Windows でのパスキーのサポート

[アーティクル]
09/06/2024
適用対象:

✅ Windows 11, ✅ Windows 10

パスキーは、パスワードと比較して、Web サイトやアプリケーションにログインするためのより安全で便利な方法を提供します。ユーザーが記憶して入力する必要があるパスワードとは異なり、パスキーはデバイスにシークレットとして格納され、デバイスのロック解除メカニズム (生体認証や PIN など) を使用できます。パスキーは、他のサインインの課題を必要とせずに使用できるため、認証プロセスの高速化、セキュリティ保護、および利便性が向上します。

パスキーは、それらをサポートするすべてのアプリケーションまたは Web サイトで使用して、Windows Hello を作成してサインインできます。 Windows Hello でパスキーを作成して保存したら、デバイスの生体認証または PIN を使用してサインインできます。または、コンパニオンデバイス (電話またはタブレット) を使用してサインインすることもできます。

注

Windows 11 バージョン 22H2 以降では、 KB5030310、Windows はパスキー管理のためのネイティブエクスペリエンスを提供します。ただし、パスキーは、サポートされているすべてのバージョンの Windows クライアントで使用できます。

この記事では、Windows デバイスでパスキーを作成して使用する方法について説明します。

パスキーのしくみ

Microsoft は長い間 FIDO Alliance の創設メンバーであり、Windows Hello のようなプラットフォーム認証子内でパスキーをネイティブに定義して使用するのに役立ちました。パスキーは、すべての主要なプラットフォームで採用されている FIDO 業界標準を利用します。 Microsoft のような大手テクノロジ企業は、FIDO Alliance の一部としてパスキーをバッキングしており、多数の Web サイトやアプリがパスキーのサポートを統合しています。

FIDO プロトコルは、より安全な認証を提供するために、標準の公開/秘密キー暗号化手法に依存しています。ユーザーがオンラインサービスに登録すると、クライアントデバイスによって新しいキーペアが生成されます。秘密キーはユーザーのデバイスに安全に保存され、公開キーはサービスに登録されます。認証するには、クライアントデバイスがチャレンジに署名して秘密キーを所有していることを証明する必要があります。秘密キーは、Windows Hello ロック解除係数 (生体認証または PIN) を使用してユーザーがロックを解除した後にのみ使用できます。

FIDO プロトコルは、オンラインサービスがさまざまなサービス間で情報を共有したり、ユーザーを追跡したりできないように設計されているため、ユーザーのプライバシーを優先します。さらに、認証プロセスで使用される生体認証情報はユーザーのデバイスに残り、ネットワークまたはサービスを介して送信されることはありません。

パスワードと比較したパスキー

パスキーには、使いやすさや直感的な性質など、パスワードよりもいくつかの利点があります。パスワードとは異なり、パスキーは簡単に作成でき、記憶する必要がなく、保護する必要はありません。さらに、パスキーは各 Web サイトまたはアプリケーションに固有であり、再利用を防ぎます。ユーザーのデバイスにのみ保存され、サービスでは公開キーのみが格納されるため、セキュリティが高くなります。パスキーは、攻撃者が推測または取得するのを防ぐために設計されています。これにより、攻撃者がユーザーをだまして秘密キーを明らかにしようとするフィッシングの試みに対する耐性を高めることができます。パスキーは、人間の検証に依存するのではなく、適切なサービスにのみ使用されるようにブラウザーまたはオペレーティングシステムによって適用されます。最後に、パスキーはクロスデバイス認証とクロスプラットフォーム認証を提供します。つまり、あるデバイスからのパスキーを使用して別のデバイスにサインインできます。

Windows エディションとライセンスに関する要件

次の表は、パスキーをサポートする Windows エディションの一覧です。

Windows Pro	Windows Enterprise	Windows Pro Education/SE	Windows Education
はい	はい	はい	はい

Passkeys ライセンスエンタイトルメントは、次のライセンスによって付与されます。

Windows Pro/Pro Education/SE	Windows Enterprise E3	Windows Enterprise E5	Windows Education A3	Windows Education A5
はい	はい	はい	○	○

