Entra IDはパスキーを既定の認証へ ― SMS・音声からの移行で見えてくる企業認証の課題

Microsoft標準の移行策と、Soliton OneGateが効く企業認証の条件を整理

この記事のポイント

2027年2月に向け、SMS・音声が有効になっているユーザーは認証方法の見直しが必要になります。本記事では、Microsoft標準で移行する場合と、会社管理PC、Wi-Fi／VPN、既存システムまで同じ運用で管理したい場合の違いを整理します。

概要

Microsoft Entra IDでは、2026年9月からパスキーが既定の認証方法として段階的に案内されております。SMS・音声通話が有効になっているユーザーには、サインイン時にMFAを完了した後、パスキー（スマホでは生体認証やPINなどで利用）の登録が促されるようになります。

自社で「SMSや自動音声を送信する外部業者」（顧客管理の通信プロバイダー）と契約し、連携設定を行わない場合、Microsoftの標準機能が終了する2027年2月1日以降はSMSが届かなくなります。そのため、「認証手段としてSMSや音声通話しか登録していないユーザー」は、パスキー登録を完了するまでEntra IDへのサインインを継続できなくなります。

ここで考えたいのは、Entra IDへのログイン方法だけではありません。会社が許可したPCだけにアクセスを絞る、Wi-FiやVPNも同じ方針で管理する、Intune以外の端末管理環境も残す、といった要件まで含めると、企業の認証設計はもう一段広くなります。

1. なぜSMS・音声認証からの移行が必要なのか

SMSの確認コードは、パスワードだけの認証より安全性を高めます。一方で、「届いた数字を人が入力する」仕組みなので、その数字を偽サイトへ入力してしまえば攻撃者にも渡せてしまいます。MicrosoftはSMS・音声をフィッシングに弱い認証方法と位置付け、パスキーなどフィッシングに強い認証方法への移行を推奨しています。

SMS・音声で残る主なリスク

• 偽サイトへの入力：確認コードは「一度だけ使える合鍵」のようなものです。偽サイトに入力すると、その瞬間に攻撃者が本物のサイトへ転送し、先に使われるおそれがあります。
• 電話番号の乗っ取り（SIMスワップ）：攻撃者が通信事業者をだますなどして電話番号を別のSIMへ移すと、SMSの受信先そのものを奪われる可能性があります。Microsoftは、パスキーをこうした攻撃に強い認証方法として位置付けています。
• 人をだます攻撃：メールや電話で「今届いた確認コードを入力してください」と誘導されると、ユーザー自身がコードを攻撃者へ渡してしまうことがあります。SMSの弱点は、確認に使う情報を人が読んで入力できることにあります。

ポイント

SMS・音声は、パスワードだけの認証より安全です。ただし、確認コードは人が読んで入力できるため、偽サイトや電話でだまされると攻撃者へ渡ってしまいます。パスキーは、ユーザーが秘密のコードを入力せず、正規のサービスにひも付いた暗号鍵で認証するため、この種類の攻撃に強いのが特徴です。

2. パスキーを簡単にいうと

パスキーは、確認コードやパスワードを入力する代わりに、端末の中にある暗号鍵を使って本人確認する方式です。FIDO2という業界標準に基づき、偽サイトへ認証情報を渡しにくい仕組みになっています。

登録時には、PC、スマートフォン、FIDO2セキュリティキーなどが、秘密鍵と公開鍵のペアを作ります。公開鍵はEntra IDに登録されますが、秘密鍵そのものをEntra IDへ送ることはありません。デバイス固定型はその端末に保持され、同期型は暗号化された状態でパスキープロバイダーを介して複数端末で利用できます。

ログイン時には、Entra IDから毎回違う確認データが送られ、端末は秘密鍵を使って応答します。顔・指紋・PINは、その秘密鍵を使ってよい本人かを端末側で確認するために使われます。SMSのように「画面へ入力した確認コードを盗まれて、そのまま使われる」という攻撃を受けにくいのが特徴です。

