3行まとめ
- 第1弾の方針どおりパスキーをデバイス固定パスキーに絞ると、9月1日に登録キャンペーンが 「Microsoft管理」に設定されていてもパスキー登録を促す画面が出ません
- パスキー登録画面を出すために登録キャンペーンを「有効」＋パスキー (FIDO2) にすると、今度は『次へ』がQRコード経由のクロスデバイス登録へ向かい、構成証明が行われないため最終段階でEntraへの登録に失敗します
- デバイス固定パスキーで運用するなら、自動の案内は使えません。一旦延期して手順を配り、期限を切って登録してもらうのが無難です
はじめに
シリーズ第3弾です。第1弾で方針を、第2弾で延期の設定を紹介しました。
https://blog.cloudnative.co.jp/articles/Entra-ID-SMS-Voice-MFA/
前2弾は、管理者が何を決めて何を設定するかまでの話でした。その設定のまま展開計画を立てると、とくに利用者側で戸惑う要素がありますので解説します。
想定：第1弾の方針に基づき自社主導の展開計画を立案
第1弾では、同期パスキーを許容せずデバイス固定パスキーに絞る方針を紹介しました。パスキー (FIDO2) プロファイルで、構成証明の強制をオン、パスキーの種類を Device-bound（固定パスキー）で指定します。
そのうえで「ターゲット」でパスキー登録を促したいユーザーをセキュリティグループで指定します。（今回のケースなら、SMSをMFA手段として登録しているか、MFA手段としてSMSを利用可能にしているユーザーになります）
このような設定を行い、9月1日の自動有効化は第2弾の設定で延期し移行そのものは自社のスケジュールで進めるアプローチをとる組織は少なくないと思います。繁忙期を外して自分たちで案内を打つほうが、ヘルプデスクの体制まで含めて対応を組みやすくなります。
結論：デバイス固定なら、自動の案内は使えない
ところが想定に基づいてパスキープロファイルを設定し展開するとなると、登録キャンペーンの状態によって振る舞いが変化します。
なぜこのような振る舞いになるのか解説します。なお、第2弾で紹介した延期設定は展開していない想定です。
| 登録キャンペーンの状態 | 登録を促す画面 | 「次へ」に従った結果 |
|---|---|---|
| Microsoft 管理 | 表示されない | — |
| 有効＋認証方法「パスキー (FIDO2)」 | 表示される | USB接続のセキュリティキーであれば固定パスキーとして登録される。しかし、QR コード経由で登録した場合は、最終段階で拒否される |
問題1：「Microsoft 管理」では登録の画面が出ない
登録キャンペーンを「Microsoft 管理」にして、上記のパスキープロファイルを適用したSMSを認証手段に登録済みのユーザーでサインインするとSMSによるMFA を完了してもパスキー登録を促す画面は出ません。
この振る舞いは公式ドキュメントの制限事項に明記されています。
第1弾の構成は、デバイス固定・構成証明の強制を入れていますので、パスキー登録案内は出ません。
パスキー登録機能は有効化されるので、利用者が自分でセキュリティ情報から登録することはできます。案内が来ないだけ＝案内せずに放っておくと誰も登録しないでしょう。これはちょっと困った展開です。
なお、「Microsoft管理」設定でのキャンペーンの設定値は Microsoft 側の既定に置き換わります。
問題2：パスキー登録画面に従って操作するとパスキー登録に失敗する
「Microsoft 管理」だとパスキー登録案内画面が出ないので、登録キャンペーンを主導で有効にします。
状態を「有効」にして認証方法に「パスキー (FIDO2)」を指定すると、パスキー登録案内画面は表示されるようになりました。プロファイルの制限が登録案内画面表示の評価に使われるのは「Microsoft 管理」のときなので、手動で有効にしたキャンペーンはプロファイルと関係なくパスキー登録案内画面が表示されます。
サインイン直後に出る画面
「アカウントにサインインするには、パスキーを作成してください。アプリ、パスワード、コードは必要ありません」という案内です。大きく置かれているのは「次へ」で、「その他のオプション」は本文の下に小さなテキストリンクとして出ています。この配置なら、利用者のほとんどは「次へ」を押します。
「次へ」の行き先はクロスデバイス登録だが・・・最後で失敗
「パスキーを設定しています...」という待機画面になり、「デバイスでセキュリティ ウィンドウが開いています。指示に従ってパスキーの設定を完了します」と案内されます。ここで手順に従って進めていきスマートフォンを指定するとQR コードを読ませるクロスデバイス登録 に入ります。
クロスデバイス登録は、QR コードを読み取った側の端末にパスキーを作らせる仕組みですが、この方法では構成証明が行われず、Entraではデバイス固定パスキーとみなされません。
登録操作そのものは完了するのに、Entraへ登録する最後の段階で失敗します。プロファイルへの適合判定が、登録操作を終えたあとに行われる ためです。生体認証まで済ませたあとで突き放されるので、体感としてかなり悪い部類に入ります。
利用者からすれば「パスキーを作れと言われたので作った」だけなのですが・・・。
第1弾でも紹介していますが構成証明を強制している時点でクロスデバイス登録はサポート対象外なのです。
つまり、UIに従うと失敗してしまうのです・・・
正しい経路：「その他のオプション」から
「その他のオプション」を選ぶと「サインイン方法の追加」が開き、2つの選択肢が出ます。
