Microsoft Entra IDパスワードレス認証の実装ガイド

Tech

本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。

Microsoft Entra IDパスワードレス認証の実装ガイド

Microsoft Entra ID（旧Azure Active Directory）におけるパスワードレス認証は、セキュリティの向上とユーザーエクスペリエンスの改善を両立させる現代の認証戦略です。本ガイドでは、クラウドアーキテクトの視点から、パスワードレス認証のアーキテクチャ、具体的な実装手順、運用監視、セキュリティ考慮事項、コスト、および導入時の一般的な落とし穴について詳しく解説します。

1. アーキテクチャ概要

Microsoft Entra IDが提供するパスワードレス認証方法は主に以下の3種類です。

  • FIDO2セキュリティキー: YubiKeyなどの物理的なセキュリティキーを利用。公開鍵暗号方式に基づき、フィッシング耐性が高く、最も強力なパスワードレス認証方式の一つです。

  • Windows Hello for Business (WHfB): Windowsデバイスに組み込まれた生体認証（指紋、顔）やPINを利用。デバイスと連携した強力な認証を実現します。

  • Microsoft Authenticatorアプリ: スマートフォンにインストールされたアプリを使用。プッシュ通知による承認、またはアプリ内で生成されるワンタイムパスコード（OTP）を利用します。

これらの認証方法は、いずれもユーザーがパスワードを入力することなく、Microsoft Entra IDに対して安全に認証を行うための基盤を提供します。

認証フローの例（FIDO2セキュリティキー）

FIDO2セキュリティキーを用いたパスワードレス認証の基本的なフローを以下に示します。

graph TD
    A["ユーザー"] --> |1. 認証リクエスト| B("Webアプリケーション/クライアント")
    B --> |2. 認証要求 (OpenID Connect/SAML)| C["Microsoft Entra ID"]
    C --> |3. パスワードレス認証プロンプト| A
    A --> |4. FIDO2セキュリティキーで生体認証/PIN| D["FIDO2セキュリティキー"]
    D --> |5. FIDO2認証応答 (署名済みアサーション)| C
    C --> |6. 認証成功 (トークン発行)| B
    B --> |7. リソースへのアクセス| E["保護されたリソース"]

フロー概要:

  1. ユーザーはWebアプリケーションやクライアントから認証を開始します。

  2. アプリケーションはMicrosoft Entra IDに認証要求をリダイレクトします。

  3. Microsoft Entra IDはユーザーに対し、FIDO2セキュリティキーでの認証を促します。

  4. ユーザーはFIDO2セキュリティキーを操作し、生体認証（指紋）やPIN入力を行います。

  5. セキュリティキーは認証情報を署名し、そのアサーションをMicrosoft Entra IDに送り返します。

  6. Microsoft Entra IDはアサーションを検証し、認証が成功すればIDトークンやアクセストークンをアプリケーションに発行します。

  7. アプリケーションは受け取ったトークンを使用して、保護されたリソースにアクセスします。

このアーキテクチャは、パスワード漏洩やフィッシング攻撃のリスクを大幅に低減し、多要素認証（MFA）をデフォルトで組み込むことでセキュリティを強化します[1]。

2. 設定手順

Microsoft Entra IDでのパスワードレス認証の実装は、以下のステップで進めます。

2.1. Microsoft Entra 管理センターでの認証方法ポリシー有効化

まず、Microsoft Entra 管理センターでパスワードレス認証方法を有効にする必要があります。

  1. Microsoft Entra 管理センターにサインインします。

  2. 左側のメニューで「保護」>「認証方法」>「ポリシー」を選択します。

  3. 「FIDO2 セキュリティ キー」、「Windows Hello for Business」、「Microsoft Authenticator」の各ポリシーをクリックします。

