Authenticator でパスキーを有効にする

この記事では、Microsoft Entra ID の Microsoft Authenticator におけるパスキーに関する、Authenticator 固有の要件と構成について説明します。

この記事の手順に従う前に、パスキーを有効にし、パスキープロファイルを作成します。手順については、「Microsoft Entra IDでパスキー (FIDO2) を有効にする」を参照してください。

Authenticator におけるパスキーの前提条件

認証方法を構成するための少なくとも認証ポリシー管理者アクセス許可を持つアカウント。
Microsoft Entra 管理センターの認証方法にあるPasskey (FIDO2)ポリシーで、パスキーによるサインインを有効にする必要があります。
Android 14 以降または iOS 17 以降。
クロスデバイス登録と認証の場合:
- 両方のデバイスでBluetoothとアクティブなインターネット接続が有効になっていることを確認します。組織でBluetoothの使用が制限されている場合は、 passkey 対応 FIDO2 認証子と排他的にペアリングするBluetoothを許可して、クロスデバイスパスキーのサインインと登録を許可できます。組織では、デバイス間の登録と認証を有効にするために、次の表のエンドポイントへの接続を許可する必要があります。これらの URL へのアクセスをデバイスに許可する必要があります。 Apple デバイスの要件の詳細については、「エンタープライズネットワークで Apple 製品を使用する」を参照してください。
  
  Platform URL
  
  Android cable.ua5v.com
  
  iOS cable.auth.com
  app-site-association.cdn-apple.com
  app-site-association.networking.apple
注

構成証明を有効にすると、ユーザーはデバイス間登録を使用できません。

Platform	URL
Android	`cable.ua5v.com`
iOS	`cable.auth.com` `app-site-association.cdn-apple.com` `app-site-association.networking.apple`

FIDO2 のサポートの詳細については、「Microsoft Entra IDを使用した FIDO2 認証のサポート」を参照してください。

注

条件付きアクセスポリシーの一部で「デバイスを準拠しているとマークすることを要求する」コントロールが付与されている場合、Microsoft Authenticator アプリから UserAuthenticationMethod.Read スコープへのアクセスはブロックされません。 Authenticator は、ユーザーが構成できる資格情報を決定するために、Authenticator の登録中に UserAuthenticationMethod.Read スコープにアクセスする必要があります。認証システムでは、資格情報を登録するために UserAuthenticationMethod.ReadWrite にアクセスする必要がありますが、デバイスを準拠としてマークする必要があるチェックをスキップすることはありません。

Authenticator でパスキーのプロファイルを構成する

少なくとも認証ポリシー管理者として Microsoft Entra 管理センターにサインインします。
[Entra ID]>[Authentication メソッド] に移動します。
認証方法 |[ポリシー] ページで、パスキー (FIDO2)>構成を選択します。
[ + プロファイルの追加] を選択します。
認証パスキーなど、プロファイルの名前を入力します。
構成証明を強制するかどうかを選択します。詳細については、認証子の証明を参照してください。
Passkey 型の場合は、[デバイスバインド] を選択します。
[ターゲット固有の AAGUIDS] を選択し、[動作] を [許可] に設定します。
+ AAGUID を追加>Microsoft Authenticator、保存の順に選択します。

Authenticator におけるパスキーのプロファイルに対してグループを有効化してターゲットにする

少なくとも認証ポリシー管理者として Microsoft Entra 管理センターにサインインします。
[Entra ID]>[Authentication メソッド] に移動します。
認証方法 | ポリシー ページで、パスキー (FIDO2)>有効化して対象を指定 を選択します。
[ 有効化] タブと [ターゲット ] タブで、[ 有効] が [オン] になっていることを確認します。
[ ターゲットの追加] を選択し、[ すべてのユーザー ] または [ターゲットの選択] を選択して特定のグループを選択します。
Authenticator でパスキーのプロファイルを選択し、保存します。