生体認証との役割の違い

顔・指紋・PINは、端末の中にある秘密鍵を使ってよい本人かを端末側で確認するために使います。Microsoftが顔や指紋そのものを受け取って照合するわけではありません。

3. 2026年9月から何が変わっていくのか

先に押さえておきたいのは、SMS・音声という認証方式そのものが禁止されるわけではないことです。2027年2月1日以降も、Microsoft Security Store経由で顧客管理の通信プロバイダーを設定すれば、SMS・音声を継続できます。一方、Microsoftが現在提供しているSMS・音声向けの通信サービスは終了するため、SMS・音声が有効になっているユーザーがいる組織は移行方法を決める必要があります。

4. 対象環境と特に影響が大きいユーザー

今回の日程は、一般企業で通常利用されているEntra ID環境（Microsoft公式では「パブリッククラウド」と表記）が対象です。Entra ID Free、P1、P2など、エディションごとの除外は公表されていません。対象かどうかは、SMS・音声が有効になっているユーザーがいるかで確認します。

外部多要素認証を利用している場合

Entra側のSMS・音声を使わず、外部の認証基盤だけで多要素認証を完結しているユーザーは、今回の直接対象ではありません。まず「今の認証がEntraのSMS・音声を使っているか」を確認すると、対応が必要な範囲を絞れます。

特に影響が大きいユーザー

なお、パスワード再設定で使える認証方法は、通常のサインイン時と同じではありません。Microsoft Authenticatorの通知など、パスワード再設定に対応した別の方法もあらかじめ用意しておく必要があります。

5. Microsoftの基本方針は、パスキーへの移行

Microsoftは、可能な限りSMS・音声からパスキーへ移行することを主要な移行経路として推奨しています。2026年9月からは、SMS・音声が有効なユーザーをパスキーの対象へ自動的に追加し、サインイン後に登録を案内します。今回の変更へのMicrosoft標準の基本対応は、まずパスキーを利用できる状態を整えることです。

ユーザーの端末や業務条件によっては、Windows Hello for BusinessやFIDO2セキュリティキーなども選択肢になります。初回登録や端末紛失時の再登録には「一時アクセス パス（Temporary Access Pass）」を利用できます。これは管理者が本人確認後に発行する期限付きのコードです。内部ゲストには発行できますが、外部ゲストへリソーステナント側から発行することはできません。

Microsoft製品だけでも、証明書を使ったサインインや、IntuneとMicrosoft Cloud PKIを組み合わせた証明書配布まで構成できます。ただし、ここから先は「Entra IDへどうログインするか」だけでなく、会社PCやWi-FiやVPNをどう管理するかという別の設計になります。

移行作業は5段階で考えると分かりやすい

① SMS・音声が有効になっているユーザーを確認する

② まずパスキーへ移行できるユーザーを決め、利用するパスキーの種類と登録方法を決める

③ パスキーが使いにくいユーザーだけ、Windows Hello for Business、FIDO2セキュリティキーなど別の方法を決める

④ 端末を紛失したときの予備手段と復旧手順を決め、一部のユーザーで試す

⑤ 段階的に展開し、業務上どうしてもSMS・音声が必要なユーザーだけ顧客管理の通信プロバイダーを検討する

6. パスキーへの移行後も残る、企業認証の課題

Microsoft 365やEntra IDへのサインインだけを考えるなら、Microsoft標準のパスキーは有力です。ただし企業には、会社PC、Wi-FiやVPN、SASE（ネットワークとセキュリティをクラウドで一体提供する仕組み）、社内システムなど、別の「入口」もあります。さらに、認証情報を誰に・どの端末へ配り、更新や紛失時の停止をどう行うかという運用も必要です。パスキーへの移行後も、次の6点は別に考える必要があります。

パスキーの管理者代理登録について

FIDO2セキュリティキーには、管理者が代理登録するプレビュー機能もあります。ただし、物理キーの挿入やPIN設定などの操作が必要で、PCへ証明書を自動配布する運用とは異なります。