  4. それぞれ、以下の設定を行います。

    • 有効化: 「はい」を選択します。

    • ターゲット: 組織全体、または特定のMicrosoft Entraグループを選択します。推奨は特定のグループからテスト的に導入し、段階的に展開することです。

2.2. FIDO2セキュリティキーの設定（Graph API）

FIDO2セキュリティキーの有効化と管理は、Microsoft Entra 管理センターのUIだけでなく、Microsoft Graph APIを利用して自動化することも可能です。以下は、FIDO2認証方法ポリシーを有効化するPowerShellスクリプトの例です。

# 前提条件: Microsoft Graph PowerShell SDKがインストールされており、


#           AuthenticationMethods.ReadWrite.All 権限を持つ管理者として認証済みであること。


#           以下のコマンドで接続してください:


#           Connect-MgGraph -Scopes "AuthenticationMethod.ReadWrite.All"

# 変数定義

$fido2PolicyId = "Fido2" # FIDO2認証方法ポリシーの固定ID。Graph APIではFido2が使われます。
$targetGroupId = "a1b2c3d4-e5f6-7890-1234-567890abcdef" # 対象となるMicrosoft EntraグループのObjectID (例: 全ユーザー対象の動的グループ)

# FIDO2認証方法ポリシーの現在の状態を取得

Write-Host "FIDO2認証方法ポリシーの現在の状態を取得しています..."
try {
    $fido2Policy = Get-MgBetaPolicyAuthenticationMethodPolicy -AuthenticationMethodPolicyId $fido2PolicyId
    Write-Host "現在の状態:"
    $fido2Policy | Format-List state, @{Name='IsAllUsers'; Expression={$_.IncludeTargets.IsAllUsers}}, @{Name='TargetGroupId'; Expression={$_.IncludeTargets.Id}}
} catch {
    Write-Error "FIDO2認証方法ポリシーの取得に失敗しました: $($_.Exception.Message)"
}

# FIDO2認証方法ポリシーを有効化し、特定のグループに適用


# isAllUsersプロパティを$trueに設定すると、ターゲットグループIDの指定は不要ですが、


# より細かい制御のため特定のグループを指定する例を示します。

$updateParams = @{
    "@odata.type" = "#microsoft.graph.fido2AuthenticationMethodConfiguration"
    state = "enabled"
    is              = "default" # デフォルトのFIDO2構成を使用
    includeTargets = @(
        @{
            targetType = "group"
            id = $targetGroupId
            isAllUsers = $false
        }
    )
}

Write-Host "FIDO2認証方法ポリシーを有効化し、ターゲットグループに適用しています..."
try {
    Update-MgBetaPolicyAuthenticationMethodPolicy -AuthenticationMethodPolicyId $fido2PolicyId -BodyParameter $updateParams
    Write-Host "FIDO2認証方法ポリシーが正常に更新されました。"
} catch {
    Write-Error "FIDO2認証方法ポリシーの更新に失敗しました: $($_.Exception.Message)"
}

# 更新後のポリシー状態の確認

Write-Host "更新後のFIDO2認証方法ポリシーの状態を確認しています..."
try {
    $updatedFido2Policy = Get-MgBetaPolicyAuthenticationMethodPolicy -AuthenticationMethodPolicyId $fido2PolicyId
    Write-Host "更新後の状態:"
    $updatedFido2Policy | Format-List state, @{Name='IsAllUsers'; Expression={$_.IncludeTargets.IsAllUsers}}, @{Name='TargetGroupId'; Expression={$_.IncludeTargets.Id}}
} catch {
    Write-Error "更新後のFIDO2認証方法ポリシーの取得に失敗しました: $($_.Exception.Message)"
}

# 入力: Connect-MgGraphによる認証済みセッション、対象となるMicrosoft EntraグループのObjectID


# 出力: FIDO2認証方法ポリシーの現在の状態と更新後の状態がコンソールに表示される。


# 前提: Microsoft Graph PowerShell SDKがインストールされ、AuthenticationMethod.ReadWrite.All権限を持つアカウントで接続済み。


# 計算量: O(1) - Graph APIへのリクエストは定数回。


# メモリ条件: スクリプト実行に必要な最低限のメモリ。Graph APIレスポンスは通常小さい。

このスクリプトは、FIDO2ポリシーを有効化し、特定のグループに適用する例です。実際の運用では、$targetGroupId を適切なグループIDに置き換える必要があります。

