条件付きアクセス: 認証転送 (プレビュー)

認証転送は、MICROSOFT アプリ用の PC からモバイルへのクロスデバイス サインインを簡略化する認証フローです。 ユーザーは、PC 上の認証済み Microsoft アプリの QR コードを使用して、資格情報を再入力せずにモバイル デバイス上の同じアプリにサインインできます。 認証転送では、複数のプラットフォームでユーザーを接続することで、ユーザーエンゲージメントが向上します。

前提条件

• 認証転送を管理する条件付きアクセス ポリシーの対象となる各ユーザーには、Microsoft Entra ID P1 ライセンスが必要です。 ライセンスの詳細については、「 条件付きアクセスの展開を計画する」を参照してください。
• 認証転送を管理する条件付きアクセス ポリシーを作成または変更するには、少なくとも 条件付きアクセス管理者としてサインインします。
• 認証転送は、すべてのユーザーに対して既定で有効になっています。 ユーザーがこの機能を使用するために初期構成は必要ありません。

認証転送のしくみ

認証転送を使用すると、デスクトップ PC からモバイル デバイスなど、あるデバイスから別のデバイスに認証要求を転送できます。 次の手順では、フローについて説明します。

1. ユーザーは PC でサポートされている Microsoft アプリにサインインし、多要素認証 (MFA) を含む必要な認証を完了します。
2. アプリには、ユーザーがモバイル デバイスでスキャンできる QR コードが表示されます。
3. ユーザーは、モバイル デバイスでサポートされている Microsoft アプリを使用して QR コードをスキャンします。
4. Microsoft Entra ID は、ターゲット モバイル アプリに適用されるすべての条件付きアクセス ポリシーを評価します。
5. ポリシーが満たされている場合、認証要求はモバイル デバイスに転送され、ユーザーは自動的にサインインします。
6. ポリシーが満たされていない場合、転送は失敗し、ユーザーはモバイル デバイスで手動でサインインするように求められます。

認証転送では、認証要求のみが転送されます。 デバイスに関連する要求 (デバイスコンプライアンス状態など) は、ターゲット デバイスに転送されません。 モバイル デバイスは、デバイス ベースの条件付きアクセスの要件を個別に満たす必要があります。

ユーザーが認証転送を実行すると、セッションは プロトコル追跡と見なされます。 プロトコル追跡は、後続のトークン更新によってセッション状態が保持されることを意味します。 同じセッション内での後続のサインイン試行は、認証転送を使用しない場合でも、認証フロー ポリシーの適用の対象となる可能性があります。

サポートされているアプリ

認証転送は、クロスデバイス QR コード フローをサポートする Microsoft アプリで使用できます。 たとえば、デスクトップ 版の Outlook に QR コードが表示され、モバイル デバイスでスキャンされると、認証された状態がモバイル バージョンの Outlook に転送されます。 サポートはアプリとバージョンによって異なります。 関連する Microsoft アプリのドキュメントを調べて、認証転送がサポートされているかどうかを確認します。

エンドユーザーのエクスペリエンス

認証転送エクスペリエンスは、複数のデバイス間で作業するユーザーの摩擦を軽減するように設計されています。

デスクトップ (ソース デバイス):

• ユーザーは、PC でサポートされている Microsoft アプリにサインインしています。
• QR コードがアプリ内に表示され、セッションをモバイル デバイスに転送できます。

ターゲットとなるモバイルデバイス:

• ユーザーがサポートされている Microsoft アプリを開き、QR コードをスキャンします。
• すべての条件付きアクセス ポリシーが満たされている場合、ユーザーは資格情報を再入力したり、MFA をもう一度完了したりすることなく、自動的にサインインします。
• モバイル デバイスに対して条件付きアクセス ポリシーが満たされていない場合、ユーザーは手動でサインインするように求められます。 ユーザーは、MFA を完了するか、モバイル デバイス上の他の要件を満たす必要がある場合があります。

認証転送と条件付きアクセス

認証の転送中に、すべての Microsoft Entra 条件付きアクセス ポリシーが評価されます。 ポリシーが認証転送とどのように対話するかを理解することで、ユーザーの生産性を維持しながら組織をセキュリティで保護できます。

認証クレームは転送されますが、デバイスクレームはされません。

• 認証転送では、認証要求のみが転送されます。 コンプライアンス状態や管理状態などのデバイス関連の要求は転送されません。
• 条件付きアクセス ポリシーでデバイスコンプライアンスまたは管理対象デバイスが必要な場合、モバイル デバイスは個別にこれらの要件を満たす必要があります。

既に完了している場合、MFA はもう一度必要ありません。

• ユーザーが PC で MFA を完了した場合、認証転送中にモバイル デバイスで MFA を再度実行する必要はありません。

条件付きアクセス ポリシーは、転送前に評価されます。

• 条件付きアクセス ポリシーは、認証転送が完了する前に評価されます。 モバイル デバイスのポリシーが満たされていない場合、ユーザーは手動でサインインするように求められます。

Microsoft 以外の MDM バイパス:

• 認証転送は、モバイル デバイスに認証を転送するときに、Microsoft 以外のモバイル デバイス管理 (MDM) ソリューションをバイパスします。 このバイパスは、Microsoft 以外の MDM ソリューションに依存してアクセス制御を適用する組織が、認証転送中にセキュリティ 上のギャップを抱えている可能性があることを意味します。 組織で Microsoft 以外の MDM ソリューションを使用している場合は、影響を受けるユーザーまたはアプリの 認証転送をブロック することを検討してください。

プライマリ更新トークン (PRT) の再認証:

• プライマリ更新トークンなどのセッション トークンが保護されている場合でも、ユーザーは PC で認証転送を開始するために再認証する必要があります。 PC で再認証した後、ユーザーはモバイル アプリで再認証する必要はありません。

