同期パスキーで足りる会社、ハードウェアキーが必要な会社

多くの企業では、端末やアプリに保存するパスキーでフィッシング耐性のある認証の要件を満たせます。セキュリティキーもパスキーを保存・利用する手段の一つで、対立するものではありません。セキュリティキーを選ぶ理由になるのは、端末やアプリに認証情報を持たせにくい環境的・組織的な制約がある場合です。

結論

判断基準は「認証情報をどこに置けるか」です。個人のスマートフォンや業務PCに置ける社員は、端末内の認証器や同期パスキーで足りる場合が多いです。ただし「置けるか」だけでなく、端末の故障・交換時の復旧手段、別の端末からも認証する必要があるか、組織として同期パスキーを許可するか、対象サービスがその方式に対応しているかもあわせて判断してください。置けない、または置くべきでない事情がある社員には、セキュリティキーを優先して検討してください。全社一律の判断ではなく、社員ごと・部署ごとに分けて考えることが、コストと運用負荷を抑える鍵になります。

パスキーの3つの方式

「パスキーかセキュリティキーか」という二択ではありません。パスキーは保存場所によって3つに分かれ、セキュリティキーはそのうちの一つです。Microsoft は「デバイス固定パスキー（device-bound passkeys）」と「同期パスキー（synced passkeys）」を区別し、前者の例として Microsoft Authenticator と FIDO2 セキュリティキーを、後者の例として Apple iCloud キーチェーンと Google パスワードマネージャーを挙げています。

方式	例	主な比較点
同期パスキー	Apple iCloud キーチェーン、Google パスワードマネージャー	同期先の管理、復旧のしやすさ、組織として許可するかの方針。アテステーションを強制する構成では利用できません
端末内のデバイス固定型パスキー	Microsoft Authenticator（Microsoft Entra ID 向け）、Windows Hello for Business	端末の管理、端末の故障・交換時の復旧。認証情報はその端末から出ません
セキュリティキー上のデバイス固定型パスキー	当社取扱製品、YubiKey	端末をまたいだ持ち運び、配布・保管の手間、紛失時の復旧

Microsoft Entra ID 向けの Microsoft Authenticator のパスキーはデバイス固定型です（管理者が作成するパスキープロファイルで「Device-bound」を選びます）。Windows Hello for Business も端末固有の資格情報を使い、生体情報は端末外へ出ません。いずれも同期パスキーではありません。

ハードウェアキーを優先して検討するケース

環境	推奨	理由
個人所有デバイスがあり、業務アプリのインストールを許可している	端末内の認証器や同期パスキーで足りることが多い	追加調達なしで要件を満たせる
スマホ持込禁止の区画で業務する	セキュリティキーが有力。ただし社用PCを持ち込めるなら端末内の認証器（Windows Hello for Business）やスマートカード・証明書認証も候補	スマートフォンを認証に使えない。何が使えるかは持ち込める機器による
共用端末・キオスク端末を複数人で使う	共通のキオスクアカウントで業務アプリだけ個人認証する端末は、個人に割り当てたセキュリティキー。Windows を個人アカウントで切り替える共用PCなら Windows Hello for Business も候補（1台あたり最大10ユーザー）	共通アカウントでは端末内の認証器を個人ごとに使えない。持ち運び・10人を超える共用が要件ならセキュリティキー。1本を複数人で共用する運用は不可
社用スマホが未支給で、私物スマホの業務利用も禁止している（BYOD禁止）	対象端末とIdPの運用による。社用PCがあり端末内の認証器を使えるなら、そちらで足りる場合がある	認証アプリを入れられる端末が無くても、PC側に認証器を持てるかで判断が変わる
特権アカウント（管理者権限）を持つ	フィッシング耐性のある認証を必須にする。手段はセキュリティキーに限らない	侵害時の影響が大きい。ただし物理キーだけがフィッシング耐性認証ではなく、端末固定型のパスキーも選択肢
委託先・派遣スタッフなど、社給端末の対象外の要員	対象端末とIdPの運用による。管理外の端末に認証情報を置きたくない場合はセキュリティキー	個人所有デバイスへの依存を避けたい。使用する端末と管理方針で判断が変わる
Windowsサインインや、ネットワーク接続前の認証が必要	まず Windows Hello for Business を検討。持ち運びや端末非依存が要件ならセキュリティキー	これだけを理由にセキュリティキーが必須とはいえない。端末内の認証器でも Windows サインインは可能

該当するケースについて、詳しい対応方法は次のページも参考にしてください。

• スマホ持込禁止の区画 → スマートフォン持込禁止の環境でのMFA
• 共用端末・Windowsログオン → 共用PC・キオスク端末の認証

必要本数の考え方

ハードウェアキーが必要な社員について、当社の推奨構成は、本番用とバックアップ用で1名2本、加えて未登録の在庫として予備10%です（FIDO2 の規格要件ではありません）。2本目は、利用するサービスにあらかじめ別の認証器として登録して初めてバックアップとして機能します。予備10%は未登録の在庫で、紛失・破損・中途入社のときに登録して使います。100名なら220本。PIV・OTPなど上位機能が必要な場合はiShield Key 2 Proページの計算機、FIDO2のみで足りる場合は無印iShield Key 2ページの計算機で人数から本数と概算が出ます。

出典

• Microsoft Learn（パスキー(FIDO2)認証方法。デバイス固定パスキーと同期パスキーの区別と例）：https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-passwordless
• Microsoft Learn（Authenticator のパスキーは Device-bound として設定する）：https://learn.microsoft.com/en-us/entra/identity/authentication/how-to-enable-authenticator-passkey
• Microsoft Learn（Windows Hello for Business は端末固有の資格情報を使う）：https://learn.microsoft.com/en-us/windows/security/identity-protection/hello-for-business/
• Microsoft Learn（フィッシング耐性パスワードレス認証の展開計画。Windows Hello for Business は各ユーザーが自分としてサインインするPCでのみ使い、共有アカウントのキオスク端末では使わない。1台あたり最大10ユーザー。2026-09-17 確認）：https://learn.microsoft.com/en-us/entra/identity/authentication/how-to-deploy-phishing-resistant-passwordless-authentication