Contents
前提条件と2026年の最新要件
Microsoft Authenticator を全社で導入する際に最初に確認すべきは、ライセンス・管理者権限・ネットワーク環境です。これらが整っていないと Conditional Access の設定や MFA の有効化が正しく機能しません。本稿では、2026 年時点で Microsoft が公式に提示している情報をもとに、実装上の最低条件を整理します。
ライセンス要件
Microsoft Entra ID（旧 Azure AD）には Free・Premium P1・Premium P2 の 3 種類があります。Conditional Access とリスクベース MFA をフルに活用するには Entra ID Premium P2 が最も推奨されますが、組織の規模や要件に応じて Premium P1 でも一部機能は利用可能です。公式ドキュメントはこちらをご参照ください。
- Entra ID Premium P2：高度なリスク評価、条件付きアクセスのフルセットが利用可能。
- Entra ID Premium P1：基本的な条件付きアクセスポリシーは使用できるが、リスクベースの自動判断機能は制限される。
- Free / Microsoft 365 Business Basic：MFA は手動で有効化可能だが、条件付きアクセスは利用不可。
管理者ロールの設定
最小権限の原則に従い、必要なロールだけを割り当てます。主に使用するロールは次の通りです（公式ガイド: ロールと権限)。
| ロール名 | 主な権限 |
|---|---|
| 全体管理者 | テナント全体の設定変更が可能。初期導入時に限定的に付与。 |
| 条件付きアクセス管理者 | 条件付きアクセスポリシーの作成・編集のみ許可。運用フェーズで推奨。 |
| セキュリティ管理者 | セキュリティレポートやリスク評価へのアクセスが可能。 |
ネットワーク要件
Microsoft Authenticator はインターネット経由で Entra ID のエンドポイントに接続します。公式に推奨されているのは アウトバウンド TCP 443 (HTTPS) を許可 し、以下のドメインへ直接アクセスできることです（ネットワーク要件)。
login.microsoftonline.comgraph.microsoft.comaccount.activedirectory.windowsazure.com
帯域については「最低 1 Mbps」といった具体的な数値は示されておらず、安定したインターネット接続が確保できる環境であれば問題ありません。プロキシやファイアウォールを使用する場合は、TLS インスペクションの無効化と X-Forwarded-For ヘッダーの正しい転送を確認してください。
Microsoft Authenticator の概要と活用シナリオ
Authenticator は プッシュ承認 と タイムベースワンタイムパスコード (TOTP) の二つの認証方式を提供します。どちらもオフライン・オンライン問わず利用でき、ユーザー体験とセキュリティのバランスを取ることが可能です。本節では機能概要と、2026 年に特に有効な活用例を紹介します。
主な機能
- プッシュ通知：サインイン要求が来たらアプリで「承認」または「拒否」を選択。
- TOTP：30 秒ごとに生成される 6 桁コードを手入力。ネットワークが遮断された環境でも使用可能。
- パスキー (FIDO2) 対応：指紋や顔認証を利用したパスキー登録が可能（公式: パスキーの概要).
推奨利用シーン
| シナリオ | 推奨方式 | 補足 |
|---|---|---|
| 社内 VPN からのサインイン | プッシュ通知 | 即時承認で作業中断を防止 |
| 出張先やモバイル回線利用時 | TOTP（6 桁） | オフラインでも認証可能 |
| 高リスク操作（管理者権限変更等） | プッシュ + TOTP の併用 | 二段階でリスクを低減 |
Azure Entra ID ポータルでの MFA 有効化手順
MFA の有効化は 条件付きアクセス を通じて一括設定できます。以下ではポータル上での具体的な操作フローと、ユーザー側の登録プロセスを解説します（公式手順: MFA の開始方法)。
条件付きアクセスポリシーの作成
まずは全員対象のポリシーを作成し、MFA を必須にします。手順は次の通りです。
- Microsoft Entra ID ポータル → セキュリティ → 条件付きアクセス
- 「+ 新しいポリシー」ボタンをクリック。
- 対象ユーザー：全員（または特定のグループ）を選択。
- クラウド アプリ：
すべてのクラウドアプリを指定。 - 付与：多要素認証が必要 にチェックし、保存。
このポリシーは有効化と同時に適用され、対象ユーザーは次回サインイン時に MFA が求められます。
ユーザー登録フロー
- 初回サインイン時に「追加のセキュリティ情報を設定してください」の画面が表示。
- QR コード を Authenticator アプリでスキャンし、アカウントリンクを完了。
- プッシュ通知または TOTP による承認操作で登録が確定する。
