Microsoft Entra IDの同期Passkeysと高保証回復をプレビュー

はじめに：なぜ重要なのか

MFAの導入は継続的に進んでいますが、多くの組織では、ユーザーの摩擦、トレーニングの負担、ヘルプデスクコストに依然として課題があります。特に、ユーザーが認証方法へのアクセスを失った場合に顕著です。Ignite 2025でMicrosoftは、Entra ID向けの同期Passkeysと高保証のアカウント回復を発表しました。現在、パブリックプレビューとして提供されており、強力な認証をより展開しやすく、エンドユーザーにとってもシンプルにすることを目的としています。

変更点

1) 同期Passkeys（パブリックプレビュー）

同期Passkeysはパスワードを完全に排除し、ユーザーが生体認証またはデバイスPINでサインインできるようにします。PasskeysはiCloud KeychainやGoogle Password Managerなどのプラットフォームを介してデバイス間で同期されます。

Microsoftが強調する主なメリット：

• 従来方式よりサインイン成功率が高い（Microsoftのコンシューマーデータ：95% vs 30%）
• パスワード + コードベースMFAよりサインインが高速（14倍高速と記載）
• フィッシング耐性のある認証により、資格情報の窃取やOTPの傍受リスクを低減
• 主要プラットフォーム全体での広範なOSネイティブサポート

2) きめ細かな管理者制御のためのPasskeyプロファイル

一般的な展開上の懸念（登録時の摩擦、UXの不一致、ヘルプデスクチケット）に対応するため、Entra IDではPasskey認証のグループベース構成を導入します。

管理者はグループごとに、次のような要件を定義できます：

• Attestation要件
• Passkeyの種類（デバイスバインド vs 同期）
• 特定のPasskeyプロバイダーの制御

これにより、Passkeysはテナント全体の単一トグルから、実環境のペルソナやリスクプロファイルに合わせたポリシードリブンの展開モデルへと移行します。

3) ID + 生体認証による高保証のアカウント回復（パブリックプレビュー）

ユーザーが通常のサインイン方法（Passkeysを含む）へのアクセスを失うと、回復プロセスが弱点になり、なりすましやソーシャルエンジニアリングの標的になりがちです。Microsoftの新しい回復フローは、政府発行IDの検証とAIによる生体照合を組み合わせます。

仕組み：

• ユーザーはEntraのサインイン体験で**「Recover my account」**を選択
• リモートの書類検証（例：運転免許証、パスポート）を実施
• Azure AI servicesを利用したMicrosoft Entra Verified ID Face Checkにより、Face Check（ライブネス + 自撮り画像をID写真と照合）を実行
• Entra IDが検証済み属性（例：氏名/住所）を組織のディレクトリ/HRシステムと照合
• 回復後、将来のロックアウトを減らすために同期Passkeyの登録を促す

組織はMicrosoft Security StoreからID検証プロバイダーを選択できます：Idemia, LexisNexis, and AU10TIX。対象は192か国にわたります。

IT管理者とエンドユーザーへの影響

• パスワードリセットや脆弱な回復手段を減らし、ヘルプデスクの件数とコストを低減
• フィッシング耐性認証と強固な回復制御を推進し、セキュリティ態勢を改善
• グループスコープのPasskeyプロファイルと段階的有効化により、展開の予見性が向上
• コード入力や失敗が減り、ガイド付きの回復導線により、エンドユーザー体験が改善

アクション項目 / 次のステップ

1. 管理されたユーザーグループで同期Passkeysをパイロットし、デバイス/プラットフォームの準備状況とユーザー向けコミュニケーションを検証する。
2. ペルソナ（例：現場担当、契約社員、特権管理者）別にPasskeyプロファイルを作成し、プロバイダー/attestation要件を定義する。
3. アカウント回復要件（プライバシー、コンプライアンス、HR属性の照合）を評価し、本番有効化前にシミュレーションを実施する。
4. Microsoft Security StoreでIDVプロバイダーを選定し、回復シナリオの運用サポートを計画する。

ライセンスに関する注記

• Passkeys: すべてのMicrosoft Entra ID顧客に含まれる
• アカウント回復: Microsoft Entra ID P1に含まれる
• Face Check: 検証ごとのアドオン、またはMicrosoft Entra Suiteに含まれる
• 政府発行IDチェック: Microsoft Security Store経由の検証ごとの従量課金