システム優先認証

システム優先認証では、ユーザーが登録した最も安全な方法を使用してサインインするように求められます。 これは、パスワードや SMS などの安全性の低い方法を使用して認証を行うユーザーにとって重要なセキュリティ強化です。

たとえば、ユーザーがパスワードとパスキーの両方を登録した場合、システム優先認証では、パスワードではなくパスキーを使用してサインインするように求められます。 ユーザーは別の方法を使用してサインインすることもできますが、最初に登録した最も安全な方法を試すように求められます。

システム優先認証は、Microsoft が管理する設定です。これは、3 状態のポリシー（有効、無効、または Microsoft 管理）です。 システム優先認証を有効にしない場合は、状態を Microsoft managed から Disabled に変更するか、ポリシーからユーザーとグループを除外します。

システム優先認証が有効になった後、認証システムはすべての処理を実行します。 システムにより、常に、登録した最も安全な方法を決定して提示されるため、ユーザーはどの認証方法も既定として設定する必要はありません。

サインインにシステム優先認証を適用する方法

システム優先認証には、次の 3 つのモードがあります。

• 無効 - サインイン ロジックに変更はありません。
• 有効 - システム優先認証は第 2 要素にのみ適用されます。 既存のサインイン動作は、引き続き第 1 要素認証に適用されます。
• Microsoft マネージド - システム優先認証は、第 1 要素認証と第 2 要素認証の両方に適用されます。 システムは、ユーザーに登録されている資格情報を評価し、各認証手順で最も高いランクの方法を選択します。

有効モードと Microsoft 管理モードの両方で、管理者は特定のユーザーまたはグループを含めたり除外したりできます。

既知の制限

• ターゲット グループのポリシーを変更すると、ユーザーの次のサインインに変更が反映されないことがあります。 それ以降のすべてのサインインに適用されます。
• 条件付きアクセス ポリシーは第 2 要素認証に対してのみ検証され、第 1 要素認証には適用されません。 最初に認証が行われ、次に条件付きアクセスによって承認が評価されます。 システム優先認証は、条件付きアクセス ポリシーや認証強度の要件をオーバーライドしません。

第一要素サインインにおけるWindows Hello for BusinessとmacOS Platform SSO

Windows Hello for Businessと macOS Platform SSO は、最初の要素としてのみ機能するデバイス バインドパスキーです。 Microsoftマネージド状態では、最初の要素でシステム優先認証が適用されるため、パスワードの前にこれらの資格情報を提供できます。

現在のデバイスで使用しない、または完了できないデバイスバインド資格情報をユーザーに求めないように、システム優先認証では、ユーザーがパスキーを使用して最近サインインした場合にのみ、最初の要素として Windows Hello for Business または macOS Platform SSO が提供されます。 動作は、ユーザーが登録したパスキーによって異なります。

• ユーザーが Windows Hello for Business または macOS Platform SSO 以外のパスキーを持っている場合、システム優先認証では、第 2 要素サインイン時にそのパスキーの入力を既に求めているのと同様に、最初の要素でパスキーの入力を求められます。
• ユーザーの登録済みパスキーのみが Windows Hello for Business または macOS Platform SSO で、ユーザーが最後にパスキーでサインインした場合、システム優先認証では最初の要素でパスキー のサインインを求められます。
• ユーザーの登録されたパスキーのみが Windows Hello for Business または macOS Platform SSO であり、ユーザーの最新のサインインがパスキーを使用していない場合、システム優先認証では最初の要素でスキップされ、代わりにユーザーの資格情報の順序で次にランクが高い方法が求められます。

ユーザーはいつでも別 の方法でサインイン を選択して、別の登録済み方法を選択できます。

Microsoft Entra 管理センターでシステム優先認証を有効にする

既定では、システム優先認証はすべてのユーザーに対してMicrosoft管理されます。

1. Microsoft Entra 管理センターに少なくとも認証ポリシー管理者としてサインインします。
2. Microsoft Entra ID>認証方法>設定 に移動します。
3. System 優先認証の場合、 Microsoft-managed、Enabled、または Disabled を選択し、すべてのユーザーを含めるまたは除外します。 除外されるグループは、含めるグループよりも優先されます。
4. 変更が完了したら、[ 保存] を選択します。

