数千人規模でEntra ID（旧Azure AD）とオンプレADを併用し、年次の内部監査があるような日本企業のID基盤担当者は、SMSや音声通話によるMFA（多要素認証）を、まだ主要な認証手段として使い続けている場合が多い。Microsoftは2026年9月1日からEntra IDの既定認証方式をパスキーへ切り替え、2027年2月1日にはSMS・音声認証の自社提供を完全終了する予定である[1]。この間にオプトアウト（適用除外）の余地は事実上なくなり、SMS・音声しか登録していない利用者はサインイン前にパスキー登録を強制される[1][2]。稟議や保守契約の見直しに時間がかかる大企業ほど、実質的な準備期間は残り半年程度しかない。今回の変更はEntra ID自体の認証方式ポリシーとサインイン画面の挙動を書き換えるもので、単なる推奨設定の追加ではなく、既定動作そのものの切り替えである点に注意が要る。本稿では、何を棚卸しし、いつまでに何を設定すべきかを整理する。
予備知識
- パスキー: パスワードを使わず、公開鍵暗号と生体認証や画面ロックで本人確認する認証方式。
- MFA（多要素認証）: パスワードに加え、もう1つ以上の要素で本人確認を行う仕組み。
- Conditional Access（条件付きアクセス）: サインイン時の場所やデバイス状態に応じて、アクセス可否や追加認証を動的に制御するEntra IDの機能。
- SSPR（セルフサービスパスワードリセット）: 利用者が管理者を介さず自分でパスワードを再設定できる仕組み。
Entra IDの認証方式ポリシーや管理画面の操作を体系的に把握でき、今回の設定変更点を実務に落とし込む際の基礎資料になる
Entra IDのパスキー既定化とは何か——2026年9月に何が変わるか
Entra IDのパスキー既定化とは、2026年9月1日からMicrosoftがパスキーをEntra IDの既定のフィッシング耐性認証方式として展開する変更である[1]。現時点でSMSまたは音声をMFA方式として有効化している利用者は、この日を境に自動的にパスキーの対象にも組み込まれる[1][2]。Microsoftの登録キャンペーン機能は「Microsoft管理」状態に設定され、対象ユーザーは次回MFAを完了する際にパスキー登録を促される[1][2]。対応するパスキーには、iCloudキーチェーンやGoogleパスワードマネージャーに同期される「同期パスキー」と、Microsoft Authenticator・Windows Entraパスキー（Windows Hello）・FIDO2セキュリティキーのような「デバイス固定パスキー」の2系統がある[1]。この時点ではまだ登録は任意で、サインインがブロックされることはない[1][2]。ただし情シス部門は、個人の同意クラウドに同期される方式を許可するか、端末に紐づく方式に限定するかを、この段階で方針として決めておく必要がある[1]。登録キャンペーンが「Microsoft管理」状態になると、既定の文言・タイミングでプロンプトが表示されるため、社内ヘルプデスクへの問い合わせ増加も見込んで準備しておくのが実務上は無難である[2]。
パスキーがなぜフィッシング耐性を持つのか、同期パスキーとデバイス固定パスキーの違いを技術的背景から理解できる
SMS・音声認証はいつ、どう終わるのか——2027年2月の強制移行とオプトアウト廃止
2027年2月1日、MicrosoftはEntra IDが提供するSMS・音声認証の配信を完全に終了し、これ以降はネイティブ機能として提供しない[1][2]。この日を境に、SMSまたは音声認証しか登録していない利用者には、サインイン前にパスキー登録を求める「ブロッキング」画面が表示され、登録を完了するまでサインインできなくなる[2]。ここにオプトアウトの選択肢はなく、テナントの規模や業種を問わず全社に強制適用される[1][2]。2026年9月1日から2027年2月1日までの間は、Microsoft Graph経由で認証方式ポリシーのpasskeyDynamicMigrationパラメーターをtrueに設定すれば、自動有効化を一時的に遅らせることができる[2]。ただし、この遅延はあくまで2月1日までの猶予であり、強制適用そのものを回避する手段ではない[2]。SMS・音声を業務上どうしても継続したい組織向けには、2026年10月30日からMicrosoft Security Storeでサードパーティーのテレコムプロバイダーを選択できるようになり、料金体系は2026年9月18日に開示される予定である[1]。
| 時期 | 認証方式の状態 | 利用者への影響 |
|---|---|---|
| 〜2026年8月 | SMS・音声が事実上の既定 | 従来通りSMS・音声でMFAを完了 |
| 2026年9月1日〜 | パスキーが既定化、SMS・音声利用者も自動的に対象化 | 次回MFA時にパスキー登録を促される（任意） |
| 2027年2月1日〜 | Microsoft提供のSMS・音声配信が終了 | SMS・音声のみの利用者はサインイン前の登録が必須、オプトアウト不可 |
