Microsoft Entra ID のSMS・音声認証廃止とパスキー移行

Microsoft Entra IDは2026年9月1日から、パスキーを既定の認証体験にします。SMS・音声が有効なユーザーは認証方法ポリシー上で自動的にパスキーが有効化され、MFAサインイン時に登録を促されます。2027年2月1日にはMicrosoft提供のSMS・音声配信が終了し（グローバル管理者と外部ユーザーは2027年7月1日）、以降はSMSまたは音声のみのユーザーはサインイン時にパスキー登録が必須になります。

何が、いつ変わるのか（2026年9月1日／2027年2月1日／2027年7月1日の3段階）

2026年9月1日：SMS・音声が有効なユーザーは、認証方法ポリシー上で自動的にパスキーが有効化されます。登録キャンペーンの対象になり、MFAサインイン時にパスキー登録を促されますが、この時点では一時的なオプトアウトが可能です。

2027年2月1日：グローバル管理者と外部ユーザーを除くすべてのユーザーで、Microsoft提供のSMS・音声の配信が終了します（内部ゲストユーザーはこの2月1日の対象です）。同日以降、利用可能なMFA手段がSMSまたは音声のみのユーザーは、サインイン時にパスキー登録が必須になります。このプロンプトはブロッキング形式で、オプトアウトはできません。

2027年7月1日：グローバル管理者と外部ユーザーについて、Microsoft提供のSMS・音声の配信が終了します。同日以降の扱いは2月1日と同じで、SMSまたは音声のみのユーザーはサインイン時にパスキー登録が必須になり、オプトアウトはできません（Microsoft Learn「SMS・音声の廃止」2026年9月16日更新版で確認）。

「SMSが使えなくなる」わけではない（顧客管理テレコムという選択肢）

廃止されるのはMicrosoft提供のテレコム配信であり、SMS・音声認証という仕組み自体が使えなくなるわけではありません。業務上・規制上の理由でSMS・音声を使い続ける必要がある場合は、Microsoft Security Store経由で自社管理のテレコム事業者を構成すれば、廃止日以降も継続利用できます。Microsoft は、テレコム事業者の情報を2026年9月18日から Security Store で公開し、2026年10月30日から事業者を選択・構成できるとしています（Microsoft Learn、2026-09-17 確認）。自社の廃止日（2027年2月1日、グローバル管理者・外部ユーザーは2027年7月1日）までに構成を済ませてください。

自社に影響があるかを確認する

まず、SMS・音声認証を使用中のユーザーを洗い出してください。Microsoftが提供するPowerShellスクリプトで抽出できます。詳細はMicrosoft Learn「SMS・音声の廃止」の該当セクションをご確認ください。

移行の進め方

1. 管理者: SMS・音声認証を使用中のユーザーを洗い出す。Microsoftが提供するPowerShellスクリプトで抽出できます
2. 管理者: 認証方法ポリシーでパスキー（FIDO2）を有効にし、登録キャンペーンを構成する（まずパイロットグループに限定することを推奨）。パスキー（FIDO2）自体はEntra ID Freeを含む全プランで使えますが、特定デバイスからのみセキュリティキーを要求するといった条件付きアクセスの細かい制御にはEntra ID P1以上が必要です。管理画面での設定手順はMicrosoft Learn「Microsoft Entra ID でパスキー(FIDO2)を有効にする方法」をご確認ください
3. 管理者（オンプレミスの Active Directory リソースへのアクセスが必要な場合）: Intune の設定だけでは完結しません。Microsoft Entra Kerberos サーバーオブジェクトをオンプレミスの Active Directory に作成して Microsoft Entra Connect で発行すること、対象デバイスが Windows 10 バージョン2004以降で Microsoft Entra 参加またはハイブリッド参加であること、ドメインコントローラーが Windows Server 2016 以降で所定の更新プログラムを適用済みであることが前提です。詳細はMicrosoft Learn「オンプレミス リソースへのパスワードレス セキュリティ キー サインイン」をご確認ください
4. ユーザー: 自分のセキュリティ情報からセキュリティキーを登録する（キーのPINを設定し、キーにタッチして登録します）。画面ごとの操作は上記の Microsoft Learn をご確認ください
5. 管理者: 登録済みユーザーで実際にサインインして動作確認する。紛失時に備え、一時アクセスパス（TAP）の発行体制と代替認証手段を事前に文書化しておく