| 選択肢 | 画面の説明文 | 実際に作られるもの |
|---|---|---|
| パスキー | 顔、指紋、PIN、またはセキュリティ キーでサインインします | 端末やブラウザ任せ。USB接続のセキュリティキー以外だと同期パスキーになりうる |
| Microsoft Authenticator のパスキー | 顔、指紋、PIN でサインインします | Microsoft Authenticator に保存されるデバイス固定パスキー |
選ぶのは下の「Microsoft Authenticator のパスキー」です。 上の「パスキー」は前述の「次へ」と同じ結果になります。
「Create a passkey in Microsoft Authenticator」の画面になります。ここの「次へ」は押してかまいません。 Authenticator アプリでの登録へ進みます。
進むと、ブラウザ側は「Authenticator アプリを開いてパスキーを作成してください」という待機画面になります。ブラウザは開いたまま資格情報の作成は Authenticator アプリが Entraと直接やり取りします。
Authenticator アプリの中で完結させる
ここから先はスマートフォン側の操作で、ブラウザは閉じないまま進めていきます。画面は Android です。
Microsoft Authenticator を開き、対象のアカウントをタップして「パスキーの作成」を選びます。（アカウント未追加の場合は「アカウントの追加」→「職場または学校アカウント」→「サインイン」からアカウントを追加します。）
パスキーを作成するプロセスでサインインとMFAが行われ、無事作成されるとブラウザ側も「パスキーが作成されました」という完了表示になります。結構時間制限厳し目なのでご注意ください。
設定の組み合わせと、そのときに起きること
ということで、設定によって導線がどう異なるかをまとめてみました。
デバイス固定パスキーで運用するなら、選べるのはB）C）の2つです。B）は導線がないため登録されず、C）は失敗する利用者が出ます。いずれにしても組織内への案内とヘルプ対応の工夫が必要です。
| パターン | パスキープロファイル | 登録キャンペーン | 登録案内の表示 | 利用者目線の結果 | 情シス目線の評価 |
|---|---|---|---|---|---|
| A）標準設定 | 制限なし（同期・デバイス固定とも許可） | Microsoft 管理 | 出る | 端末やブラウザ任せ。同期パスキー中心 | 案内は自動で流れるが、パスキーの保存先が幅広くなる |
| B）パスキープロファイルで制限 | デバイス固定＋構成証明（＋AAGUID 指定は任意） | Microsoft 管理 | 出ない | — | 統制は最も強い。登録案内が出ないため見落とされる。 |
| C）パスキープロファイルで制限しつつ手動でキャンペーン展開 | デバイス固定＋構成証明（＋AAGUID 指定は任意） | 有効＋パスキー (FIDO2) | 出る | 「次へ」だと登録方法次第では失敗。「その他のオプション」経由が必要なことも。 | 案内は出るが、主導線（次へ）がクロスデバイス登録に向かうため失敗者が出やすい |
組織内案内とヘルプ対応で用意しておくこと
組織内案内の工夫
選択肢は文章で説明せず、スクリーンショットを貼って 選ぶほうを囲んでおく のが確実です。
ヘルプ対応で聞くこと
失敗した利用者に、そのまま同じ手順をやり直させるとパスキーが複数登録されるといった懸念があります。
１）QR コードを読んだかどうか確認
読んでいれば「次へ」から入ったクロスデバイス登録で、落とし穴にハマっていると思われます。
２）端末に残ったパスキーを削除
「次へ」の経路で作られたパスキーは最終的にはEntraには登録されていないのに端末側だけに残ります。
サインインには使えないので、放置すると利用者が「パスキーでサインイン」を選んだときに候補として出てきて混乱のもとになると考えられます。保存先は QR コードを読んだ端末やブラウザによって変わりますので、利用者に心当たりを確認してもらってから削除します。
Microsoft Authenticator に残っている場合は、アカウントをタップして「設定」→「パスキーの削除」です。
３）手動でご案内するならキャンペーンに頼らない
セキュリティ情報の「+ サインイン方法の追加」から「Microsoft Authenticator のパスキー」でご案内します。
パスキーをサポートする端末か
端末側の実情も確認が要ります。要件は Android 14 以降・iOS 17 以降です（本記事のスクリーンショットもこの環境です）。ただし Android は、一部メーカーの Android 14 端末でパスキー登録ができない事例があり、公式は Android 15 へのアップグレードを推奨しています。全社展開の前に、自社の主要機種で検証しておくことをおすすめします。
まとめ
デバイス固定パスキーで運用するなら、9月1日開始の自動案内は当てになりません。「Microsoft 管理」では登録の画面が出ず、出すために登録キャンペーンを手動で有効にすると、今度は主導線がクロスデバイス登録へ向かっておりトラブルへの備えが必要です。
第2弾の延期設定で 9月1日をいったんやり過ごし、その間に案内とヘルプ手順を用意して期限を切って登録してもらうこともご検討ください。（延期設定でも2027年2月1日のSMS・音声廃止は動かないことはお忘れ無く・・・）