社内向けのDNS運用は、長らくVPN専用機器やActive Directory統合DNSサーバーなど、パブリックDNSとは別建ての基盤で行われてきた。ネットワーク・インフラ運用チームにとって、この二重構成は監査ログの分断や設定ドリフトの温[…]
何を検証すべきか——デバイス対応状況とConditional Access・SSPRの事前設定
この移行で最初に検証すべきは、社内で使われているデバイスや接続方式がパスキーの登録・認証に対応しているかどうかである。Microsoftのドキュメントによれば、オンプレADのAD DSにのみドメイン参加している端末（EntraハイブリッドやEntra参加をしていない構成）へのパスキー展開はサポート対象外であり、ドメイン参加のみのWindowsサーバーはRDPセッションの確立中も内部でもパスキーを使用できない[3]。RDP・VDI・Citrixについても、WebAuthnリダイレクトを使わないセキュリティキー利用のシナリオは非対応とされており、対応させるにはEntraハイブリッド参加またはEntra参加への切り替えが推奨されている[3]。オンプレADと仮想デスクトップ環境を長年併用してきた企業ほど、この非対応領域に該当する端末を多く抱えている可能性が高い。Microsoftは対象ユーザー（SMS・音声のみの利用者）を洗い出すPowerShellスクリプトを提供しており、これを使った棚卸しがまず必要になる[2]。あわせて、Conditional AccessポリシーがSMS・音声を認証方式として名指しで許可・要求していないか、SSPRの本人確認手段がSMS頼みになっていないかも、この段階で点検しておくべき項目である[2]。SSPRの登録済みメール・セキュリティ質問など代替手段が併用されていない場合、SMS配信終了と同時にパスワード再設定の経路そのものを失う利用者が出かねない。
AWSは2025年後半から、ALB・NLB・KMS・ACM・CloudFront・Secrets Managerで、ML-KEM（Module-Lattice-Based Key-Encapsulation Mechanism、NI[…]
数千人規模の企業移行はなぜ半年で足りないのか——SIerの保守契約と稟議承認の構造
海外拠点や情報システム部門が直接設定変更できる組織であれば、方針決定から設定反映までは短期間で完結する。日本の数千人規模の企業では、Entra IDの運用をSIer（システムインテグレーター）への保守契約に委託しているケースが多く、認証方式ポリシーの変更は契約範囲の見直しや追加見積もりを要することが少なくない。さらに全社員のサインイン挙動に影響する変更であるため、情シス部門の判断だけで完結せず、稟議による承認と、内部統制上の変更管理記録が求められる組織も多い。海外グループ会社が先行してパスキー登録を進める一方、国内本社は稟議とSIerとの契約更新待ちで着手が遅れるという時差も起こりうる。年次の内部監査を受ける企業では、認証方式ポリシーの変更履歴や承認記録自体が監査証跡として扱われるため、稟議書と実際の設定変更日を突き合わせられる形で記録を残しておく必要がある。IT部門が今すぐ判断すべきは、AD DS単独構成やVDI環境の対象範囲を洗い出し、SIerとの契約変更要否を先に確認することである。決裁側が判断すべきは、2027年2月という期限から逆算した稟議・契約変更のスケジュールと、追加コストの発生有無である。
| 観点 | 海外拠点想定 | 日本本社想定 |
|---|---|---|
| 設定変更の主体 | 情シス部門が直接実施 | SIerへの保守委託が多い |
| 承認プロセス | 部門内決裁で完結しやすい | 稟議・内部統制上の変更管理が必要 |
| 着手の遅延要因 | 少ない | 契約見直し・稟議承認待ち |
⚠️ 結論：Sora 2（OpenAI）は提供終了しました Web版・アプリ版：2026年4月26日に提供終了（OpenAI公式ヘルプの案内）。 API：2026年9月24日に終了予定。 これ[…]
まとめ
IT部門担当者は、AD DS単独構成の端末やVDI・Citrix環境を優先して棚卸しし、パスキー登録・認証の対応可否を検証することが次の一手になる。決裁側は、2027年2月1日という期限から逆算し、SIerとの契約変更や稟議承認に要する期間を見積もったうえで、予算とスケジュールを早期に確定させる材料とすべきである。半年という期間は、稟議や保守契約の手続きを挟む企業ほど短く感じられる。
よくある質問（FAQ）
Q1. Entra IDのパスキー既定化とは何ですか。
A. 2026年9月1日から、MicrosoftがEntra IDの既定認証方式をパスキーに切り替える変更である。SMS・音声を使っている利用者も自動的にパスキーの対象に組み込まれる[1]。
Q2. SMS認証はいつ使えなくなりますか。
A. Microsoft提供のSMS・音声配信は2027年2月1日に終了する。それ以降、SMS・音声しか登録していない利用者はサインイン前にパスキー登録が必須になる[1][2]。
Q3. オプトアウトはできますか。
A. 2027年2月1日の強制適用にオプトアウトはない。2026年9月から2027年2月までの間は、Graph APIの設定で自動有効化を一時的に遅らせることはできる[2]。
