Contents
Microsoft Authenticator の概要とビジネス向けライセンス
Microsoft Authenticator は、企業が多要素認証（MFA）を導入する際のデフォルトツールとして広く採用されています。本節では、Authenticator が提供する主要機能と、組織規模やセキュリティ要求に応じたライセンス体系を整理し、どのプランが必須かを明確に示します。
基本機能
以下は Microsoft Authenticator が標準でサポートしている認証手段です。各機能はオフラインでも利用できるため、ネットワーク障害時にも安全なログインが可能です。
- ワンタイムパスコード（OTP） – 6 桁または 8 桁の時間ベース OTP を生成し、端末がインターネットに接続していなくても使用できます。
- プッシュ認証 – サインイン要求が端末にプッシュ通知され、ワンタップで承認または拒否できるため、ユーザー体験が向上します。
- 生体認証 – デバイスが対応していれば指紋や顔認証を利用し、パスコード入力の手間を省きます。
- パスキー（Passwordless）と FIDO2 の違い – Microsoft Authenticator は「パスキー」機能によりパスワードレスサインインを提供しますが、FIDO2 標準そのものの実装ではなく、Azure AD が発行する公開鍵情報を利用した形態です。したがって、完全な FIDO2 デバイス（例：YubiKey）と併用することも可能ですが、Authenticator 単体は FIDO2 の認証器としては位置付けられません【1】。
ライセンスプランと提供内容
組織で MFA をフル活用する際に必要になる Azure AD の機能は、ライセンスレベルによって異なります。以下の表は Microsoft が公式に公開している情報を元に作成しました（2024 年 10 月時点）【2】。
| ライセンス | 主な MFA 関連機能 | 対象規模・利用シナリオ |
|---|---|---|
| Microsoft 365 Business Basic | Azure AD Free の標準 MFA（電話、メール、Authenticator アプリ） | 小規模企業／無料で MFA を導入したい組織 |
| Microsoft 365 Business Premium | Azure AD Premium P1 相当 – 条件付きアクセス、セルフサービス パスワードリセット (SSPR) | 中小企業・ハイブリッド環境 |
| Microsoft 365 E3 | Azure AD Premium P1 のすべての機能 + MFA 標準搭載 | 中～大規模組織 |
| Microsoft 365 E5 | Azure AD Premium P2 – リスクベース条件付きアクセス、Identity Protection、Privileged Identity Management (PIM) | 大規模・高リスク環境、コンプライアンス要件が厳しい企業 |
| Azure AD Premium P1（スタンドアロン） | 条件付きアクセスポリシー、SSPR、MFA の高度なレポート機能 | 既に Microsoft 365 を利用していないが Azure AD の高度機能だけ必要なケース |
| Azure AD Premium P2（スタンドアロン） | 上記すべて + リスクベースの自動保護、Identity Governance | 高度なリスク分析や特権アクセス管理が必須の組織 |
ポイント：無料プランでも基本的な MFA は利用できますが、Conditional Access やリスク評価といった高度なポリシーは Premium ライセンスが必須です。
前提条件と環境設定（Azure AD・Microsoft 365）
この章では、Authenticator を組織全体で展開する前に確認すべきサブスクリプションや管理者ロールを整理します。適切な権限がないとポリシーの作成やユーザー登録が失敗するため、導入計画の初期段階で必ずチェックしてください。
必要なサブスクリプション
最低でも Azure AD Free 以上のライセンスがテナントにアタッチされている必要があります。Premium 機能を利用したい場合は、上記表のいずれかのプランが有効であることが前提です。
- Azure AD Free – 基本的な MFA（電話・Authenticator）とユーザー管理機能が提供されます。
- Microsoft 365 Business Premium / E3/E5 – Azure AD Premium P1/P2 がバンドルされ、Conditional Access や Identity Protection が使用可能です。
公式情報：各プランの詳細は Microsoft のライセンス比較ページ（https://learn.microsoft.com/ja-jp/microsoft-365/compare-microsoft-365-enterprise-plans）を参照してください【2】。
テナント構成と権限
設定作業は以下のロールが付与された管理者が実施します。ロールは Azure AD の「Roles and administrators」ページで確認・割り当てできます。
| ロール | 主な権限 | 推奨担当部門 |
|---|---|---|
| Global Administrator | テナント全体の設定変更、ライセンス割当 | IT 管理本部 |
| Privileged Role Administrator | 他ロールの委任・管理 | セキュリティチーム |