Graph API を使用してシステム優先認証を有効にする

システム優先認証を事前に有効にするには、 要求 の例に示すように、スキーマ構成の 1 つのターゲット グループを選択します。

認証方法機能の構成プロパティ

既定では、システム優先認証は Microsoft によって管理されます。

機能ターゲット プロパティ

システム優先認証は、1 つのグループ (動的グループまたは入れ子になったグループ) に対してのみ有効にすることができます。

systemCredentialPreferences を有効にし、グループを含めるか除外するには、次の API エンドポイントを使用します。

https://graph.microsoft.com/v1.0/policies/authenticationMethodsPolicy

依頼

次の例では、サンプル ターゲット グループを除外し、すべてのユーザーを含めます。 詳細については、「authenticationMethodsPolicy を更新する」を参照してください。

PATCH https://graph.microsoft.com/v1.0/policies/authenticationMethodsPolicy
Content-Type: application/json

{
    "systemCredentialPreferences": {
        "state": "enabled",
        "excludeTargets": [
            {
                "id": "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb",
                "targetType": "group"
            }
        ],
        "includeTargets": [
            {
                "id": "all_users",
                "targetType": "group"
            }
        ]
    }
}

FAQ

システム優先認証で最も安全な方法はどのように決定されますか?

ユーザーがサインインすると、認証プロセスによって、登録されているメソッドが確認されます。 ユーザーは、次の順序に従って、最も安全な方法でサインインするように求められます。 メソッドの順序は動的であり、セキュリティ ランドスケープが変化すると更新されます。 ユーザーはいつでもキャンセルして、別の使用可能なサインイン方法を選択できます。 特定の認証方法を必要とする条件付きアクセス ポリシーが組織にある場合、これらのポリシーはシステム優先の認証順序よりも引き続き優先されます。

Microsoft managed 状態の場合、システムは使用可能な資格情報を評価し、第 1 要素認証と第 2 要素認証の両方に対して最高ランクの方法を選択します。

¹セキュリティ キー、Authenticator アプリのパスキー、同期されたパスキー、Windows Hello for Business、macOS Platform SSO が含まれます。

²Microsoft Authenticator、Authenticator Lite、またはサード パーティ製アプリケーションのハードウェアまたはソフトウェア TOTP が含まれます。

³SMS 通話と音声通話が含まれます。

システム優先認証が NPS 拡張機能に与える影響

システム優先認証は、ネットワーク ポリシー サーバー (NPS) 拡張機能を使用してサインインするユーザーには影響しません。 これらのユーザーの、サインイン エクスペリエンスに変更はありません。

フェデレーション ユーザーに対するシステム優先認証のしくみ

フェデレーション ユーザーの場合、第 1 要素サインインは変更されません。 システム優先認証は最初の要素では適用されないため、フェデレーション ユーザーは引き続き外部 ID プロバイダーにルーティングされてサインインされます。 システム優先認証は、これらのユーザーの第 2 要素認証にのみ適用されます。

システム優先認証は第 1 要素サインインにどのように影響しますか?

Microsoft managed に設定すると、システムは資格情報のランク付けを第 1 要素認証と第 2 要素認証の両方に適用します。 たとえば、ユーザーがパスワードとパスキーの両方を登録している場合、パスワードではなく、最初の要素のサインイン時にパスキーを求められます。 ユーザーは引き続き他のサインイン オプションを選択できます。

[有効] に設定すると、資格情報のランク付けは第 2 要素認証にのみ適用されます。 第 1 要素のサインイン動作は変更されません。

ユーザーは引き続き別のサインイン方法を選択できますか?

Yes. システム優先認証では、最も高いランクの資格情報を持つユーザーにプロンプトが表示されますが、ユーザーはサインイン時に他の許可される方法を選択できます。

関連するコンテンツ

• Microsoft Entra ID の認証方法
• Microsoft Authenticator を設定してもらうための登録キャンペーンを実行する方法