ユーザーとグループの整理が終わると、次に必ず向き合うことになるのが「サインインの安全性をどう固めるか」です。パスワードひとつでログインできてしまう状態は、いくら権限をきれいに設計しても足元がゆるいまま。そこでMicrosoft Entra ID（旧Azure AD）は、多要素認証（MFA）やパスワードレスといった認証まわりの仕組みを標準で用意しています。
ところが、いざMicrosoft Learnの認証まわりのドキュメントを開くと、「MFA」「SSPR」「FIDO2」「認証方法ポリシー」といった用語が一気に押し寄せてきて、どこから手をつければいいのか分からなくなりがちです。私自身、最初にこのあたりを触ったときは「MFAとパスワードレスって何が違うの？」でしばらく止まっていました。
「パスワードを盗まれても大丈夫にしたい。でもMFAって何を有効にすればいいの？パスワードレスって結局どれを選べば？」
この記事では、認証を固めるための3つの柱——多要素認証（MFA）、セルフサービスパスワードリセット（SSPR）、そしてパスワードレス認証——を、公式の正確さは押さえつつ、初心者がつまずく所を日本語で噛み砕いて解説します。読み終わるころには「サインインをどう守るか」の全体像が自分の言葉で説明できるようになります。
なお、Entra IDの全体像があやふやな方は、先に Microsoft Entra IDの基本機能と活用方法 に目を通しておくと、この記事の位置づけがはっきりします。本記事はその中の「認証の強化」を深掘りする子記事です。前回の ユーザー・グループ管理 で作ったユーザーたちを、今回は安全にサインインさせる、という流れですね。
多要素認証（MFA）を有効化する
まず認証強化の主役、多要素認証（MFA / Multi-Factor Authentication）です。名前は難しそうですが、考え方はとてもシンプルです。
玄関の鍵にたとえると分かりやすいです。パスワードだけのログインは「鍵1本」の状態。その鍵（パスワード）を落としたり盗まれたりしたら、他人がそのまま入れてしまいます。MFAは「鍵をもう1本、別の種類で追加する」仕組みです。1本目はパスワード（＝知っているもの）、2本目はスマホのアプリ承認や指紋（＝持っているもの／本人であること）。この2種類がそろわないとドアが開かないので、パスワードだけ盗まれても侵入されません。
認証要素は大きく3カテゴリに分けられます。この分類を押さえておくと、後のパスワードレスの話も一本の線でつながります。
- 知っているもの：パスワード、PIN、秘密の質問など
- 持っているもの：スマホ（Authenticatorアプリ）、セキュリティキー、SMSを受け取る電話
- 本人であること：指紋、顔認証などの生体情報
MFAとは、この異なるカテゴリから2つ以上を組み合わせること。だから「パスワード＋PIN」はどちらも『知っているもの』なのでMFAとは呼びません。「パスワード＋スマホ承認」のようにカテゴリをまたぐのが肝です。
サインイン時に実際どう見えるか
MFAが有効になっているユーザーがサインインすると、いつものパスワード入力のあとに追加の認証ステップが挟まります。もっとも一般的なのは、スマホのMicrosoft Authenticatorアプリに「サインインを承認しますか？」という通知が飛び、「承認」をタップすると通過する、という流れです。表示された数字をアプリ側でも入力させる「番号照合」が入るパターンもあり、これは「たまたま届いた通知を反射的に承認してしまう」事故を防ぐための仕組みです。
初回サインイン時には、この2要素目を登録（セットアップ）する画面が出ます。ユーザーは自分のスマホでAuthenticatorアプリを入れ、QRコードを読み取って紐づける、という一度きりの作業をします。ここは管理者ではなくユーザー本人がやる部分なので、社内展開するときは「この画面が出たらこう進めてね」という案内をセットで用意しておくとサポート問い合わせがぐっと減ります。
どこで有効化するか（P1がある/ない）
ここが初心者のつまずきどころです。MFAを有効にする入り口は、実はライセンスによって推奨される方法が変わります。