7. OneGateなら、ユーザー・端末・接続先まで認証を広げられる

第6章で挙げたような企業認証の課題に対応する選択肢の一つが、Soliton OneGateです。OneGateは、クライアント証明書やFIDO2などを利用した多要素認証に対応し、Microsoft 365を含むクラウドサービスへのアクセスを強化できます。この記事で特に注目したいのは、Entra IDへのサインイン方法だけではなく、認証の対象を「ユーザー本人」から「利用する端末」や「接続先」まで広げられる点です。

クライアント証明書を使えば、「会社が認めた端末」かどうかを確認できます。さらに、OneGateの認証をMicrosoft 365などのクラウドだけでなく、Wi-FiやVPN、新しいシングルサインオン方式に対応していない既存システムへも広げられます。ユーザー本人だけでなく、「どの端末から」「どこへ接続するか」まで含めて、一つの方針で認証を設計しやすくなるのがポイントです。Entra ID／Microsoft 365へのサインインだけならMicrosoft標準のパスキーが基本ですが、許可端末の限定、Wi-Fi／VPN、既存システム、証明書の配布・更新・失効まで要件が広がる場合は、OneGate及び付属の専用証明書管理ツール「Soliton KeyManager」が選択肢になります。

Microsoft標準で進める場合と、OneGateを利用する場合の違い

OneGate検討度：◎＝この要件で強みが直接効く　○＝条件次第で有力　△＝この要件だけならMicrosoft標準が基本　※製品の優劣ではなく、本記事における「OneGateを追加検討する必要性」の目安です。◎・○が複数重なる場合、OneGate／KeyManagerが選択肢として推奨になります。

先に結論

Entra ID／Microsoft 365へのログイン対策が中心 → Microsoft標準のパスキー

管理していない端末や取引先にも証明書を届けたい → OneGate／KeyManager

Wi-Fi／VPNや既存システムまで認証を広げたい → OneGate／KeyManagerの検討度が高まる

8. KeyManagerで証明書を「届ける・更新する」運用まで支援

クライアント証明書は、会社が端末へ渡す「デジタル通行証」のようなものです。OneGateで証明書を発行し、Soliton KeyManagerを使って端末側で安全に取得・インストールできます。KeyManagerはWindows、iOS／iPadOS、Android、macOS、Chromebookに対応しています。招待コード、デバイス予約、MDM（モバイルデバイス管理）や資産管理ツールとの連携など複数の配布方式があり、MDMを前提としない運用も可能です。利用できる方式はOSによって異なります。

KeyManagerの役割は、証明書を自動配布するときだけの補助ではありません。通常は招待コードやURL／QRコードを使ってユーザーがワンタッチで証明書を取得でき、配布先を厳密に限定したい場合はデバイス予約を利用できます。MDM管理外の協力会社・取引先端末にも配布でき、必要に応じてMDMや資産管理ツールと連携して管理端末へ配布することもできます。Windowsでは資産管理ツールとの連携により、ユーザー操作なしのバックグラウンド配布にも対応します。

証明書は一度配れば終わりではありません。KeyManagerは有効期限の通知や更新作業も支援し、OneGate側では発行先端末を記録して、紛失時などに対象の証明書を失効できます。また、SASEやVPNで必要となる外部CA証明書やWi-FiやVPNプロファイルを、対応OSでは証明書とまとめて配布できます。さらに本人確認を強めたいユーザーには、KPASクラウドと連携する顔認証（有償オプション）を追加することもできます。※顔認証はオンライン利用が前提です。

9. OneGateを検討するときの判断ポイント

判断のポイントは、「Entra IDへ安全にサインインできれば対応が終わるか」です。Microsoft 365へのログインだけならMicrosoft標準で完結できます。一方、会社が認めた端末への限定、MDM管理外端末への証明書配布、Wi-FiやVPN、既存システム、証明書の更新・失効まで同じ運用で扱いたい場合は、OneGateとKeyManagerが選択肢になります。