| User Administrator | ユーザー作成・属性編集、MFA 方法のリセット | 人事システム担当 |
| Security Administrator | 条件付きアクセスポリシーの作成・適用 | 情報セキュリティ部 |
| Intune Administrator | デバイス構成プロファイルで Authenticator アプリを配布 | エンドポイント管理チーム |
まとめ：導入前に必要ロールが全員に付与されているか確認し、欠けている場合は即座に割り当てることで作業の遅延を防げます。
ユーザー登録と MFA 有効化手順
実運用では、ユーザーへの Authenticator アプリ配布と Azure AD ポータルでの MFA ポリシー設定が中心となります。ここでは代表的な 3 つの導入パターンと、PowerShell を使用した一括登録手順を示します。
登録方法の選択肢
組織規模やデバイス管理方針に応じて最適な方式を選びます。以下はそれぞれのメリット・デメリットです。
- QR コード方式 – 小規模導入で最も手軽です。管理者が Azure AD ポータルから QR を生成し、ユーザーはアプリでスキャンして自動的にアカウントを登録します。
- メールリンク方式 – ユーザーのメールアドレス宛に招待リンクを送付する方法です。リンクをクリックするとセットアップウィザードが起動し、QR と同様にアプリが構成されます。
- 管理者一括登録（PowerShell） – 数百人規模以上の展開で推奨されます。旧式の
Set-MsolUserではなく、最新の Azure AD PowerShell v2 モジュールを使用します。
|
1 2 3 4 5 6 7 8 9 10 |
# AzureAD モジュールのインポート Import-Module AzureAD # CSV (UserPrincipalName,StrongAuthenticationMethods) を読み込み、一括で MFA 方法を設定 $users = Import-Csv -Path "C:\temp\mfa_bulk.csv" foreach ($u in $users) { Set-AzureADUser -ObjectId $u.UserPrincipalName ` -StrongAuthenticationMethods @(@{MethodType="PhoneAppNotification";IsDefault=$true}) } |
ポイント：
Set-AzureADUser（またはUpdate-AzureADUser）を利用すれば、Microsoft Authenticator のプッシュ通知をデフォルト認証方式として一括設定できます。
Azure AD ポータルでの MFA 設定手順
ポリシーベースで MFA を有効化する標準フローは次の通りです。
- Azure portal > Azure Active Directory > Security > Multi-Factor Authentication に移動し、左メニューの「ユーザー設定」を選択します。
- 「対象ユーザーを選択」画面で MFA を適用したいグループまたは個人を指定し、「有効」に切り替えます。
- 「認証方法」タブで OTP と プッシュ通知（Microsoft Authenticator）を有効化し、必要に応じて 生体認証 のチェックボックスもオンにします。
理由：ポリシー単位で設定すると、ユーザーごとの個別調整が不要になるため運用コストが大幅に削減できます。
Conditional Access の活用例
条件付きアクセスポリシーを組み合わせることで、リスクベースの MFA 要求が可能です。以下は代表的な 3 パターンです。
| 条件 | 推奨ポリシー内容 |
|---|---|
| 社外からのアクセス（信頼できない IP） | プッシュ通知を必須にし、OTP はオプションとして提示 |
| 高リスクサインイン（異常な場所・デバイス） | OTP とプッシュ認証の二要素を同時要求 |
| 特権アカウント（Global Administrator 等） | 常に MFA を適用し、バックアップコードまたはハードウェアトークンも必須化 |
まとめ：Conditional Access により「全員一律」ではなく、リスクやデバイス状態に応じた柔軟な認証フローを実現できます。
段階的導入プロセスと社内運用
MFA の定着率を高めるには、一度に全ユーザーへ展開するのではなく、段階的にパイロットテスト→本格展開というサイクルが有効です。以下は実務で推奨されるロードマップです。
パイロット実施とフィードバック取得
まずは 10〜20 名程度の代表ユーザーで試験運用し、次の項目を測定します。
- 操作性 – プッシュ通知が届くまでの時間、エラー率、OTP の生成精度。
- 業務影響度 – ログイン遅延やサポート件数への影響。
- ユーザー満足度 – 簡易アンケートで 4/5 以上を目標に設定。
パイロット期間は最低 2 週間確保し、業務ピーク時（例：月末締め）にもテストすることで実運用時の障害リスクを事前に把握できます。
本格展開計画
パイロット結果を踏まえて以下のフェーズで段階的にロールアウトします。各フェーズ終了後は KPI（認証成功率、サポート件数）をレビューし、次フェーズへの移行可否を判断します。
- 第 1 フェーズ – 部門単位（例：営業・人事）へ拡大、対象ユーザー全体の約 10%
- 第 2 フェーズ – 全社の 50% に展開。ヘルプデスク用 FAQ と自動化スクリプトを整備。
- 第 3 フェーズ – 残りのユーザーへロールアウトし、MFA 適用率 100% を目標に完了。