2.3. Windows Hello for Business (WHfB) の設定

WHfBの展開には、Microsoft Intuneまたはグループポリシーオブジェクト（GPO）が一般的に使用されます。

  • Intune経由: Intuneでデバイス構成プロファイルを作成し、Windows Hello for Businessを有効にするポリシーを展開します。これはクラウド管理されたデバイスに最適です。

  • GPO経由: オンプレミスAD環境では、グループポリシー管理エディターを使用してWHfB関連のGPO設定（例: ユーザーの構成\ポリシー\管理用テンプレート\Windows コンポーネント\Windows Hello for Business）を構成します。

2.4. Microsoft Authenticatorアプリの設定

Microsoft Authenticatorアプリは、ユーザーが自分で登録する形式が一般的です。

  1. ユーザーはマイアカウントの「セキュリティ情報」ページ（https://mysignins.microsoft.com/security-info）にアクセスします。

  2. 「サインイン方法の追加」から「Authenticator アプリ」を選択し、画面の指示に従って登録を行います。

  3. スマートフォンにアプリをインストールし、表示されるQRコードをスキャンしてアカウントをリンクさせます。

2.5. 条件付きアクセスとの連携

Microsoft Entra ID P1またはP2ライセンスが必要な条件付きアクセス（CA）は、パスワードレス認証を特定の条件下で必須化し、セキュリティをさらに強化するために不可欠です[2, 3]。

条件付きアクセス ポリシーの例:

  • 「パスワードレス認証を必須化」ポリシー:

    • ユーザーとグループ: 全ユーザーまたは特定のユーザーグループ

    • クラウドアプリまたは操作: すべてのクラウドアプリ

    • 条件: (任意でデバイスの状態、場所などを追加)

    • 許可: 「多要素認証を要求する」と「セキュリティの既定値の利用を要求する」のチェックを外し、「FIDO2 セキュリティ キー」や「Windows Hello for Business」、「Microsoft Authenticator (パスワードレス)」を必須と設定。

    • セッション: サインインの頻度など

このポリシーにより、対象ユーザーは指定されたパスワードレス認証方法でしかサインインできなくなり、従来のパスワード認証を禁止できます。

3. 運用監視

パスワードレス認証の安定運用には、継続的な監視とログ分析が不可欠です。

3.1. 可観測性（ログ）

Microsoft Entra IDは、認証アクティビティに関する詳細なログを提供します[5]。

  • サインインログ:

    • 場所: Microsoft Entra 管理センター > 「監視と正常性」 > 「サインインログ」

    • 認証方法（例: FIDO2、Windows Hello for Business、Microsoft Authenticator）や結果（成功/失敗）をリアルタイムで確認できます。

    • 例: 2024年7月11日（JST）のFIDO2認証成功件数を確認。

  • 監査ログ:

    • 場所: Microsoft Entra 管理センター > 「監視と正常性」 > 「監査ログ」

    • 認証方法ポリシーの変更、ユーザーの認証方法登録/削除などの管理操作が記録されます。

    • 例: 2024年7月10日（JST）に認証管理者が行った認証方法ポリシーの変更履歴を確認。

これらのログは、Microsoft Entra Diagnostic Settingsを通じてAzure Monitor Log Analyticsワークスペースに送信し、Kustoクエリを用いた詳細な分析やアラート設定を行うことが推奨されます。

3.2. SLAとバックアップ/DR

Microsoft Entra IDは、高可用性と災害復旧（DR）機能が組み込まれたグローバルサービスであり、Microsoftによって運用・管理されています。Microsoft Entra IDのサービスレベルアグリーメント（SLA）は、月間99.9%の可用性を保証しています[6]。テナント管理者は、Entra ID自体のバックアップやDRについて個別に考慮する必要はほとんどありませんが、以下の点に留意が必要です。