Entra ID P1以上のライセンスがある場合は、条件付きアクセス（Conditional Access）でMFAを要求するのが現在の王道です。「Entra管理センター」→「保護」→「条件付きアクセス」でポリシーを作り、『対象ユーザー：全員、付与：MFAを要求する』のように設定します。条件付きアクセスの強みは、状況に応じてMFAを出し分けられる点です。たとえば「社内ネットワークからは省略、社外からのアクセス時だけMFAを必須にする」といった柔軟な制御ができます。
無料版（ライセンスなし）の場合は、セキュリティの既定値群（Security defaults）を使います。「Entra管理センター」→「ID」→「概要」→「プロパティ」→「セキュリティの既定値群の管理」からオンにするだけで、全ユーザーにMFA登録が求められる、というシンプルな全体防御です。細かい出し分けはできませんが、「まずテナント全体を最低限守る」には十分で、小規模なら実はこれで足ります。
「細かく制御したいならP1＋条件付きアクセス、まず全体をサッと守るだけなら無料のセキュリティの既定値群」。この使い分けだけ覚えておけば迷いません。
なお、条件付きアクセスは奥が深く、この記事で扱うには話が大きくなりすぎるので、ここでは「MFAを賢く出し分ける仕組み」という位置づけの紹介にとどめ、別記事で改めて掘り下げます。まずは「MFAとは要素を2つ以上組み合わせること」「有効化はライセンスで方法が分かれる」の2点を押さえておけば十分です。
セルフサービスパスワードリセット（SSPR）を構成する
次はセルフサービスパスワードリセット（SSPR / Self-Service Password Reset）です。これは名前のとおり、ユーザーが管理者を介さず、自分でパスワードをリセットできるようにする機能です。
なぜこれが必要か。パスワードを忘れる人は必ず出ますし、月曜の朝イチに「パスワード忘れました」の問い合わせが集中する——というのは情シスあるあるです。SSPRを入れておくと、ユーザーは自分でロックを解除できるので、管理者の手間が減り、ユーザーも待たされずに済みます。地味ですが、実務でいちばん「入れてよかった」と感謝される機能のひとつです。
仕組み：本人確認してからリセット
「自分でリセットできる」と聞くと「それ、他人がなりすましてリセットできたら危なくない？」と不安になりますが、そこは考えられています。SSPRは、リセット前にあらかじめ登録しておいた認証方法で本人確認を行います。ここがMFAと考え方が地続きな部分です。
ユーザーは事前に、スマホの電話番号・別のメールアドレス・Authenticatorアプリ・秘密の質問といった連絡用の認証情報を登録しておきます。パスワードを忘れてリセット画面（aka.ms/sspr など）に来たら、その登録済みの手段にコードが飛び、それを正しく入力できた本人だけが新しいパスワードを設定できる、という流れです。だから「忘れた本人」しかリセットできません。
管理者側の設定ポイント
構成は「Entra管理センター」→「保護」→「パスワードリセット」で行います。最初に決めるのが「有効化する対象」で、選択肢はなし / 選択済み / 全員の3つです。いきなり全員に適用すると影響範囲が読みにくいので、まずはテスト用グループを『選択済み』で指定して試すのが安全な進め方です。前回の記事で作ったグループがここで活きてきます。
次に「認証方法」タブで、リセット時に何を本人確認に使うかといくつ必要にするかを決めます。実務では「必要な方法の数：2」にして、電話とメールなど複数を要求しておくと安全性が上がります。もう一つ大事なのが「登録」タブの「サインイン時に登録を必須にする」設定。これをオンにしておくと、ユーザーは初回サインイン時に連絡先情報の登録を促されるので、「いざ忘れたときに連絡手段が未登録でリセットできない」という本末転倒を防げます。
つまずきポイントとしては、SSPRの設定とMFAの登録が内部的につながっている点です。近年のEntra IDは「認証方法」を一元管理する方向に寄っているため、SSPR用に登録した電話番号がMFAでも使われる、といった具合に両者は連動します。「SSPRとMFAは別物」ではなく「登録した認証手段を共有している兄弟機能」とイメージしておくと、設定画面の重なりに戸惑わずに済みます。