OneGate／KeyManagerを検討するときの5つの確認ポイント

1. Entra ID／Microsoft 365以外にも、会社PCやWi-Fi／VPNを認証対象にしたいか
2. Intune／MDMで管理していない端末や、協力会社・取引先端末にも証明書を配りたいか
3. スマートフォンを使えないユーザーにも、会社管理の認証情報を配りたいか
4. 新しいシングルサインオン方式に対応していない既存システムが残っているか
5. 証明書の配布だけでなく、更新・紛失時の失効まで会社側で運用したいか

複数が当てはまる場合は、パスキーへの移行だけでなく、端末への認証情報配布とその運用まで含めてOneGate／KeyManagerが選択肢になります。

10. まとめ

Entra IDでは、2026年9月からSMS・音声が有効になっているユーザーにパスキー登録が案内され、2027年2月1日にはMicrosoftが提供するSMS・音声向け通信サービスが終了します。SMS・音声が有効になっているユーザーがいる組織は、今のうちに対象ユーザーと移行先を整理する必要があります。

SMS・音声からの移行では、まずMicrosoftが推奨するパスキーを中心に、Windows Hello for BusinessやFIDO2セキュリティキーなど、ユーザーに合う認証方法へ移すことが基本です。Entra ID／Microsoft 365へのサインインだけが対象なら、Microsoft標準の仕組みで完結できます。

そのうえで確認したいのが、「認証する入口はMicrosoft 365だけか」「認証情報を端末へどう届け、更新・停止するか」という点です。会社が認めたPCだけに限定したい、IntuneやMDMで管理していない端末にも証明書を配りたい、Wi-FiやVPN、既存システムも同じ基盤で扱いたい、証明書の更新・失効まで会社側で管理したい、といった要件がある場合は、OneGateとKeyManagerが選択肢になります。

結論

今回の第一歩は、Microsoftが推奨するパスキーを中心に、SMS・音声からフィッシングに強い認証へ移行することです。Entra ID／Microsoft 365へのサインインだけなら、Microsoft標準で完結できます。

一方、会社が認めた端末へ認証情報をどう届けるか、Intune／MDMで管理していない端末をどう扱うか、Wi-Fi／VPNや既存システムまでどう広げるか、証明書の更新・紛失時の停止をどう回すかまで考えると、課題は「ログイン方法」から「認証運用」へ広がります。

OneGateは証明書を発行・管理し、KeyManagerは端末の状況に応じた方法で証明書を取得・配布・更新する運用を支援します。パスキー移行後にこうした課題が残る組織では、OneGate／KeyManagerが選択肢になります。

備考

• 2027年2月1日に終了するのは、Microsoftが提供するSMS・音声向けの通信サービスです。Microsoft Security Store経由で顧客管理の通信プロバイダーを設定した場合は、同日以降もSMS・音声を利用できます。
• 本記事は、2026年8月4日時点で公開されているMicrosoft公式情報と、Soliton OneGate／Soliton KeyManagerの公開仕様、社内技術確認内容を基に整理しています。
• Microsoft Security Storeの通信プロバイダー情報は2026年9月18日から公開され、2026年10月30日から選択・設定可能になる予定です。事業者、料金、地域、利用条件は公開後に確認してください。

参考情報

Microsoft Entra ID：パスキー既定化とSMS・音声認証の移行 ｜ Japan Azure Identity Support Blog：MFAの既定の認証方法がパスキーに移行

Microsoft Entra ID：パスキー（FIDO2）の概要 ｜ Microsoft Entra ID：同期パスキー

Microsoft Entra ID：Temporary Access Pass ｜ Soliton OneGate：製品情報

Soliton OneGate：動作環境・RADIUS認証仕様 ｜ Soliton OneGate：2026年3月新バージョン／ゼロタッチ配布

Soliton OneGate：KPASクラウド顔認証連携