリの準備、つまり、プラットフォーム間でパスキーの採用を実行可能にするデバイスとアプリの前提条件を管理することに関わるものです。この依存関係は、以下で特に重要です。
- Windows では、プラットフォーム サインインと Windows Hello が、より広範なパスワードレス計画と交差する可能性があります。 Windows の Microsoft Entra パスキーは、登録または参加していないデバイスにパスキーの適用範囲を拡張し、管理されたデバイス上の Windows Hello for Business を補完します。
- パスキーがモバイル デバイスの状態とアプリ ブローカーの動作に依存する可能性がある iOS/iPadOS および Android。
- macOS では、プラットフォーム ID の統合とユーザー サインインのエクスペリエンスが導入を形作ります。
Microsoft Authenticator による電話によるサインイン
フィッシングに強いものではない
Microsoft Authenticator の電話によるサインインは、パスワードをプッシュベースの承認と、ユーザーの信頼できるモバイル デバイスでの番号照合に置き換えます。 便利で広くサポートされていますが、ハードウェアに拘束された資格情報ではなくプッシュ通知に依存しているため、MFA プロンプト操作などのフィッシング攻撃を完全に防ぐことはできません。
注:
Microsoft Authenticator では、フィッシングに強い、デバイスに紐付けられたパスキー (iOS 17+、Android 14+) も保存できます。 このセクションでは、プッシュベースの電話によるサインイン フローについて説明します。
Microsoft Intune は、モバイル アプリとデバイスの前提条件を展開して管理することで、このフローをサポートします。多くの環境では、このサポートには次のものが含まれます。
- 管理対象のモバイル デバイスへの Microsoft Authenticator の展開。
- Microsoft アプリ間でのブローカー サインイン エクスペリエンスをサポートします。
- モバイル プラットフォームにおけるアプリ保護ポリシーの考慮事項が、より広範なモバイル アクセスの設計の一部である場合の考慮事項。
一時アクセス パス
一時アクセス パス (TAP) は、ユーザーが長期にわたるパスワードレス セットアップを完了する前にアクセスをブートストラップまたは回復できるように管理者が発行する、期間限定された資格情報です。 TAP は永続的なパスワードレスの方法ではなく、フィッシングに対する耐性もありませんが、多くの場合、パスワードを発行せずに最初のサインインの問題を解決するため、ロールアウトを成功させるために重要な部分です。
Microsoft Intune の観点からすると、一時アクセス パスは次の場合に重要です。
- パスワードレスの方法へのオンボードを簡素化します。
- 展開時の一時パスワードへの依存を減らします。
- オンボード シナリオを管理対象 Windows デバイスのセットアップに接続します。
TAP による Day-zero オンボード
パスワードレスの展開での一般的な課題は、新しいユーザーがパスワードレスの資格情報を登録するためにサインインする必要があるが、最初のサインインでパスワードを発行したくないという、鶏先 から卵の問題 です。 TAP は、デバイスの初期セットアップと資格情報登録に有効期間が短い資格情報を提供することで、この問題を解決します。
一般的なオンボーディング フローは次のようになります。
- 管理は TAP を発行します — IT 管理者または自動化されたワークフローは、Microsoft Entra 管理センターまたは Microsoft Graph API を介して、時間制限付きの TAP を新しいユーザーに生成します。
- ユーザーがデバイスをセットアップする - ユーザーは、Windows Autopilot OOBE、macOS セットアップ アシスタント、またはモバイル デバイスの登録中に TAP を入力します。 Windows 11 では、Web サインインを使用すると、ロック画面で直接 TAP エントリが可能になります。
- ユーザーがパスワードなしの方法を登録する - TAP を使用してサインインすると、ユーザーは Windows Hello、FIDO2 セキュリティ キー、Microsoft Authenticator でのパスキー、またはその他のパスワードなしの方法を登録するように求められます。 これは、TAP に代わる永続的な資格情報です。
- TAP の有効期限: TAP は 1 回限り使用または時間制限がある(設定可能)ため、ユーザーがパスワードレス方式を登録した後に再利用することはできません。
このフローにより、一時パスワードを発行してから取り消す必要がなくなり、最初のサインインから管理されたオンボード パスが Microsoft Intune に提供されます。
証明書ベースの認証 (CBA)