パスワードレス認証の選択肢を理解する
最後は、認証強化の到達点ともいえるパスワードレス認証です。MFAは「パスワード＋もう1要素」でしたが、パスワードレスは発想が一段進んで、そもそもパスワードを使わないという考え方です。
「パスワードをなくして大丈夫なの？」と最初は不安になりますが、むしろ逆で、パスワードは攻撃の最大の弱点です。使い回し、フィッシング、総当たり——トラブルの多くはパスワード起点です。ならばパスワードそのものを無くしてしまえば、盗みようがない。パスワードレスは「弱点を強化する」のではなく「弱点そのものを消す」アプローチだと考えると腑に落ちます。
Entra IDが用意している代表的なパスワードレスの選択肢は、大きく次の3つです。それぞれ向いている場面が違うので、対比で押さえましょう。
1. Microsoft Authenticator（スマホで承認）
先ほどMFAの2要素目として登場したAuthenticatorアプリは、そのままパスワードレスのサインイン手段にもなります。パスワードを打つ代わりに、サインイン画面に表示された番号をスマホのアプリで照合し、生体認証やPINでロック解除して承認する、という流れです。追加のハードが不要で、すでに持っているスマホで始められるのが最大の利点。多くの組織にとって、パスワードレスの現実的な第一歩がこれです。
2. FIDO2セキュリティキー（物理キー）
FIDO2セキュリティキーは、USBやNFCで接続する物理的な鍵です。パソコンに挿してタッチする、あるいはかざすだけでサインインできます。仕組み上フィッシングに極めて強く、もっともセキュリティレベルが高い選択肢です。スマホを業務に持ち込めない製造現場や、金融・行政のように高いセキュリティが求められる環境で選ばれます。難点は物理キーの調達・配布・紛失管理といった運用コストがかかること。用途を絞って使うのが現実的です。
3. Windows Hello for Business（PC本体で完結）
Windows Hello for Businessは、Windows PCの顔認証・指紋・PINでそのままサインインする方式です。ふだんPCのロック解除に使っている顔や指紋が、そのまま業務アプリへのサインインにもなるイメージ。認証情報はそのPCのセキュリティチップ（TPM）内に閉じていて外に出ないため安全で、ユーザーから見ると「いつものロック解除でログインまで終わる」ので体感がとにかく快適です。会社支給のWindows PCで働く環境と相性が抜群です。
ざっくり選び方は「みんなのスマホで始めるならAuthenticator、最高強度が要るならFIDO2キー、会社PC中心ならWindows Hello」。まずはAuthenticatorから、で十分です。
これらの有効化は「Entra管理センター」→「保護」→「認証方法」→「ポリシー」で、方式ごとに『有効/無効』と『対象ユーザー（全員か特定グループか）』を設定していきます。ここでも、いきなり全員にではなく、まずテスト用グループで試してから広げるのが定石です。
まとめ
この記事では、Entra IDでサインインの安全性を固める3つの柱を、初心者がつまずく順に見てきました。要点を振り返っておきます。
- MFA：異なるカテゴリ（知っている／持っている／本人）から2つ以上を組み合わせる仕組み。有効化はP1なら条件付きアクセス、無料版ならセキュリティの既定値群で。
- SSPR：ユーザーが自分でパスワードをリセットできる機能。事前に登録した認証手段で本人確認する。まずテスト用グループに『選択済み』で適用するのが安全。
- パスワードレス：パスワードという弱点そのものを消すアプローチ。Authenticator（手軽）／FIDO2キー（最高強度）／Windows Hello（会社PC向け）を用途で使い分ける。
- SSPRとMFAは登録した認証手段を共有する兄弟機能。別物と身構えなくてよい。
ここまでできれば、「盗まれても入られないサインイン」の土台が固まりました。次のステップは、この記事で何度か顔を出した条件付きアクセス——「どんな状況のとき、誰に、どこまでのアクセスを許すか」を制御する世界です。そちらは話が大きくなるので、別記事で改めて掘り下げます。
あわせて読みたい：
