検証済み ID は、Microsoft Entra IDの ID 検証機能であり、ユーザーの検証済み ID の暗号化証明を提供しますが、サインイン、MFA、SSPR などの認証要件を満たすために使用することはできません。 代わりに、検証済み ID は、すべての認証方法が失われた場合のアカウントの回復など、ユーザーの ID を再確立する必要があるシナリオの ID 証明レイヤーとして機能します。
ID 検証プロファイルは、検証済み ID フローに参加できるユーザー、検証を実行するプロバイダー、および ID 要求の検証方法を制御するポリシー レイヤーです。 現在、検証済み ID プロファイルはアカウントの回復に使用されています。これにより、すべての認証方法を失ったユーザーは、政府が発行した ID 検証を通じてアクセスを回復できます。 プロファイル フレームワークは、将来の追加の ID 検証シナリオをサポートするように設計されています。
ID 検証プロファイル
ID 検証プロファイルは、ユーザーのグループの ID 検証動作を定義する構成オブジェクトです。 プロファイルでは、次の項目を指定します。
- 名前と説明 — プロファイルの目的を識別する表示名と説明。
- 状態 : プロファイルが有効か無効か。
- ユーザー グループ スコープ — プロファイルが適用されるユーザー。グループベースの割り当てによって定義されます。
- ID 検証プロバイダー — 検証者 DID (分散識別子) によって識別される ID 証明を実行するサード パーティのプロバイダー。資格情報交換の検証者の一意の暗号化識別子です。
- Face Check configuration — 検証中のMicrosoft Entra Verified ID Face Check 動作の設定。
- プロファイルの構成 - 受け入れられた資格情報の発行者、ID 要求がユーザーのプロパティにマップされる方法、および交換の資格情報の種類。
-
使用状況の構成 - プロファイルが適用されるシナリオ (
recoveryなど)。 今後、追加のシナリオがサポートされる可能性があります。 - 優先順位 — ユーザーが複数のプロファイルと一致する場合の処理順序。
アカウントの回復による自動作成
id 検証プロファイルは、Authentication Administrator がMicrosoft Entra 管理センター (Entra ID>Account 回復) を使用してアカウントの回復を設定すると、自動的に作成および構成されます。 アカウント回復セットアップ ウィザードでは、プロファイルの作成、プロバイダーの構成、ユーザー グループのスコープ、およびアカウント検証規則が処理されます。
Important
アカウントの回復によって作成されたプロファイルでは、認証方法のポリシー設定で個別の管理は必要ありません。 アカウント回復セットアップ ウィザードを使用して、回復のために検証済み ID の割り当てを管理することをお勧めします。これにより、プロファイルを作成および構成するためのガイド付きエクスペリエンスが提供されます。
認証方法ポリシーでのプロファイル管理
検証済み ID 認証方法ポリシーは、プロファイルとユーザー割り当てを可視化します。
![[有効] トグル、[含める] タブと [除外] タブ、グループ割り当てテーブル、プロファイル ドロップダウンが表示された [確認済み ID 認証方法ポリシー] ページを示すスクリーンショット。](media/how-to-account-recovery-enable/vid-auth-method-policy.png#lightbox)
管理者は、ポリシー設定から次のことができます。
プロファイルの詳細の表示 - アカウント検証要求のマッピングやカスタム認証拡張機能の設定など、各 ID 検証プロファイルの構成、プロバイダー、状態、および優先順位を確認します。
![プロファイル モード、プロファイルの詳細、ユーザー グループ、ID 検証プロバイダー、アカウント検証要求テーブル、カスタム認証拡張機能を含む [Identity Verification Profile details]\(ID 検証プロファイルの詳細\) パネルを示すスクリーンショット。](media/how-to-account-recovery-enable/vid-profile-details.png)
ユーザー グループのスコープ - ユーザーのグループを特定の検証済み ID プロファイルに割り当てて、検証済みの資格情報フローに参加できるユーザーを制御します。