証明書ベースの認証 (CBA) では、デジタル証明書と非対称暗号化を使用して ID を検証し、フィッシングに強く、資格情報の再生を防ぎます。 規制された業界や政府環境で広く採用されており、多くの場合、PIV や CAC などのスマート カードを通じて採用されています。 Microsoft Intune が主にデバイス環境を準備する他のパスワードレスの方法とは異なり、CBA は Microsoft Intune が資格情報自体の配布に直接役割を果たす領域の 1 つです。
Microsoft Intune では、証明書配信用に 2 つのインフラストラクチャ モデルがサポートされています。
- オンプレミスの PKI: 既存の証明機関 (CA) を持つ組織は、Microsoft Intune 用証明書コネクタを使用して、オンプレミスの PKI を Microsoft Intune と橋渡しできます。 このコネクタを使用すると、Microsoft Intune は、既存の CA インフラストラクチャを使用して、SCEP および PKCS 証明書プロファイルを管理対象デバイスに展開できます。 このモデルは、既にエンタープライズ CA を運用している組織、または確立された PKI 投資と統合する必要がある組織に適しています。
- Microsoft クラウド PKI: オンプレミスの証明書インフラストラクチャを簡略化または排除したい組織のために、Microsoft Cloud PKI は Microsoft Intune Suite の一部としてクラウドベースの CA を提供します。 クラウド PKI は、オンプレミス サーバー、コネクタ、ハードウェア セキュリティ モジュールを必要とせずに証明書を発行および管理します。
インフラストラクチャ モデルに関係なく、Microsoft Intune は証明書プロファイルを使用してデバイスに証明書を配信します。
- 信頼されたルート証明書プロファイルは 、デバイスが信頼チェーンを確立できるように CA のルート証明書を配布します。
- SCEP 証明書プロファイルは、 SCEP 対応の CA から証明書を要求して展開します。
- PKCS 証明書プロファイルでは、 PKCS #12 標準を使用して証明書を要求および展開します。
- インポートされた PFX 証明書プロファイルは、Microsoft Intune にインポートされる事前生成された証明書を展開します。
これらのプロファイルは Windows、macOS、iOS/iPadOS、Android にわたって機能するため、Microsoft Intune は、オンプレミスかクラウドベースかに関係なく、PKI インフラストラクチャを Microsoft Entra ID で定義された ID メソッドに接続する配信メカニズムになります。
前提条件
パスワードレスの展開を計画する前に、使用する予定のメソッドのライセンスとプラットフォームの要件が、ご利用の環境が満たされていることを確認します。 一部のパスワードレス機能では、特定の Microsoft Entra ID または Microsoft Intune ライセンス レベルが必要であり、各方法には最小 OS バージョン要件があります。
ライセンスの要件
選択したパスワードレスの方法によっては、organization でユーザー用の Microsoft Entra ID P1 または Microsoft Entra ID P2 ライセンスと、デバイス管理と証明書配信用の特定の Microsoft Intune ライセンスが必要になる場合があります。 次の表は、一般的なパスワードレス機能のライセンス要件をまとめたものです。
| 機能 | ライセンス要件 |
|---|---|
| Windows Hello | Microsoft Entra ID P1 (条件付きアクセスの適用用) |
| FIDO2 セキュリティ キー | Microsoft Entra ID P1 |
| パスキー (デバイス バインドおよび同期) | Microsoft Entra ID P1 |
| Microsoft Authenticator による電話によるサインイン | Microsoft Entra ID P1 |
| 一時アクセス パス | Microsoft Entra ID P1 |
| 証明書ベースの認証 (CBA) | Microsoft Entra ID P1 (リスクベースの条件付きアクセス用の P2) |
| 認証強度ポリシー | Microsoft Entra ID P1 |
| リスクベースの条件付きアクセス | Microsoft Entra ID P2 |
| Microsoft クラウド PKI | Microsoft Intune Suite またはスタンドアロン クラウド PKI ライセンス |
| デバイス コンプライアンスと構成プロファイル | Microsoft Intune プラン 1 |
詳細情報
プラットフォームの要件
この記事で説明するパスワードレスの方法は、特定の OS バージョンでのみ使用できる特定のプラットフォーム機能に依存しています。 次の表は、各メソッドのプラットフォーム要件をまとめたものです。
| メソッド | Windows | macOS | iOS/iPadOS | Android |
|---|---|---|---|---|