注

ターゲットグループ (エンジニアリングなど) は、複数のパスキープロファイルのスコープを設定できます。ユーザーが複数のパスキープロファイルのスコープに設定されている場合、パスキーがスコープ付きパスキープロファイルの少なくとも 1 つの要件を完全に満たしている場合、パスキーを使用した登録と認証が許可されます。チェックの順序は特にありません。ユーザーが Passkey (FIDO2) ポリシーで除外されたグループのメンバーである場合、ユーザーはパスキー (FIDO2) の登録またはサインインから完全にブロックされます。ブロックは、含まれるすべてのグループのメンバーシップよりも優先されます。

認証器の証明

Microsoft Entra 管理センターでパスキーを有効にし、パスキープロファイルを作成する際に、構成証明を適用するかどうかを選択できます。パスキープロファイルを構成する一般的な手順については、「パスキーの有効化 (FIDO2)」を参照してください。

構成証明が有効になっている場合、Microsoft Entra IDは作成されるパスキーの正当性を検証します。ユーザーが Authenticator にパスキーを登録している場合、認証は、正規の Authenticator アプリが Apple および Google サービスを使用してパスキーを作成したことを確認します。

iOS: Authenticator の証明では、iOS アプリアテストサービスを使って、パスキーを登録する前に Authenticator アプリの正当性を確認します。
Android:
- Play Integrity 構成証明の場合、Authenticator 構成証明は、Play Integrity API を使用して Authenticator アプリの正当性を確認してから、パスキーを登録します。
- キー構成証明の場合、Authenticator 構成証明は、Android によるキー構成証明を使用して、登録対象のパスキーがハードウェアでサポートされていることを確認します。

注

iOS と Android のいずれでも、Authenticator 構成証明は Apple および Google のサービスを利用して、Authenticator アプリの信びょう性を検証します。サービスの使用率が高いと、パスキーの登録が失敗する可能性があり、ユーザーはもう一度やり直す必要があります。 Apple および Google のサービスが停止している場合、Authenticator 構成証明は、サービスが復旧するまで構成証明を必要とする登録をブロックします。 Google Play Integrity サービスの状態を監視するには、「Google Play ステータスダッシュボード」を参照してください。 iOS App Attest サービスの状態を監視するには、「システムステータス」を参照してください。

ユーザーは保証されたパスキーのみを Authenticator アプリに直接登録できます。クロスデバイス登録フローでは、認証済みパスキーの登録はサポートされていません。

Authenticator の AAGUID

パスキープロファイル内で Authenticator Attestation Globally Unique Identifier（AAGUID）を指定することで、ユーザーが Authenticator のパスキーのみを使用できるように制限できます。

必要に応じて、[ + AAGUID の追加] を選択し、次の AAGUID を手動で追加することもできます。

Android 用 Authenticator: de1e552d-db1d-4423-a619-566b625cdc84
iOS 用の Authenticator: 90a3ccdf-635c-4729-a248-9b709135078f

以前に許可した AAGUID を削除した場合、許可されたメソッドを以前に登録したユーザーは、サインインに使用できなくなります。

Graph Explorer を使用して Authenticator でのパスキーを有効にする

Microsoft Entra 管理センターを使用するだけでなく、Graph エクスプローラーを使用して Authenticator でパスキーを有効にすることもできます。少なくとも認証ポリシー管理者ロールが割り当てられている場合は、認証システムの AAGUID を許可するように認証方法ポリシーを更新できます。

注

次の例では、テナントレベルの FIDO2 構成エンドポイントを使用します。パスキー管理のプロファイルベースのアプローチについては、「パスキーの有効化 (FIDO2)」を参照してください。

Graph Explorer を使用してポリシーを構成するには、次の手順を実行します。

Graph Explorer にサインインして、Policy.Read.All および Policy.ReadWrite.AuthenticationMethod のアクセス許可に同意します。

認証方法ポリシーを取得します:

GET https://graph.microsoft.com/v1.0/authenticationMethodsPolicy/authenticationMethodConfigurations/FIDO2

認証の適用を有効にし、Authenticator の AAGUID のみを許可するようにキー制限を適用するには、次の要求本文を使用して PATCH 操作を実行します。

PATCH https://graph.microsoft.com/v1.0/authenticationMethodsPolicy/authenticationMethodConfigurations/FIDO2