Windows ライセンスの詳細については、「Windows ライセンスの概要」を参照してください。

ユーザーエクスペリエンス

パスキーを作成する

既定では、Windows では、Windows デバイスでパスキーをローカルに保存します。この場合、パスキーは Windows Hello (生体認証と PIN) によって保護されます。次のいずれかの場所にパスキーを保存することもできます。

iPhone、iPad、または Android デバイス: パスキーは、デバイスによって提供されている場合、デバイスの生体認証によって保護された電話またはタブレットに保存されます。このオプションでは、スマートフォンまたはタブレットで QR コードをスキャンする必要があります。これは Windows デバイスの近くにある必要があります
リンクされたデバイス: パスキーは、デバイスによって提供される場合、デバイスの生体認証によって保護された電話またはタブレットに保存されます。このオプションでは、リンクされたデバイスが Windows デバイスに近接している必要があり、Android デバイスでのみサポートされます
セキュリティキー: パスキーは FIDO2 セキュリティキーに保存され、キーのロック解除メカニズム (生体認証や PIN など) によって保護されます。

パスキーを保存する場所に基づいて、パスキーを保存する方法については、次のいずれかのオプションを選択します。

パスキーをサポートする Web サイトまたはアプリを開く

アカウント設定からパスキーを作成する

[別のデバイスを使用する] オプションを選択します>次へ

[この Windows デバイス>次へ] を選択します

Windows Hello 検証方法を選択し、検証に進み、[ OK] を選択します

パスキーは Windows デバイスに保存されます。 [OK] を選択することを確認するには

パスキーを使用する

パスキーをサポートする Web サイトまたはアプリを開くと、パスキーがローカルに保存されている場合は、Windows Hello を使用してサインインするように自動的に求められます。次のいずれかの場所からパスキーを使用することもできます。

iPhone、iPad、または Android デバイス: 携帯電話またはタブレットに保存されているパスキーでサインインする場合は、このオプションを使用します。このオプションでは、スマートフォンまたはタブレットで QR コードをスキャンする必要があります。これは Windows デバイスの近くにある必要があります
リンクされたデバイス: Windows デバイスに近接しているデバイスに保存されているパスキーでサインインする場合は、このオプションを使用します。このオプションは Android デバイスでのみサポートされています
セキュリティキー: FIDO2 セキュリティキーに格納されているパスキーを使用してサインインする場合は、このオプションを使用します

パスキーを保存した場所に基づいて、パスキーを使用する方法を確認するには、次のいずれかのオプションを選択します。

パスキーをサポートする Web サイトまたはアプリを開く

[ パスキーを使用してサインインする] を選択するか、同様のオプションを選択します

[別のデバイスを使用する] オプションを選択します>次へ

[この Windows デバイス>次へ] を選択します

Windows Hello のロック解除オプションを選択する

[ OK] を選択 してサインインを続行する

パスキーの管理

KB5030310を使用した Windows 11 バージョン 22H2 以降では、設定アプリを使用して、アプリまたは Web サイト用に保存されたパスキーを表示および管理できます。 [ 設定] > [アカウント] > [Passkeys] に移動するか、次のショートカットを使用します。

パスキーの管理

保存したパスキーの一覧が表示され、名前でフィルター処理できます
パスキーを削除するには、[ ...] を選択 > パスキー 名の横にあるパスキーを削除する

注

login.microsoft.com の一部のパスキーは、デバイスと Microsoft サービスにサインインするために Microsoft Entra ID または Microsoft アカウントで使用されるため、削除できません。

Bluetooth制限された環境でのパスキー

パスキークロスデバイス認証シナリオの場合、Windows デバイスとモバイルデバイスの両方で、Bluetoothが有効になっており、インターネットに接続されている必要があります。これにより、ユーザーはパスキー自体を転送またはコピーすることなく、Bluetooth経由で別のデバイスを安全に承認できます。

一部の組織では、パスキーの使用を含むBluetoothの使用が制限されています。このような場合、組織は、パスキー対応 FIDO2 認証子と排他的にペアリングBluetooth許可することで、パスキーを許可できます。

Bluetoothの使用をパスキーのユースケースのみに制限するには、 Bluetooth ポリシー CSP と DeviceInstallation Policy CSP を使用します。