既知の制限

組織で認証転送を有効または管理する前に、次の制限事項を確認してください。

• デバイスクレームは転送されません。 モバイル デバイスへの認証要求転送のみ。 デバイス コンプライアンス、マネージド状態、およびその他のデバイス関連の要求は、モバイル デバイス上で個別に満たす必要があります。
• Microsoft 以外の MDM バイパス。 認証転送では、Microsoft 以外の MDM ソリューションがバイパスされます。 モバイル アクセス制御のために Microsoft MDM 以外に依存している組織は、セキュリティへの影響を評価する必要があります。 詳細については、 認証転送のブロックに関するゼロ トラスト ガイダンスを参照してください。
• Microsoft アプリのみ。 認証転送は、Microsoft アプリでのみ使用できます。 Microsoft 以外のアプリでは、このフローはサポートされていません。
• プロトコルの追跡。 ユーザーが認証転送を実行すると、セッションは プロトコルで追跡されます。 同じセッション内の他のサインイン試行は、別の認証フローを使用している場合でも、認証フロー ポリシーの対象となる可能性があります。
• PRT 再認証が必要です。 ユーザーは、既存のプライマリ更新トークン セッションであっても、認証転送を開始するために PC で再認証する必要があります。

セキュリティの考慮事項

Microsoft では、組織がユーザーに対して認証転送が必要かどうかを評価することをお勧めします。 ID を保護するためのゼロ トラスト ガイダンスでは、セキュリティのベスト プラクティスとして認証転送をブロックすることをお勧めします。

認証転送をブロックすると、デバイス トークンを使用して他のデバイスでサイレント認証を行うのを防ぐことで、トークンの盗難やリプレイ攻撃から保護できます。 認証転送が有効になっている場合、1 つのデバイスにアクセスする脅威アクターは、標準の認証とデバイスコンプライアンスチェックをバイパスして、承認されていないデバイス上のリソースにアクセスする可能性があります。

次の推奨事項を検討してください。

• クロスデバイス サインインのビジネス ニーズが文書化されていない限り、認証転送をブロックします。 条件付きアクセス ポリシーを使用して 、認証の転送をブロックします。
• 最初にレポート専用モードを使用して、ブロックを適用する前に、組織で認証転送がどのように使用されるかを理解します。
• 認証の転送をブロックするポリシーから緊急アクセス アカウントを除外します。

サインイン ログ内の認証転送

管理者は 、Microsoft Entra サインイン ログ を確認して、ユーザーが認証転送を使用してサインインしているかどうかを確認できます。 認証転送イベントは戻って表示され、最初のイベントには認証方法として QR コードが表示されます。

サインインのプロトコル追跡状態を確認するには、サインイン イベントを選択し、[アクティビティの詳細: サインイン] ウィンドウの [基本情報] 部分で [元の転送方法] プロパティを見つけます。 認証転送が実行されたセッションの場合、元の 転送方法 は 認証転送に設定されます。

特定のユーザーとアプリの認証転送を管理する

認証転送は、すべてのユーザーに対して既定で有効になっています。 管理者は、条件付きアクセス ポリシーと 認証フロー 条件を使用して認証転送を管理します。 この条件により、認証の転送が特定のユーザー、アプリに制限されるか、機能が完全に無効になります。

認証転送では、ユーザーをモバイル アプリにサインインする前に、該当するすべての条件付きアクセス ポリシーがチェックされます。 必要な条件が満たされていない場合、ユーザーはモバイル アプリにサインインするように求められます。

認証転送条件を使用するポリシーを作成するには、「 条件付きアクセス ポリシーによる認証転送のブロック」を参照してください。

Troubleshooting

認証転送に関する問題をトラブルシューティングするには、次の手順に従います。

ユーザーの認証転送が失敗する:

1. 認証転送イベントの サインイン ログ を確認します。 QR コード認証方法のエントリを探します。
2. サインイン イベントを選択し、[ 条件付きアクセス ] タブに移動して、評価されたポリシーと、転送がブロックされたかどうかを特定します。
3. ターゲット モバイル デバイスが、デバイスコンプライアンスや場所ポリシーを含むすべての条件付きアクセス要件を満たしていることを確認します。

認証転送を使用した後の予期しないブロック:

1. 以前の認証転送またはデバイス コード フロー セッションからの プロトコル追跡 状態によってサインインがブロックされているかどうかを確認します。
2. サインイン ログで、ブロックされているサインインを選択し、[基本情報] セクションの [元の転送方法] プロパティを確認します。 認証転送またはデバイス コード フローが表示されている場合、セッションはプロトコルで追跡されました。
3. 認証フロー ポリシーがすべてのアプリケーションに適用される場合は、エラー コード AADSTS530036が表示されることがあります。 このエラーは、条件付きアクセスによる認証フローチェックが原因で更新トークンが無効であることを示します。

ユーザーは認証転送を開始できません。

• 条件付きアクセス ポリシーがユーザーの認証転送を管理する場合は、ユーザーに Microsoft Entra ID P1 ライセンスが割り当てられているかどうかを確認します。
• 条件付きアクセス ポリシーによって、ユーザーのグループまたはターゲット アプリの認証転送がブロックされていないことを確認します。
• ユーザーがソース デバイスとターゲット デバイスの両方でサポートされている Microsoft アプリを使用されていることを確認します。

認証フローのトラブルシューティングの詳細については、「 予期しないブロックのトラブルシューティング」を参照してください。

関連するコンテンツ

• 条件付きアクセス ポリシーを使用して認証転送をブロックする
• 条件付きアクセス: 認証フロー
• 条件付きアクセス: 条件
• 条件付きアクセスの展開を計画する
• ゼロ トラスト ガイダンス: ID を保護する