Request Body:
{
    "@odata.type": "#microsoft.graph.fido2AuthenticationMethodConfiguration",
    "isAttestationEnforced": false,
    "keyRestrictions": {
        "isEnforced": true,
        "enforcementType": "allow",
        "aaGuids": [
            "90a3ccdf-635c-4729-a248-9b709135078f",
            "de1e552d-db1d-4423-a619-566b625cdc84"

            <insert previous AAGUIDs here to keep them stored in policy>
        ]
    }
}

パスキー (FIDO2) ポリシーが正しく更新されていることを確認してください。

GET https://graph.microsoft.com/v1.0/authenticationMethodsPolicy/authenticationMethodConfigurations/FIDO2

Authenticator で Bluetooth の使用をパスキーに制限する

一部の組織では、パスキーの使用を含む Bluetooth の使用を制限しています。このような場合、組織がパスキー許可するには、パスキー対応の FIDO2 認証システムとの Bluetooth ペアリングのみを許可します。 Bluetooth の使用をパスキーのみにする構成方法について詳しくは、「Bluetooth が制限された環境でのパスキー」を参照してください。

Authenticator のパスキーの問題を解決する

このセクションでは、Authenticator でパスキーを使用するときにユーザーに表示される可能性がある問題と、管理者がそれらを解決するための考えられる方法について説明します。

Android プロファイルにパスキーを格納する

Android のパスキーは、保存されているプロファイルからのみ使用されます。パスキーが Android Work プロファイルに格納されている場合は、そのプロファイルから使用されます。パスキーが Android Personal プロファイルに格納されている場合は、そのプロファイルから使用されます。ユーザーが必要なパスキーにアクセスして使用できるようにするには、Android Personal プロファイルと Android Work プロファイルの両方を持つユーザーが、各プロファイルの Authenticator にパスキーを作成する必要があります。

認証強度の条件付きアクセスポリシーループの回避策

条件付きアクセスポリシーで 、すべてのリソース (以前は "すべてのクラウドアプリ") にアクセスするためにフィッシングに強い認証が必要な場合、Authenticator でパスキーを追加しようとすると、ユーザーはループに入ることができます。例えば次が挙げられます。

条件: すべてのデバイス (Windows、Linux、macOS、Windows、Android)
対象リソース: すべてのリソース (以前の "すべてのクラウドアプリ")
許可制御: 認証強度 – Authenticator でパスキーが必要

このポリシーにより、対象ユーザーはパスキーを使用して、Authenticator アプリを含むすべてのクラウドアプリケーションにサインインするように強制されます。 Android または iOS の Authenticator でパスキーを追加しようとすると、ユーザーはパスキーを使用する必要があります。

いくつかの回避策を次に示します。

アプリケーションをフィルター処理し、ポリシーターゲットをすべてのリソース (以前の "すべてのクラウドアプリ") から特定のアプリケーションに移行できます。まず、テナントで使用されているアプリケーションのレビューから始めます。フィルターを使用して Authenticator やその他のアプリケーションにタグを付ける。

サポートコストをさらに削減するために、パスキーの使用を義務化する前に、ユーザーによるパスキーの導入を促進するための社内キャンペーンを実施できます。パスキーの使用を適用する準備ができたら、次の 2 つの条件付きアクセスポリシーを作成します。

モバイルオペレーティングシステム (OS) バージョンのポリシー
デスクトップ OS バージョンのポリシー

ポリシーごとに異なる認証強度を必要とし、次の表に示すその他のポリシー設定を構成します。ユーザーに対して一時アクセスパス (TAP) を有効にするか、他の認証方法を有効にして、ユーザーがパスキーを登録できるようにします。