| Windows Hello | サポートされているすべての Windows クライアント | — | — | — |
| FIDO2 セキュリティ キー | サポートされているすべての Windows クライアント | — | — | — |
| パスキー | Windows 11 | サポートされているすべてのバージョン | サポートされているすべてのバージョン | Android 14+ |
| Microsoft Authenticator のデバイスに紐付けられたパスキー | — | — | サポートされているすべてのバージョン | Android 14+ |
| プラットフォーム SSO (Secure Enclave) | — | サポートされているすべてのバージョン | — | — |
| Web サインイン (ロック画面でタップ) | Windows 11 | — | — | — |
| Microsoft Authenticator による電話によるサインイン | — | — | サポートされているすべてのバージョン | Android 11 以降 |
注:
"サポートされる" とは、Microsoft Intune が現在すべての機能、ポリシーの展開、管理についてサポートしているオペレーティング システムのバージョンを指します。
プラットフォーム バージョンの要件は、リリース サイクルごとに変更される可能性があります。 展開する特定の方法について、製品ドキュメントの現在の要件を常に確認してください。
詳細情報
プラットフォームに関する考慮事項
パスワードレスは 1 つの機能ではありません。 これは、ID に Microsoft Entra ID に、デバイス管理に Microsoft Intune に依存する、プラットフォーム固有のエクスペリエンスのセットです。
Windows
Windows は、デバイス登録、クラウド サインイン、セキュリティ体制、パスワードレス ユーザー エクスペリエンスがどのように連携するかを示す最も完全な例です。
Microsoft Intune は一般的に、次の方法で Windows パスワードレスのシナリオをサポートします。
- クラウド ファーストで Microsoft Entra に参加しているデバイスを準備します。
- Windows Hello for Business 構成のデリバリー。
- FIDO2 セキュリティ キー エクスペリエンスのサポート。
- デバイスの準備をコンプライアンスと最新の管理に合わせます。
- Windows Autopilot に接続できるオンボード エクスペリエンスをサポートします。
ユーザーが Windows Hello または FIDO2 キーを使用してサインインすると、Windows は Microsoft Entra ID からプライマリ更新トークンを取得します。 この PRT により、Microsoft 365 アプリ、SaaS アプリケーション、および (Cloud Kerberos 信頼が構成されている場合) ファイル共有などのオンプレミス リソースへのシームレスな SSO が可能になります。すべて追加のサインイン プロンプトなしで。
ハイブリッドとレガシに関する考慮事項
この記事で説明するパスワードレス エクスペリエンスは、Microsoft Entra に参加しているデバイスでクラウド優先の方向を前提としています。 ハイブリッド Microsoft Entra 参加済みデバイスを使用する組織では、次の違いに注意する必要があります。
- Web サインイン (Windows のロック画面で TAP に使用) は、Microsoft Entra に参加しているデバイスでのみサポートされており、ハイブリッド Microsoft Entra に参加しているデバイスではサポートされません。
- Windows Hello for Business は、Microsoft Entra に参加しているデバイスと Microsoft Entra に参加しているハイブリッド デバイスの両方で動作しますが、ハイブリッド展開では、信頼モデルによっては追加のインフラストラクチャが必要になる場合があります。
- Microsoft Entra に参加しているデバイスからオンプレミスのリソースにアクセスするには、クラウド Kerberos 信頼または証明書ベースの信頼が必要です。 クラウド Kerberos 信頼は、Kerberos 認証用の証明書を展開する必要がないため、推奨されるモデルです。 詳細については、[クラウド Kerberos 信頼の展開](/windows/security/identity-protection/> hello-for-business/deploy/hybrid-cloud-kerberos-trust) を参照してください。
- Active Directory Kerberos 認証を必要とする従来のアプリケーションはパスワードレスの方法で引き続き動作できますが、NTLM または直接 LDAP バインドを必要とするアプリケーションでは、追加の計画が必要になる場合があります。
