Microsoft Entra ID、パスキーをデフォルトの認証に SMS・音声認証は廃止：2027年2月に強制移行 対応方法は？

Microsoftは、Entra IDのデフォルトのサインイン方法をパスキーに切り替える。Microsoftが提供するSMSおよび音声によるMFAは、2027年2月1日に提供を終了する。

[＠IT]

　Microsoftは2026年7月13日（米国時間、以下同）、「Microsoft Entra ID」において、フィッシングに強い認証への移行を目的に、パスキーをデフォルト（既定）のサインイン方式とすることを発表した。

　Microsoftは、従来のSMSおよび音声認証について「現在利用可能な認証方法の中で、フィッシングやアカウント侵害への耐性が最も低い」と指摘しており、より安全なパスキーを標準化することで、全ての組織が既定で高い堅牢（けんろう）性を確保できるようにする方針だ。

　これに伴い、2026年9月1日以降、Microsoftが提供するSMSまたは音声による多要素認証（MFA）を有効にしているユーザーは自動的にパスキー登録の対象となり、2027年2月1日にはMicrosoft提供のSMSと音声認証が完全に廃止される。

　パスキーは、デバイスまたは同期された資格情報ストアに関連付けられた公開鍵暗号方式を使用する。アクセス中のドメインに鍵ペアがひも付けられるため、フィッシングサイトで動作するリスクを根本的に排除できる。認証のたびに使い捨ての値に対して署名検証をするため、通信を横取りするリプレイ攻撃（再送攻撃）への耐性も極めて高いとされる。

2027年2月に強制移行　移行のスケジュール、対応方法は？

　廃止までのスケジュールは以下の通り。

• 2026年9月1日：SMSまたは音声認証が有効なユーザーが自動的にパスキー登録の対象になり、MFAのサインイン時に登録を促される
• 2027年2月1日：Microsoft提供のSMSおよび音声配信が完全に廃止される
• 2027年2月1日以降：使用可能なMFA方法がSMSまたは音声のみのユーザーは、サインイン時にパスキー登録が必須になる（スキップ不可）

　2027年2月1日以降の強制適用についてはオプトアウトの選択肢はなく、全てのテナントに一律で適用される。既に「Windows Hello for Business」や「FIDO2」など、パスキー以外のフィッシングに強い認証方法を使用しているユーザーへの影響はない。

　2026年9月1日から2027年2月1日までの移行期間中に限り、自動有効化を遅延させるための一時的なオプトアウトが利用できる。電気通信事業者との個別契約の調整や、他の認証方法への移行作業を完了する間、パスキーと登録キャンペーンの有効化を遅らせることが可能だ。

　このオプトアウト処理はMicrosoft Graph APIから実行する。実行に当たってはPolicy.ReadWrite.AuthenticationMethodのアクセス許可が必要となる。認証方法ポリシー（authenticationmethodspolicy）に対して、以下の通りPATCHリクエストを送信し、passkeyDynamicMigrationプロパティをtrueに設定することで、自動移行プロセスからテナントを除外できる。

PATCH https://graph.microsoft.com/beta/policies/authenticationmethodspolicy
Content-Type: application/json
{
   "optOutSettings": {
     "passkeyDynamicMigration": true
   }
}

　このオプトアウト設定を適用しているテナントは移行期間中の自動有効化から除外されるが、2027年2月1日以降は設定の有無にかかわらず、標準の強制移行タイムラインが適用されるため注意が必要だ。

　Microsoftは、影響を受けるユーザーを段階的にパスキーへ移行させる4つの手順を次のように示している。

1．SMSまたは音声認証が有効なユーザーを検索する

　グローバル閲覧者、認証ポリシー管理者、セキュリティ閲覧者いずれかのロールでPowerShellスクリプトを実行し、SMSまたは音声認証が有効なユーザーを特定する。

　もし実行結果が「1件以上（0件以外）」と出力された場合、自社テナント内に『2027年2月の完全廃止時にサインイン不能（業務中断）に陥るリスクのあるユーザー』が残っていることを意味するため、速やかにパスキーへの移行計画を策定・実行する必要がある。

2．パスキー登録キャンペーンを設定し、ユーザーに登録を促す

　Microsoft Entra管理センターの「Protection」>「Authentication methods」>「Registration campaign」で状態を「Microsoft Managed」に設定し、対象ユーザーのセキュリティグループを登録キャンペーンの対象にする。

3．Security Store内の通信プロバイダーを評価する

　規制・運用上SMSが必要なユーザーには、「Microsoft Security Store」経由で通信プロバイダーを個別に契約する。

4．変更をユーザーに伝える

　変更内容と対応方法を、認識、アクション、リマインダーの3段階でユーザーに周知する。

　登録キャンペーンを設定すると、対象ユーザーは次回のMFA完了時にパスキー登録を求められる。デフォルトではユーザーは登録の催促を無制限にスヌーズできるため、早期の移行を徹底したい場合は2026年9月1日より前にSMS・音声の設定自体を変更しておく必要がある。

　Security Storeを通じた通信プロバイダーの確認は2026年9月18日を、実際の選択・契約開始は2026年10月30日を予定しており、SMS・音声認証の利用を継続したい顧客は同ストア内から選択できる。Microsoft提供のSMS・音声認証をパスキーに移行する場合、追加コストは発生しない一方、Security Store経由の通信プロバイダーはメッセージ単位で別途課金される。

SSPRにも適用、パスワードレス利用者への対応も予定

　今回の廃止は、セルフサービスパスワードリセット（SSPR）を含むEntra全体に適用される。SSPR利用者も、Security Storeを通じたSMS・音声通信プロバイダーは引き続き利用できる。Microsoftは、パスワードレス認証を利用しているユーザー向けに、パスワード変更のサポートも別途導入する予定だとしている。

　なお今回のスケジュールが適用されるのはパブリッククラウド環境のみで、その他のクラウド環境は別のスケジュールで移行の案内が行われる予定としている。