TAP は、ユーザーがパスキーを登録できる時間を制限します。これは、パスキー登録を許可するモバイルプラットフォームでのみ受け入れられます。

条件付きアクセスポリシー	デスクトップ OS	モバイル OS
Name	デスクトップ OS にアクセスするには、Authenticator のパスキーが必要です。	モバイル OS にアクセスするには、TAP、フィッシングに強い資格情報、またはその他の指定された認証方法が必要です。
状態	特定のデバイス (デスクトップオペレーティングシステム)。	特定のデバイス (モバイルオペレーティングシステム)。
Devices	N/A。	Android、iOS。
デバイスを除外する	Android、iOS。	N/A。
ターゲットリソース	すべてのリソース。	すべてのリソース。
制御を許可する	認証の強度。	認証の強度。¹
Methods	Authenticator のパスキー。	TAP、Authenticator のパスキー。
ポリシーの結果	Authenticator でパスキーを使用してサインインできないユーザーは、マイサインインウィザードモードに移動します。登録後、モバイルデバイスで Authenticator にサインインするように求められます。	TAP または別の許可されたメソッドを使用して Authenticator にサインインするユーザーは、Authenticator に直接パスキーを登録できます。ユーザーが認証要件を満たしているため、ループは発生しません。

¹ユーザーが新しいサインイン方法を登録するには、モバイルポリシーの許可制御が条件付きアクセスポリシーと一致してセキュリティ情報を登録する必要があります。

注

いずれの回避策でも、ユーザーは Register セキュリティ情報 を対象とする条件付きアクセスポリシーを満たす必要があります。または、パスキーを登録できません。 すべてのリソース ポリシーで他の条件を設定している場合は、パスキーの登録時にこれらの条件を満たす必要があります。

「承認されたクライアントアプリが必要」または「アプリ保護ポリシーが必要」の条件付きアクセス許可制御により、パスキーを登録できないユーザー

ユーザーが次の条件付きアクセスポリシーに含まれている場合、ユーザーは Authenticator にパスキーを登録できません。

条件: すべてのデバイス (Windows、Linux、macOS、Windows、Android)
対象リソース: すべてのリソース (以前は "すべてのクラウドアプリ")
許可制御: 承認されたクライアントアプリを要求するか、アプリ保護ポリシーを要求する

このポリシーは、Microsoft Intuneアプリ保護ポリシーをサポートするアプリを使用して、ユーザーにすべてのクラウドアプリケーションへのサインインを強制します。 Authenticator は、Android または iOS ではこのポリシーをサポートしていません。

いくつかの回避策を次に示します。

アプリケーションをフィルター処理し、ポリシーターゲットをすべてのリソース (旧称 "すべてのクラウドアプリ") から特定のアプリケーションに移行できます。まず、テナントで使用されているアプリケーションのレビューから始めます。フィルターを使用して適切なアプリケーションにタグを付ける。
モバイルデバイス管理 (MDM) と[ デバイスを準拠コントロールとしてマークする必要がある ] を使用できます。 MDM がデバイスを完全に管理し、準拠している場合、Authenticator はこの許可制御を満たすことができます。例えば次が挙げられます。
- 条件: すべてのデバイス (Windows、Linux、macOS、Windows、Android)
- 対象リソース: すべてのリソース (以前の "すべてのクラウドアプリ")
- 許可制御: 承認されたクライアントアプリを要求するか、 アプリ保護ポリシーを要求するか、 デバイスを準拠としてマークする必要があります
条件付きアクセスポリシーの一時的な除外をユーザーに付与できます。 1 つ以上の補正コントロールを使用することを検討してください。
- 一定期間だけ除外を許可します。パスキーの登録が許可されたら、ユーザーに通信します。期間の経過後に除外を削除します。その後、時間を逃した場合は、ヘルプデスクに電話するようユーザーに指示します。
- 別の条件付きアクセスポリシーを使用して、ユーザーが特定のネットワークの場所または準拠しているデバイスからのみ登録するように要求します。

注

提案された回避策では、ユーザーは Register セキュリティ情報 を対象とする条件付きアクセスポリシーを満たす必要があります。また、パスキーを登録できません。他の条件が [すべてのリソース ] ポリシーで設定されている場合は、ユーザーがパスキーを登録する前に、それらの条件も満たす必要があります。

Authenticator にパスキーを登録する

管理者が Authenticator でパスキーを有効にすると、ユーザーは iOS または Android デバイス上のアプリにパスキーを登録できます。

登録手順については、「Microsoft Authenticatorにパスキーを登録する」を参照してください。

登録後、ユーザーはデバイスの Authenticator のパスキーを使用してMicrosoft Entra IDにサインインできます。

サインイン手順については、「 Authenticator でのパスキーを使用したサインイン」を参照してください。

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-07-08