端末内のパスキーで足りるか、セキュリティキーが必要か

社用スマホがあり、Microsoft Authenticator をインストールできる社員は、Authenticator のパスキーで移行が完結します。これは同期パスキーではなくデバイス固定型のパスキーで、Entra ID のパスキープロファイルでも「Device-bound」として扱います。社用PCがある場合は Windows Hello for Business も同じくデバイス固定型の選択肢です。セキュリティキーを優先して検討するのは、会社支給端末がない、スマホ持込禁止、共用端末を使うなど、端末に認証情報を置けない社員です。判断基準の詳細は同期パスキーで足りる会社、ハードウェアキーが必要な会社をご覧ください。ハードウェアキーが必要な社員については、当社の推奨構成は、本番用とバックアップ用で1名2本、加えて未登録の在庫として予備10%です（FIDO2 の規格要件ではありません）。2本目は、利用するサービスにあらかじめ別の認証器として登録して初めてバックアップとして機能します。予備10%は未登録の在庫で、紛失・破損・中途入社のときに登録して使います。100名なら220本。製品ページの計算機で人数から本数と概算が出ます。

登録を許可する機種を限定する

登録を許可する機種を限定する運用は、各製品ページのAAGUIDを参照してください：Swissbit iShield Key 2、GoTrust Idem Key、AuthenTrend ATKey.Pro、VinCSS FIDO2 Fingerprint。他社製品（YubiKeyなど）を含めた一覧はFIDO2セキュリティキー AAGUID 一覧をご覧ください。

よくあるご質問

セキュリティキーを紛失した場合はどうすればよいですか？

管理者はEntra管理センターから該当ユーザーのセキュリティキーを即時無効化できます。あわせて、予備のキーや Microsoft Authenticator のパスキーなど別の認証手段を事前に登録させておくことで、紛失時のアクセス断を防げます。一時アクセスパス（TAP）は、利用者が事前に登録しておく予備の認証手段ではありません。管理者が発行する有効期間つきのコードで、新しい認証方法の登録や、認証手段を失ったときの復旧に使います。

オフライン環境ではセキュリティキーでサインインできますか？

制限があります。事前にオンライン状態でセキュリティキーによるサインインを一度完了していれば、その後のオフライン環境でのロック解除に利用できます。ただし、完全なオフラインでの初回サインインには対応していません。

S/MIMEや「別のユーザーとして実行」にも使えますか？

FIDO2 によるサインインでは対応していません。S/MIME証明書認証、「別のユーザーとして実行」、Windows Serverへのサインインでは、FIDO2 以外の認証方法が必要です。これは FIDO2 という認証方式の制限で、セキュリティキーという製品の制限ではありません。PIV に対応した製品（当社では iShield Key 2 Pro、GoTrust Idem Key）では、証明書を使う別の構成をとれる場合があります。要件がある場合はご相談ください。

複数のMicrosoft Entraアカウントを1本のキーで使い分けられますか？

可能です。ただし、Windowsデバイスへのサインイン時はキーに最後に追加されたアカウントがデフォルトとして扱われます。WebAuthn対応のブラウザやアプリでは、認証時にアカウントを手動選択できます。

出典

• Microsoft Learn（一時アクセスパス（TAP）は管理者が発行する有効期間つきのコード）：https://learn.microsoft.com/en-us/entra/identity/authentication/howto-authentication-temporary-access-pass
• Microsoft Learn（Authenticator のパスキーは Device-bound として設定する）：https://learn.microsoft.com/en-us/entra/identity/authentication/how-to-enable-authenticator-passkey
• Microsoft Learn「SMS・音声の廃止」：https://learn.microsoft.com/ja-jp/entra/identity/authentication/concept-sms-voice-retirement
• Microsoft Learn「SMS・音声の廃止 FAQ」：https://learn.microsoft.com/ja-jp/entra/identity/authentication/concept-sms-voice-retirement-faq
• Microsoft Learn「Microsoft Entra ID でパスキー(FIDO2)を有効にする方法」（認証方法ポリシー・パスキープロファイルの設定手順）：https://learn.microsoft.com/en-us/entra/identity/authentication/how-to-authentication-passkeys-fido2
• Microsoft Learn「オンプレミス リソースへのパスワードレス セキュリティ キー サインイン」（Microsoft Entra Kerberos サーバーオブジェクト等の前提条件）：https://learn.microsoft.com/en-us/entra/identity/authentication/howto-authentication-passwordless-security-key-on-premises
• Microsoft Message Center 通知番号：MC1426371
• Microsoft Learn「SMS・音声の廃止」の更新日：2026年9月16日（当社確認日：2026-09-17。終了日の区分もこの版で確認）