パスキーのデフォルト採用へ：マイクロソフトEntra IDにおける認証方法の進化と移行計画

解説

マイクロソフトは、サイバー攻撃が高度化する現代において、利用者や組織をフィッシングや不正なID情報窃取からより強力に保護するため、「パスキー」をMicrosoft Entra IDのデフォルトの認証方法として導入します。

これまで広く使用されてきたSMSや音声による二要素認証（MFA）は、攻撃者によって傍受や操作されるリスクが増しており、特にAI技術を活用したフィッシング攻撃は極めて危険性が高い状況です。このような脅威環境の変化に対応するため、マイクロソフトはより安全で利用しやすいパスキーへの移行を促しています。

この変更の具体的なスケジュールとして、2026年9月1日よりエンティティIDの認証体験においてパスキーがデフォルト化し始めます。その後もユーザーにはパスキー登録が推奨され、さらには2027年2月1日にはマイクロソフトによるSMS/音声認証の提供が終了します。

これ以降、SMSや音声が必要な場合は、Microsoft Security Store経由でサードパーティの通信キャリアパートナーを選択・利用する必要があり、関連する費用も利用者側が負担する仕組みとなる見込みです。全体として、パスキーへの移行はセキュリティ強化と利便性向上を両立させる重要なステップであり、早急な準備が必要です。

ポイント

• サイバー攻撃の高度化に対応するため、Microsoft Entra IDで認証方法のデフォルトが「パスキー」に変更される。
• SMSや音声による従来のMFAは安全性への懸念から2027年2月以降マイクロソフト提供が終了する。
• 組織は可能な限り速やかにユーザーをパスキー等、フィッシング耐性のある認証方式に移行する必要がある。
• 公式のMicrosoft Learnドキュメントおよび移行ガイドラインを参照し、自社の環境に最適なデプロイアプローチを策定すること。” ]

情シスへの影響

【重要】認証プロセス全体の大規模な変更と、一部サービスの利用不能リスク

1. 主要な影響範囲:

従来のMFAのコアな認証要素（SMS/音声による二要素認証）が廃止され、パスキー（Public-key cryptographyを利用する仕組み）が標準的な認証方式となる。

これに伴い、サインインプロセスやユーザー管理における設計上の変更が必要となり、実質的にID基盤全体の見直しが発生する。

1. 運用継続リスク:

最も注意すべき点は、2027年2月1日をもってマイクロソフト提供のSMS/音声認証が廃止されることである。この期限を過ぎると、当該方式に依存していたユーザーやシステムはサインインができなくなるという、重大な業務停止リスク（サービス不可）を抱える。

1. 代替手段の導入：

もし組織や規制上の要件によりSMS/音声認証が必須である場合、マイクロソフト提供ではなく、外部のサードパーティ通信キャリアパートナーを通じて契約・利用する形に切り替わるため、新たなベンダー選定とコスト管理が必要となる。

影響範囲

クラウド環境全体 (Microsoft Entra ID) の認証プロセスおよびユーザーサインイン体験。

対象：全てのユーザーアカウント。特にSMS/音声MFAに依存している全ユーザー。

影響箇所：ID基盤のポリシー設定、認証フローの実装（アプリケーション統合部分）、管理コンソールでの利用可能な機能。代替策としてサードパーティ連携を検討する場合、関連するコストと契約プロセスが関わる。

重要度

★★★★★

対象者

• セキュリティ担当者
• Entra管理者
• ネットワーク管理者

優先度

今すぐ対応

優先度の理由

本変更は認証の基本構造（パスキーへの移行）に関わるものであり、2027年2月1日という明確な廃止期限が設定されているため、放置すると利用停止に繋がる。AIによる脅威増加を背景にセキュリティ上の緊急性が非常に高く、「今すぐ対応」として、具体的な移行計画の策定と検証環境でのテスト開始が必要である。

不明点：自社環境でパスキー以外の代替方式が法律や規制によって必須かどうかは要確認。公式な遷移ガイドライン（Microsoft Learnなど）に基づき、詳細な技術検証を行うことが求められる。

確認手順

• Microsoft Entra IDの設定から、現在MFAに利用している認証方法のリストを収集し、その依存度を評価する。
• 組織内の全システムのうち、SMS/音声MFAを必須としているアプリケーションやワークフローを特定・網羅的に洗い出す。
• パスキーを利用するためのユーザー登録とガバナンスポリシーを策定し、初期導入検証（PoC）を実施する。
• 代替手段の継続利用が必要な場合のコストシミュレーションおよびサードパーティキャリアとの契約可能性について、事前に情報を収集する。
• 公式ドキュメントにて、パスキーの適用範囲や技術要件の詳細を確認する。