  • 設定のバックアップ: 条件付きアクセスポリシーやカスタムロール定義など、テナント固有の設定はGraph APIやPowerShellスクリプトとしてエクスポートし、バージョン管理することがベストプラクティスです。

  • 物理デバイスの可用性: FIDO2キーやWHfBデバイスの紛失・破損に備え、代替の認証方法（例: Authenticatorアプリ）や緊急アクセス用アカウントのポリシーを計画しておく必要があります。

3.3. ユーザーサポートとトラブルシューティング

ユーザーからの問い合わせに迅速に対応できるよう、以下の準備が必要です。

  • ナレッジベース: 各認証方法の登録方法、よくある質問、トラブルシューティング手順をまとめたドキュメントを用意します。

  • ヘルプデスク教育: サポート担当者がパスワードレス認証の仕組み、ログの見方、一般的な問題解決方法を理解している必要があります。

  • 緊急アクセス手順: すべてのパスワードレス認証方法が利用できない場合の、一時的なパスワード発行や認証方法のリセット手順を明確にしておくことが重要です。

4. セキュリティ

パスワードレス認証の導入はセキュリティを大幅に向上させますが、適切な構成と運用が不可欠です。

4.1. アイデンティティと権限境界

  • Microsoft Entra ID ロール:

    • 認証管理者: 認証方法ポリシーやユーザーの認証方法を管理できます。このロールは必要最小限のユーザーに付与すべきです。

    • グローバル管理者: 全ての管理権限を持つため、パスワードレス認証の設定を含むあらゆる変更が可能です。緊急時のみ使用し、日常的な管理にはより限定されたロールを使用します。

    • 認証特権管理者: より限定的な認証関連の権限を持ちます。

  • 条件付きアクセス (CA): CAは、特定の認証方法（例: FIDO2セキュリティキー）が使用された場合にのみアクセスを許可したり、信頼された場所からのアクセスを必須とすることで、アイデンティティの権限境界を細かく制御できます。例えば、FIDO2認証が特定の重要アプリケーションへのアクセスに必須であるというポリシーは、強力なセキュリティ境界を確立します。

  • 管理デバイスの利用: 条件付きアクセスで、Microsoft Intuneで管理されたデバイスからのアクセスのみを許可することで、デバイスのセキュリティ状態も認証要件に組み込むことができます。

4.2. 認証方法の強度とリスク

FIDO2は公開鍵暗号方式を使用するため、フィッシング攻撃に対する耐性が最も高いです。WHfBもデバイスと連携しているため強力ですが、デバイスの物理的セキュリティが重要です。Authenticatorアプリはプッシュ通知による認証が便利ですが、SIMスワップ攻撃やデバイス盗難のリスクに注意が必要です。各認証方法のリスクを理解し、組織のセキュリティ要件に合わせて組み合わせることが重要です[1]。

4.3. Defender for Cloud Apps連携

Microsoft Defender for Cloud Apps（旧Microsoft Cloud App Security、MCAS）は、異常なサインイン試行やユーザー行動を検出し、パスワードレス認証環境における潜在的な脅威を特定するのに役立ちます。例えば、FIDO2認証が成功した後であっても、通常とは異なる地理的場所からのアクセスがあった場合などにアラートを発することが可能です。

5. コスト

Microsoft Entra IDパスワードレス認証の導入に関連するコストは、主にライセンスとデバイス費用に分けられます。

5.1. ライセンス体系

  • Microsoft Entra ID Free: 基本的なパスワードレス認証（Authenticatorアプリなど）は利用可能ですが、条件付きアクセスなどの高度なセキュリティ機能は利用できません[3]。

  • Microsoft Entra ID P1: FIDO2セキュリティキーやWindows Hello for Businessの利用、および条件付きアクセスの機能が含まれます。ほとんどの組織で推奨されるライセンスです。

  • Microsoft Entra ID P2: P1の機能に加え、Identity Protection（ユーザーやサインインのリスク検出）やJust-In-Timeアクセスなどの高度なセキュリティ機能が含まれます。より厳格なセキュリティ要件を持つ組織向けです。