以上の手順により、管理者側の作業は最小限に抑えられ、ユーザーは QR スキャンとプッシュ承認だけで設定を完了できます。
条件付きアクセスの設計例
リスクベースと場所・デバイス属性を組み合わせたポリシーは、過剰な制限を避けつつ高リスクのサインインに対して確実に MFA を要求できます。以下は公式ドキュメントで紹介されている設計パターンを元にした例です（参考: 条件付きアクセスのベストプラクティス)。
リスクベースポリシー
| 条件 | アクション |
|---|---|
| ユーザーリスク：High、または サインインリスク：High | MFA 必須 + セッション有効期限 1 時間 |
| デバイスが未登録 または 非準拠 | デバイス認証要求＋MFA |
場所・デバイス別制御
- 社内ネットワーク（例: 10.0.0.0/8）：信頼できる IP とみなし、MFA を省略。
- 公衆 Wi‑Fi / リモート環境：必ず MFA を要求。
- 管理者デバイス：Intune に登録済みかつ Azure AD Join された端末のみアクセス許可。
この構成により、日常的な社内作業はスムーズに、リスクが高まったケースだけで厳格な認証が実施されます。
全社展開ロードマップとチェックリスト
段階的に導入することでサポート負荷を抑えつつ、全社的な利用率を確保できます。以下は 3 フェーズで構成したロードマップと、各フェーズ終了時に確認すべき項目のチェックリストです（公式ガイド: MFA のロールアウト戦略)。
フェーズ別導入計画
| フェーズ | 対象部門・人数 | 期間 | 主なタスク |
|---|---|---|---|
| 第1フェーズ（パイロット） | IT 部門 20 名（リモート比率高） | 2 週間 | ポリシー適用、FAQ 配布、フィードバック収集 |
| 第2フェーズ（部門別拡大） | 営業・マーケティング 150 名 開発・運用 200 名 |
3‑4 週間 | 条件付きアクセスの細分化、トレーニング実施 |
| 第3フェーズ（全社展開） | 残り 300+ 名 | 5 週間 | 完全ロールアウト、最終監査・報告 |
最終チェックリスト
- [ ] Entra ID Premium P2 が全対象ユーザーに割り当て済み
- [ ] 条件付きアクセスポリシーが全クラウドアプリに適用されている
- [ ] Authenticator アプリのインストール率が 95％以上（端末管理レポートで確認）
- [ ] サポートチケット件数が前月比 30％減少していること
- [ ] コンプライアンスレポートで MFA 適用率 100％、リスクベースブロック件数が期待通りに増加している
上記項目を満たすことで、導入効果の可視化と継続的な改善サイクルが確立できます。
運用・保守のベストプラクティス
導入後の運用体制が整っていないと、ユーザーからの問い合わせ増加や認証障害による業務停滞が発生します。本節では教育・サポート・効果測定の三本柱に分けて具体策を提示します（参考: MFA の運用ガイドライン)。
ユーザー教育と FAQ
| 項目 | 内容 |
|---|---|
| FAQ | ・プッシュ通知が届かない → ネットワーク設定・アプリ再起動 ・TOTP が同期しない → デバイス時刻を自動に設定 |
| 社内トレーニング | 短時間の動画とハンズオン資料を配布。実際に QR コードをスキャンさせる演習を含む。 |
トラブルシューティング手順
- 認証失敗の一次対応：ユーザーからの問い合わせ内容を「通知遅延」「コード不一致」などに分類。
- 標準手順書に従う：
・ネットワーク接続確認
・アプリキャッシュクリア
・デバイス時刻同期の有効化 | - エスカレーション基準：上記で解決しない場合はセキュリティチームへ引き継ぎ、ログ解析（Sign‑in logs）を実施。
効果測定指標とレポート
| 指標 | 計算方法・取得元 |
|---|---|
| MFA 適用率 | Azure AD の「Sign‑in logs」から MFA が使用されたサインイン数 ÷ 総サインイン数 |
| リスクブロック件数 | Security Center の「検出された脅威」レポートで MFA によって防止されたサインイン試行を集計 |
| ユーザー満足度 | 社内アンケート（5 段階評価）で平均 4.0 以上を目標 |
月次レポートに上記 KPI を掲載し、経営層へ定量的な効果を報告することで、継続投資の正当性を示すことができます。
教育・サポート・測定を体系化すれば、Microsoft Authenticator の運用は安定し、組織全体のセキュリティ姿勢も可視化されます。
まとめ
本稿では、2026 年時点で推奨される Microsoft Entra ID ライセンス、管理者ロール、ネットワーク要件を整理し、Authenticator の機能と具体的な利用シナリオを提示しました。条件付きアクセスポリシーの設計例と段階的な全社展開ロードマップに加え、運用・保守のベストプラクティスまで網羅することで、導入から定着までの一連のプロセスが明確になります。公式ドキュメントを参照しつつ、本ガイドラインに沿って計画を進めれば、安全かつスムーズな MFA 環境を実現できるでしょう。