共用PC・キオスク端末の認証

店舗、物流拠点、シフト勤務など、複数人が同じPCを使い回す環境では、個人のスマートフォンを前提にした認証方式が使いにくい場合があります。個人アカウントと、個人に割り当てたセキュリティキーを組み合わせれば、誰がそのPCにサインインしたかを個人ごとに区別できます。

結論

共用PCで個人を識別・追跡する場合、個人アカウントと、個人に割り当てたキーが基本になります。1本のキーを複数人で共用する運用は、指紋認証付きの製品でも本人以外の利用を防げないため推奨しません。

共用PCといっても形態は一つではありません。次の2つを分けて設計してください。

• Windows 自体を個人アカウントで切り替える共用PC：Windows へのサインインを個人ごとに行う形。誰がいつ使ったかを Windows の記録で追える。端末内の認証器（Windows Hello for Business）も個人アカウントごとに使え、Microsoft は1台あたり最大10ユーザーをサポートすると説明している。セキュリティキーを選ぶ理由は「持ち運べる」「端末を選ばない」「10人を超える共用にも対応できる」こと
• Windows は共通のキオスクアカウントで、業務アプリだけ個人認証する端末：Windows の記録では個人を区別できないため、業務アプリ側の認証ログと、交代時のサインアウト運用が前提になる。共通アカウントでは端末内の認証器を個人ごとに使えない（Microsoft は共有アカウントのキオスク端末で Windows Hello for Business を使わないよう案内している）ため、個人に割り当てたセキュリティキーが有力

1人1台の専用PCがある社員は、端末内の認証器（Windows Hello for Business など）や同期パスキーで足りる場合があります。ただし、端末の故障・交換時の復旧手段、別の端末からも認証する必要があるか、組織として同期パスキーを許可するか、対象サービスがその方式に対応しているかも判断条件に含めてください。

ハードウェアキーを優先して検討するケース

環境	推奨	理由
1人1台の専用PCがあり、個人のスマホも使える	端末内の認証器（Windows Hello for Business など）や同期パスキーで足りる場合が多い	端末とユーザーが1対1で紐づく。復旧手段・持ち運びの要否・組織の方針・対象サービスの対応もあわせて判断
複数人が同じPCを使い回し、Windows を個人アカウントで切り替える	個人アカウント＋個人に割り当てたセキュリティキー。Windows Hello for Business も候補（1台あたり最大10ユーザー）	どちらも個人アカウントごとに使える。持ち運び・端末非依存・10人を超える共用が要件ならセキュリティキー。キーと個人を1対1で対応づける
Windows は共通のキオスクアカウントで、業務アプリだけ個人認証する	業務アプリ側で個人認証。個人に割り当てたセキュリティキーが有力	共通アカウントでは端末内の認証器を個人ごとに使えない。Windows の記録では個人を区別できないため、アプリ側の認証と交代時の運用が前提

キーを抜いただけでは、Windows や業務アプリからサインアウトされるとは限りません。交代時には、サインアウトまたはユーザー切り替えの手順、ブラウザのセッション・Cookie の扱い、離席時の画面ロック（スクリーンセーバーの再開時パスワード要求など）をあわせて決めてください。キーの抜き差しに連動したロックは、利用するOSやアプリの設定に依存します。

指紋認証内蔵モデルの位置づけ

1本のキーに複数人の指紋を登録して共用する運用はできません。FIDO2 キーの指紋はキー内部のユーザー検証（UV）に使うもので、登録した指紋ごとにアカウントを割り当てる仕組みではありません。Yubico の公式ドキュメントも「登録済みのいずれかの指で触れれば認証できる」と説明しており、登録済みのどの指でも、そのキーに入っているすべての認証情報を使えます。キーを共用すれば、他人の認証情報も使える状態になります。

そのうえで、VinCSS FIDO2 Fingerprint や AuthenTrend ATKey.Pro のような指紋認証内蔵モデルは、個人に1本ずつ配布する前提であれば共用PC環境に向いています。PINの入力や記憶を利用者に求めずにユーザー検証を済ませられるため、交代の多い現場で運用しやすくなります。

必要本数の考え方

共用PCの台数ではなく、利用する社員の人数を基準に数えます。当社の推奨構成は、本番用とバックアップ用で1名2本、加えて未登録の在庫として予備10%です（FIDO2 の規格要件ではありません）。2本目は、利用するサービスにあらかじめ別の認証器として登録して初めてバックアップとして機能します。予備10%は未登録の在庫で、紛失・破損・中途入社のときに登録して使います。100名なら220本。製品ページの計算機で人数から本数と概算が出ます。

出典

• Yubico 公式ドキュメント（登録済みのいずれかの指で認証でき、指紋とアカウントは対応づかない）：https://docs.yubico.com/software/yubikey/tools/authenticator/auth-guide/fingerprints.html
• Microsoft Learn（パスキー(FIDO2)認証方法。デバイス固定パスキーと同期パスキーの区別）：https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-passwordless
• Microsoft Learn（フィッシング耐性パスワードレス認証の展開計画。Windows Hello for Business は各ユーザーが自分としてサインインするPCでのみ使い、共有アカウントのキオスク端末では使わない。1台あたり最大10ユーザー。2026-09-17 確認）：https://learn.microsoft.com/en-us/entra/identity/authentication/how-to-deploy-phishing-resistant-passwordless-authentication