FIDO2セキュリティキーによるパスワードレス認証自体に追加料金は発生しませんが、その管理や条件付きアクセスとの連携にはP1/P2ライセンスが必要となる点に注意が必要です[7]。

5.2. FIDO2デバイス費用

FIDO2セキュリティキーは物理的なデバイスであるため、ユーザー数に応じて購入費用が発生します。単価はベンダーや機能（NFC対応、指紋認証機能など）によって異なりますが、一般的に数千円程度です。予備キーの購入も考慮に入れる必要があります。

5.3. コスト最適化の考慮事項

  • 段階的導入: 最初は一部のユーザーや部門に限定してパスワードレス認証を展開し、その効果とコストを評価します。

  • 認証方法の選択: 全てのユーザーにFIDO2キーを配布するのではなく、業務要件やリスクレベルに応じてWHfBやAuthenticatorアプリを併用することで、デバイス費用を最適化できます。

  • 既存ライセンスの活用: 既にMicrosoft 365 E3/E5などのスイートライセンスを保有している場合、Microsoft Entra ID P1/P2が含まれている可能性があるため、既存契約を確認することが重要です。

6. 落とし穴とベストプラクティス

6.1. 計画の重要性

  • 事前のテスト: 小規模なパイロットグループで十分にテストし、潜在的な問題点やユーザーからのフィードバックを収集します。

  • 互換性: レガシーアプリケーションがパスワードレス認証（モダン認証）に対応しているか事前に確認します。場合によってはアプリケーションの改修やプロキシ利用が必要です。

6.2. ユーザー教育

  • パスワードレス認証は新しい体験であるため、ユーザーへの丁寧な説明とトレーニングが不可欠です。

  • FIDO2キーの紛失時の対応、PINの管理、Authenticatorアプリの利用方法などを明確に伝えます。

6.3. 段階的導入

一度に全ユーザーをパスワードレスに移行するのではなく、リスクの低い部門から、あるいは特定のアプリケーションから順次導入することで、導入時の混乱を最小限に抑えられます。既存のMFAと並行して運用し、徐々にパスワードレスへのシフトを促すのが現実的です。

7. まとめ

Microsoft Entra IDにおけるパスワードレス認証は、セキュリティと利便性を両立させる強力なソリューションです。FIDO2セキュリティキー、Windows Hello for Business、Microsoft Authenticatorアプリといった多様な選択肢を、組織の要件とリスク許容度に合わせて適切に組み合わせることで、強固な認証基盤を構築できます。

導入に際しては、アーキテクチャの理解、Microsoft Entra 管理センターやGraph APIを用いた正確な設定、条件付きアクセスによるセキュリティ強化、ログを活用した運用監視、そして適切なライセンスとデバイスの選定が成功の鍵となります。また、ユーザー教育と段階的な導入計画を立てることで、スムーズな移行を実現し、組織全体のセキュリティ postureを向上させることが可能です。

参考文献: [1] Microsoft Learn: パスワードレス認証の計画とデプロイ – Microsoft Entra ID. 2024年7月2日（JST）更新. Microsoft. [2] Microsoft Learn: 条件付きアクセスとは. 2024年7月5日（JST）更新. Microsoft. [3] Microsoft Learn: Microsoft Entra ID のライセンスの比較. 2024年6月10日（JST）更新. Microsoft. [4] Microsoft Learn: Microsoft Graph を使用して認証方法を管理する. 2024年6月25日（JST）更新. Microsoft. [5] Microsoft Learn: Microsoft Entra ID のレポートと監視. 2024年7月1日（JST）更新. Microsoft. [6] Azure SLA: Microsoft Entra ID のサービス レベル アグリーメント. 2023年10月1日（JST）更新. Microsoft. [7] Microsoft Entra ID の価格ページ. 2024年7月9日（JST）更新. Microsoft.

ライセンス：本記事のテキスト/コードは特記なき限り CC BY 4.0 です。引用の際は出典URL（本ページ）を明記してください。
利用ポリシー もご参照ください。

コメント

タイトルとURLをコピーしました