環境がハイブリッドの場合は、Microsoft Entra 参加済みデバイスから始めてパスワードなしのロールアウトを計画し、インフラストラクチャでサポートされている場合はハイブリッド Microsoft Entra 参加済みデバイスに拡張します。
macOS
macOS では、パスワードレスの計画は、Microsoft Entra ID がプラットフォーム サインインおよびシングル サインオン エクスペリエンスとどのように統合されているかによって異なります。 Microsoft Intune は、Apple 向けの ID 統合に必要なデバイス構成を提供します。
Microsoft Enterprise SSO プラグインと Apple のプラットフォーム SSO フレームワークを使用すると、Microsoft Intune は、ユーザーが Microsoft Entra ID 資格情報を使用して Mac にサインインできるようにする構成を展開できます。 Secure Enclave キー方式で構成されている場合、Windows Hello と同様に、フィッシングに強い、ハードウェアによるサインイン エクスペリエンスが提供されます。
この情報は、計画を立てる際に重要です。
- プラットフォームの SSO および関連するサインイン エクスペリエンス。
- デバイスと Microsoft アプリ間のシングル サインオン。
- Windows およびモバイル デバイスと一貫した管理モデル。
iOS と iPadOS
iOS と iPadOS では、パスワードレスの計画では、デバイス サインインよりもアプリ サインイン、ブローカー認証、パスキー動作に重点が置かれます。 Microsoft Intune は、ユーザーに対して一貫性のあるエクスペリエンスにするためのアプリと設定を展開および管理します。
iOS の Microsoft SSO 拡張機能は、Microsoft アプリとサード パーティ製アプリ間の認証要求をインターセプトできるため、デバイスの初期セットアップ後にシームレスにサインインできます。 Microsoft Authenticator は認証ブローカーとして機能し、フィッシングに強い認証のために iOS 17+ にデバイスに紐付けられたパスキーを保存することもできます。
Android
Android では、Microsoft Intune は、パスワードレス認証フローとブローカー認証フローが依存するマネージド コンテキストを確立します。 このコンテキストは、Microsoft Authenticator または関連するアプリ エクスペリエンスがモバイル アクセスの設計の一部である場合に特に関連します。
ポータル サイトと Microsoft Authenticator の両方が Android で認証ブローカーとして機能できます。 ユーザーがブローカー経由でサインインすると、Microsoft Entra ID は、仕事用プロファイル内のすべてのブローカー対応アプリ間で SSO を有効にするプライマリ更新トークンを発行します。 Android 14+ では、Microsoft Authenticator はフィッシングに強い認証のためにデバイスに紐付けられたパスキーを保存することもできます。
パスワードレス認証の依存関係
ゼロ トラスト アーキテクチャ
パスワードレス認証は、より広範な ID およびデバイス アクセス戦略の一部です。 Microsoft Intune 管理者の場合、通常、計画には次のレイヤーが含まれます。
- ID: Microsoft Entra ID のフィッシングに強い認証方法。
- デバイスの信頼: Microsoft Intune の登録、コンプライアンス、構成。
- アクセス ポリシー: 条件付きアクセスおよび関連する除外計画。
- データ保護: アクセスが許可された後にコンテンツを保護するのに役立つ Microsoft Purview 機能。
- 調査と対応: リスクまたは侵害のフォローアップが必要な場合、Microsoft Defender のシグナルとワークフロー。
詳細情報
条件付きアクセス
条件付きアクセスでは、アクセスを許可する前に、デバイスの状態や認証の強度などのシグナルを評価します。 条件付きアクセスをパスワードレスの方法と組み合わせることで、フィッシングに強い MFA を必要とする認証強度ポリシーを適用できます。これにより、パスワードや SMS コードなどの弱い方法をブロックすることで、パスワードレスを効果的に義務付けることができます。
パスワードレスと並行して条件付きアクセスを実装する場合は、偶発的なロックアウト シナリオを防ぐために緊急アクセス計画も考慮してください。
詳細情報
緊急アクセスと復旧
パスワードを削除する際の一般的な懸念事項は、ユーザーが唯一のパスワードなしのデバイス (電話、FIDO2 キー、Windows Hello 搭載ノート PC など) を紛失した場合に起こる事象です。 復旧プランがないと、管理者はサポートのエスカレーションに直面する可能性があり、ユーザーは重要なリソースからロックアウトされる可能性があります。
パスワードレスの展開の一部として、次のシナリオを計画します。