トレーニング・マニュアル作成のポイント
社内定着には視覚的かつ実践的な資料が不可欠です。以下の要素を必ず盛り込みます。
- 図解中心 – QR コード登録手順やプッシュ承認画面はスクリーンショットで示す。
- FAQ 形式 – デバイス紛失、認証エラー、バックアップコード取得方法などを Q&A に整理。
- 短尺動画（2 分以内） – 社内ポータルに埋め込み、視覚的学習を支援する。
結論：段階的導入と分かりやすい教材の整備が、全社規模での MFA 定着率向上に直結します。
障害対応・ベストプラクティスとコンプライアンスチェック
運用開始後に頻出する障害シナリオと、その迅速な切り分け手順をまとめます。また、長期的に安全性を保つためのベストプラクティスと主要規格との整合性についても解説します。
よくある障害と対処法
以下は実務で最も多く報告される問題例です。原因別に切り分けて対応策を示しています。
| 障害シナリオ | 主な原因 | 推奨対策 |
|---|---|---|
| デバイス紛失 | スマートフォンの喪失または盗難 | Azure AD ポータルで対象ユーザーの MFA 方法を「リセット」し、再登録用 QR を発行。緊急時は事前に配布したバックアップコードでログイン可能にしておく |
| プッシュ通知が届かない | ネットワーク制限・デバイス側の通知設定ミス | ユーザー端末で「設定 > アプリ > Microsoft Authenticator > 通知」を許可。企業ネットワークの場合は Microsoft のプッシュサーバー IP（13.107.xxx.xxx など）を VPN 例外リストに追加 |
| OTP 同期ずれ | 端末の時計が正確でない | デバイス側で自動時刻同期 (NTP) を有効化し、アプリ内「コード再生成」ボタンでリフレッシュ |
| 管理者権限不足による設定失敗 | ロール割り当てミスまたは期限切れ | Azure AD のロール一覧で対象担当者が Security Administrator 以上か確認し、定期的にロールレビューを実施 |
ポイント：障害発生時は「デバイス設定」→「ネットワーク要因」→「管理者権限」の順で切り分けると、原因特定が迅速になります。
セキュリティベストプラクティス
- Intune でのアプリ配布 – Authenticator を必須アプリとして Intune のデバイスコンフィギュレーションに組み込み、企業所有端末以外からのインストールをブロックします。
- バックアップコードの安全保管 – ユーザーには暗号化されたパスワードマネージャや紙媒体でコードを管理させ、6 か月ごとに更新するポリシーを策定します。
- ログ監視と自動アラート – Azure AD のサインインログと Conditional Access レポートを Azure Monitor に送信し、MFA 失敗率が 5% を超えたら Teams へ通知するよう設定します【3】。
まとめ：デバイス・コード管理と継続的な監視体制を整えることで、MFA の有効性を長期にわたり維持できます。
コンプライアンス・規格との整合性
Microsoft Authenticator を利用した MFA は、主要な情報セキュリティ基準でも要件を満たすことが公式に確認されています。以下は代表的な認証基準と実装ポイントです。
| 規格 | 該当する MFA 要素 | 実装上の留意点 |
|---|---|---|
| SOC 2（Security） | OTP・プッシュ通知による二要素認証 | 条件付きアクセスで「高リスク」シナリオに限定して必須化し、監査ログを保持 |
| ISO/IEC 27001 – A.9.4.2 | 多要素認証 (MFA) の導入 | Azure AD Premium P1 以上が必要。SSPR と組み合わせてパスワード漏洩リスクを低減 |
| NIST SP 800‑63B | パスキー（Passwordless）と多要素認証のレベル3 | Authenticator のプッシュは「FIDO2」ではないが、同等のセキュリティ強度として評価可能【1】 |
| 個人情報保護法（日本） | 本人確認手段の強化 | MFA による本人確認を実装し、ログ保持期間を 12 ヶ月以上確保 |
最終ポイント：MFA の導入は単なる技術的変更ではなく、組織全体のガバナンスに直結します。内部監査時には Conditional Access ポリシーと MFA ログが文書化された手順書と照合できるよう、定期的なレビューサイクルを設けてください。
参考情報
- Microsoft Docs – “Passwordless authentication” https://learn.microsoft.com/ja-jp/azure/active-directory/authentication/howto-authentication-passwordless
- Microsoft 365 ライセンス比較 – “Compare Microsoft 365 enterprise plans” https://learn.microsoft.com/ja-jp/microsoft-365/compare-microsoft-365-enterprise-plans
- Azure Monitor の設定例 – “Monitor sign‑in activity with Azure AD logs” https://learn.microsoft.com/ja-jp/azure/active-directory/reports-monitoring/howto-use-azure-monitor