新しい割り当てを作成 する - 特定の ID 検証プロファイルへのアクセスが必要なユーザーに対して、新しいグループ間割り当てを追加します。
グローバル除外 - すべての ID 検証プロファイルから特定のグループを除外します。 どのプロファイルが構成されているかに関係なく、除外されたユーザーは検証済みの ID ベースのフローに参加できません。
![プロファイル モード、プロファイルの詳細、ユーザー グループ、ID 検証プロバイダー、アカウント検証要求テーブル、カスタム認証拡張機能を含む [Identity Verification Profile details]\(ID 検証プロファイルの詳細\) パネルを示すスクリーンショット。](media/how-to-account-recovery-enable/vid-profile-details.png#lightbox)
Tip
認証方法ポリシー ビューは、組織全体のプロファイル割り当てを監査する場合に役立ちます。 プロファイルを作成および構成するには、アカウント回復セットアップ ウィザードを使用します。
複数のプロファイル
組織では、複数の ID 検証プロファイルを作成して、さまざまなユーザー設定をサポートできます。 例えば次が挙げられます。
- 正確な名前の一致を持つ 1 つの ID 検証プロバイダーを使用する会社の従業員のプロファイル
- 別のサービスプロバイダーを利用する現場作業者向けで、マッチング基準が緩和されているプロファイル
- 広範な展開の前に新しいプロバイダーをテストするパイロット グループのプロファイル
ユーザーが複数のプロファイルに一致するグループに属している場合、システムは優先順位でプロファイルを評価し、最初に一致するプロファイルを適用します。
使用シナリオ
各 ID 検証プロファイルには、プロファイルが適用されるシナリオを定義する 1 つ以上の使用構成が含まれています。
アカウントの回復
アカウントの回復は、現在の検証済み ID プロファイルの主な使用シナリオです。 ユーザーが登録されているすべての認証方法 (デバイスの紛失、盗難、侵害など) を失った場合、アカウントの回復では、検証済み ID プロファイルを使用して次の判断が行われます。
- ユーザーの ID を検証する ID 検証プロバイダー
- プロバイダーからの ID 要求をユーザーのMicrosoft Entra ID プロファイルと照合する方法
- プロファイルが評価モード (テスト) または運用モード (完全復旧) のいずれで動作するか
アカウントの回復の構成の詳細については、「
Note
ID 検証プロバイダーは、Microsoft Security ストアを通じて利用できる外部サービスです。 運用ユーザーにプロファイルを展開する前に、プロバイダーのプライバシー、データ保持、コンプライアンス ポリシーを確認します。
プロファイルのプロパティ
次のプロパティは、検証済み ID プロファイルを定義します。
| 財産 | Description |
|---|---|
| 名前 | プロファイルの表示名 |
| 説明 | プロファイルの目的の説明 |
| 状態 | プロファイルが enabled か disabled |
| 優先度 | 複数のプロファイルがユーザーと一致する場合の処理順序 |
| verifierDid | 資格情報交換の検証ツールを表す分散識別子 (DID) |
| 顔認識設定 | Entra Verified ID Face Check の動作の設定 |
| verifiedIdProfileConfiguration | 承認された発行者、クレーム バインディング、および資格情報の種類 |
| verifiedIdUsageConfigurations | プロファイルが適用されるシナリオ ( recoveryなど) |
| lastModifiedDateTime | プロファイルが最後に変更されたとき |
完全な API リファレンスについては、 verifiedIdProfile リソースの種類 (ベータ) に関するページを参照してください。
顔チェック
検証済み ID プロファイルには、ID 検証中にプレゼンスの証明を確認するための Face Check 構成が含まれます。 Face Check は、ユーザーの政府発行の ID の写真とリアルタイムの生体認証チェックを比較し、資格情報を提示するユーザーが物理的に存在することを確認します。
Face Check には、Face Check ライセンスが必要です。Entra スイートまたはスタンドアロン ライセンスで利用できます。