- 緊急アクセス アカウント: 条件付きアクセス ポリシーとパスワードレスの強制から除外されない、少なくとも 2 つの緊急アクセス アカウントを維持します。 これらのアカウントは、構成ミスまたは停止によって他のすべてのアクセスがブロックされた場合に、フォールバック パスを提供します。 資格情報を安全に保存し、これらのアカウントでのサインイン アクティビティを監視します。
- 一時アクセス パスを使用した回復: ユーザーがパスワードなしのデバイスを紛失した場合、管理者は新しい TAP を発行して、ユーザーがサインインして代替の資格情報を登録できるようになります。 この方法では、ユーザーをパスワードにリセットすることを回避し、回復フローをパスワードレス モデル内に維持します。
- 複数の登録済みメソッド: 可能な限り、パスワードなしの方法を複数登録するようユーザーに推奨します。 たとえば、ラップトップで Hello for Business を使用しているユーザーは、スマートフォンの Microsoft Authenticator にパスキーも登録する可能性があります。 1 台のデバイスを紛失した場合でも、もう一方の方法は機能します。
- セルフサービスの資格情報管理: ユーザーは [マイ セキュリティ情報] で認証方法を管理できます。 TAP ベースの復元と組み合わせることで、資格情報のリセットに対するヘルプデスクの依存関係が軽減されます。
- Verified ID を使用した全損失回復: ユーザーがすべての登録済み資格情報とデバイスを紛失するシナリオの場合、Verified ID を使用した Microsoft Entra アカウントの回復は、パスワードやヘルプデスクが発行した資格情報に依存しない、ID が検証された回復パスを提供します。
パスワードレスを適用する前に、復旧のための計画を立てることが不可欠です。 回復パスなしでパスワードをブロックするロールアウトでは、移行において管理者とユーザーの信頼を損なうようなロックアウト シナリオが生まれます。
詳細情報
コンプライアンスとデバイスの準備
パスワードレスは、多くの場合、ユーザーがエクスペリエンスを信頼できるようになる前に、デバイスが適切な状態にあるかどうかに依存します。 準備状態には通常、次のものが含まれます。
検証と継続的な運用
パスワードレスの展開を検証するための一般的なチェックポイントは次のとおりです。
- Microsoft Entra サインイン ログ
- Microsoft Intune デバイスとポリシーのレポート
- 展開するパスワードレス方式のプラットフォーム固有の検証エクスペリエンス。
導入とコミュニケーション
技術的な準備は、パスワードレス ロールアウトの一部にすぎません。 パスワードに慣れているユーザーは、サインイン フローが変更されたときに混乱や抵抗を感じる可能性があります。 ユーザーのコミュニケーションとサポートを計画することで、スムーズな移行と広範囲にわたるヘルプデスクのエスカレーションの違いが生まれます。
次の方法を考慮してください。
- 変更を早期に通知する: サインイン エクスペリエンスが変更される場合、変更される理由、および今後の予定をユーザーに知らせます。 覚えておく必要のあるパスワードが減り、サインインが速く、セキュリティが強化されるなどのメリットに焦点を当ててください。
- プラットフォーム固有のガイダンスの提供: パスワードレス エクスペリエンスは、Windows (Hello 生体認証または PIN)、macOS (プラットフォーム SSO を使用する Touch ID)、iOS (Authenticator またはパスキー)、Android (Authenticator ブローカー) では異なります。 ユーザーが利用できるプラットフォームに合わせてコミュニケーションを調整します。
- パイロット グループの特定: organization全体にパスワードレスを適用する前に、エクスペリエンスをテストしてフィードバックを提供できるユーザーのグループから始めます。 多くの場合、IT スタッフ、早期導入者、セキュリティを意識したチームが適切な候補者となります。
- ヘルプデスク スタッフを準備する: サポート チームが、回復のために一時アクセス パスを発行する方法、資格情報の登録をユーザーに案内する方法、問題が発生したときにサインイン ログをチェックする場所を理解していることを確認します。
詳細情報
関連記事
- Microsoft Entra ID のパスワードレス認証オプション
- Microsoft Entra ID にフィッシングに強いパスワードレス認証をデプロイする
- Windows Hello for Business の概要
- 組織向けのパスワードレス戦略ガイド
- Apple デバイス用の Microsoft Enterprise SSO プラグインとプラットフォーム SSO
- 一時的なアクセス パスを使用する
- Microsoft Intune で認証に証明書を使用する
- Microsoft Cloud PKI の概要
- Windows Autopilot の概要
- 条件付きアクセス ポリシーを構築する
- ゼロ トラストとは何ですか?
- Microsoft 365 組織の一般的なセキュリティ ポリシー
- 学生のためのパスワードレス