デバイスの構成

次の手順では、デバイスを構成する方法の詳細を示します。ニーズに最適なオプションを選択します。

Intune/CSP
PowerShell

Microsoft Intune でデバイスを構成するには、次の設定でカスタムポリシーを使用できます。

設定
OMA-URI: `./Device/Vendor/MSFT/Policy/Config/Bluetooth/`AllowAdvertising データ型: 整数値: `0` `0`に設定すると、デバイスはアドバタイズを送信しません。
OMA-URI: `./Device/Vendor/MSFT/Policy/Config/Bluetooth/`AllowDiscoverableMode データ型: 整数値: `0` `0`に設定すると、他のデバイスはデバイスを検出できません。
OMA-URI: `./Device/Vendor/MSFT/Policy/Config/Bluetooth/`AllowPrepairing データ型: 整数値: `0` 特定のバンドルされたBluetooth周辺機器がホストデバイスと自動的にペアリングされないようにします。
OMA-URI: `./Device/Vendor/MSFT/Policy/Config/Bluetooth/`AllowPromptedProximalConnections データ型: 整数値: `0` ユーザーが Swift Pair やその他の近接通信ベースのシナリオを使用できないようにします。
OMA-URI: `./Device/Vendor/MSFT/Policy/Config/Bluetooth/`ServicesAllowedList データ型: 文字列値: `{0000FFFD-0000-1000-8000-00805F9B34FB};{0000FFF9-0000-1000-8000-00805F9B34FB}` 許可されるBluetoothサービスとプロファイルの一覧を設定します。 - FIDO Alliance Universal Second Factor Authenticator サービス (`0000fffd-0000-1000-8000-00805f9b34fb`) - FIDO2 セキュリティで保護されたクライアントから認証へのトランスポートサービス (`0000FFF9-0000-1000-8000-00805F9B34FB`) 詳細については、「 FIDO CTAP 2.1 標準仕様」および「割り当てられた番号」ドキュメントBluetooth参照してください。
OMA-URI: `./Device/Vendor/MSFT/Policy/Config/DeviceInstallation/`PreventInstallationOfMatchingDeviceIDs データ型: 文字列値: `<enabled/><data id="DeviceInstall_IDs_Deny_Retroactive" value="true"/><data id="DeviceInstall_IDs_Deny_List" value="1BTH\MS_BTHPAN"/>` 既存の Bluetooth Personal Area Network (PAN) ネットワークアダプターを無効にし、ネットワーク接続またはテザリングに使用できるBluetooth ネットワークアダプターのインストールを防ぎます。

MDM Bridge WMI プロバイダーを使用して PowerShell スクリプトを使用してデバイスを構成します。

重要

すべてのデバイス設定で、WMI ブリッジクライアントをシステム (LocalSystem) アカウントとして実行する必要があります。

PowerShell スクリプトをテストするには、次の操作を行うことができます。

psexec ツールをダウンロード
管理者特権のコマンドプロンプトを開き、次を実行します: psexec.exe -i -s powershell.exe
PowerShell セッションでスクリプトを実行する

# Bluetooth configuration
$namespaceName = "root\cimv2\mdm\dmmap"
$className = "MDM_Policy_Config01_Bluetooth02"
New-CimInstance -Namespace $namespaceName -ClassName $className -Property @{
    ParentID="./Vendor/MSFT/Policy/Config";
    InstanceID="Bluetooth";
    AllowDiscoverableMode=0;
    AllowAdvertising=0;
    AllowPrepairing=0;
    AllowPromptedProximalConnections=0;
    ServicesAllowedList="{0000FFF9-0000-1000-8000-00805F9B34FB};{0000FFFD-0000-1000-8000-00805F9B34FB}"
}


# Device installation configuration
$namespaceName = "root\cimv2\mdm\dmmap"
$className = "MDM_Policy_Config01_DeviceInstallation02"
New-CimInstance -Namespace $namespaceName -ClassName $className -Property @{
    ParentID="./Vendor/MSFT/Policy/Config";
    InstanceID="DeviceInstallation";
    PreventInstallationOfMatchingDeviceIDs='<![CDATA[<Enabled/><Data id="DeviceInstall_IDs_Deny_List" value="1&#xF000;BTH\MS_BTHPAN"/><Data id="DeviceInstall_IDs_Deny_Retroactive" value="true"/>]]>'
}

詳細については、「WMI ブリッジプロバイダーで PowerShell スクリプトを使用する」を参照してください。

注

設定が適用されると、Bluetooth経由でデバイスをペアリングしようとすると、最初にペアリングされ、すぐに切断されます。 Bluetooth デバイスの読み込みがブロックされ、設定やデバイスマネージャーからは使用できません。

フィードバックを提供する

パスキーに関するフィードバックを提供するには、 Feedback Hub を 開き、[ セキュリティとプライバシー] > Passkey カテゴリを使用します。

次の方法で共有

Windows でのパスキーのサポート