Microsoft Entra ID を使用したパスキー (FIDO2) 認証マトリックス

Microsoft Entra ID を使用すると、多要素パスワードレス認証にパスキー (FIDO2) を使用できます。 この記事では、Microsoft Entra ID で passkey を使用したサインインをサポートするネイティブ アプリケーション、Web ブラウザー、オペレーティング システムについて説明します。

FIDO2 セキュリティ キーを有効にして Windows デバイスのロックを解除する方法については、「Microsoft Entra IDを使用して Windows 10 および 11 デバイスに FIDO2 セキュリティ キーのサインインを有効にする」を参照してください。

Note

Microsoft Entra ID は現在、FIDO2 セキュリティ キーおよび Microsoft Authenticator に格納されているデバイス バインド パスキーをサポートしています。 Microsoft は、パスキーを使用した顧客とユーザーの保護に取り組んでいます。 職場アカウント用の同期パスキーとデバイス バインド パスキーの両方に投資しています。

ウェブブラウザ

次のセクションでは、Microsoft Entra ID を使用した Web ブラウザーでのパスキー (FIDO2) 認証のサポートについて説明します。

OS	Chrome	Edge	Firefox	Safari
Windows	✅	✅	✅	N/A
macOS	✅	✅	✅	✅
ChromeOS	✅	N/A	N/A	N/A
Linux	✅	✅	✅	N/A
iOS	✅	✅	✅	✅
Android	✅	✅	❌	N/A

各プラットフォームに関する考慮事項

Windows

• セキュリティ キーを使用したサインインには、次のいずれかの項目が必要です。
  • Windows 10 バージョン 1903 以降
  • Chromium ベースの Microsoft Edge
  • Chrome 76 以降
  • Firefox 66 以降

macOS

• Passkey を使用したサインインには、MacOS Catalina 11.1 以降と Safari 14 以降が必要です。Microsoft Entra ID では多要素認証にユーザー検証が必要であるためです。
• macOS では、Apple が近距離通信 (NFC) と Bluetooth Low Energy (BLE) セキュリティキーをサポートしていません。
• これらの macOS ブラウザーでは、生体認証または PIN の設定を求めないため、新しいセキュリティ キーの登録は機能しません。
• macOS 上の Safari については、「3 つより多くのパスキーが登録されているときにサインインする」をご覧ください。

ChromeOS

• Google による ChromeOS では、NFC と BLE のセキュリティ キーはサポートされていません。
• ChromeOS または Chrome ブラウザーでは、セキュリティ キーの登録はサポートされていません。

Linux

• Microsoft Authenticator のパスキーを使用したサインインは、Linux 上の Firefox ではサポートされていません。

iOS

• Microsoft Entra ID では多要素認証にユーザー検証が必要であるため、passkey を使用したサインインには iOS 14.3 以降が必要です。
• Apple では、iOS では BLE セキュリティ キーはサポートされていません。
• FIPS 140-3 認定セキュリティ キーを使用した NFC は、Apple の iOS ではサポートされていません。
• 新しいセキュリティ キーの登録は、生体認証または PIN の設定を求めないため、iOS ブラウザーでは機能しません。
• 「3 つより多くのパスキーが登録されているときにサインインする」をご覧ください。

Android

• Microsoft Entra ID では多要素認証にユーザー検証が必要なため、パスキーを使用したサインインには Google Play Services 21 以降が必要です。
• Google では、Android では BLE セキュリティ キーはサポートされていません。
• Microsoft Entra ID でのセキュリティ キーの登録は、Android ではまだサポートされていません。
• Android 上の Firefox では、パスキーを使用したサインインはサポートされていません。

既知の問題

3 つより多くのパスキーが登録されているときにサインインする

3 つ以上のパスキーを登録した場合、パスキーを使用してサインインすると、iOS または macOS の Safari では機能しない可能性があります。 パスキーが 3 つより多い場合は、回避策として、[サインイン オプション] をクリックしてユーザー名を入力せずにサインインします。

ネイティブ アプリ

次のセクションでは、Microsoft および Microsoft Entra ID を使用したサードパーティ アプリケーションでのパスキー (FIDO2) 認証のサポートについて説明します。

Note

現時点では、サードパーティ ID プロバイダー (IDP) を使用したパスキー認証は、認証ブローカーを使用するサード パーティのアプリケーション、または macOS、iOS、または Android 上の Microsoft アプリケーションではサポートされていません。

認証ブローカーでのネイティブ アプリケーションのサポート

Microsoft アプリケーションは、オペレーティング システム用に認証ブローカーがインストールされているすべてのユーザーに対して、パスキー認証のネイティブ サポートを提供します。 パスキー認証は、認証ブローカーを使用するサード パーティ製アプリケーションでもサポートされています。

ユーザーが認証ブローカーをインストールした場合、Outlook などのアプリケーションにアクセスするときに、パスキーを使用してサインインすることを選択できます。 パスキーを使用してサインインするようにリダイレクトされ、認証が成功した後、サインインユーザーとして Outlook にリダイレクトされます。

次の表に、オペレーティング システムごとにサポートされている認証ブローカーを示します。

OS	認証ブローカー
iOS	Microsoft Authenticator
macOS	Microsoft Intune 会社ポータル
Android	Authenticator、ポータル サイト、または Windows にリンクのアプリ

認証ブローカーを使用しない Microsoft アプリケーションのサポート

次の表に、認証ブローカーを使用しないパスキー (FIDO2) に対する Microsoft アプリケーションのサポートを示します。 アプリを最新バージョンに更新して、パスキーで動作するようにします。

アプリケーション	macOS	iOS	Android
リモート デスクトップ	✅	✅	❌
Windows アプリ	✅	✅	❌
Microsoft 365 Copilot (Office)	N/A	✅	❌
ワード	✅	✅	❌
PowerPoint	✅	✅	❌
エクセル	✅	✅	❌
OneNote	✅	✅	❌
Loop	N/A	✅	❌
OneDrive	✅	✅	❌
Outlook	✅	✅	❌
Teams	✅	✅	❌
Edge	✅	✅	❌

認証ブローカーを使用しないサード パーティ製アプリケーションのサポート

ユーザーが認証ブローカーをまだインストールしていない場合でも、MSAL 対応アプリケーションにアクセスする際は、パスキーを使用してサインインできます。 MSAL 対応アプリケーションの要件の詳細については、「開発するアプリで FIDO2 キーを使用したパスワードレス認証をサポートする」を参照してください。

各プラットフォームに関する考慮事項

Windows

• ネイティブ アプリへの FIDO2 セキュリティ キーを使用したサインインには、Windows 10 バージョン 1903 以降が必要です。
• Microsoft Authenticator でネイティブ アプリにパスキーを使用してサインインするには、Windows 11 バージョン 22H2 以降が必要です。
• Microsoft Graph PowerShell では、パスキー (FIDO2) がサポートされます。 Edge の代わりに Internet Explorer を使用する一部の PowerShell モジュールでは、FIDO2 認証を実行できません。 たとえば、SharePoint Online または Teams 用の PowerShell モジュールや、管理者の資格情報を必要とする PowerShell スクリプトでは、FIDO2 に対するダイアログは表示されません。
  • 回避策として、ほとんどのベンダーは FIDO2 セキュリティ キーに証明書を配置できます。 証明書ベースの認証 (CBA) は、すべてのブラウザーで機能します。 これらの管理者アカウントに対して CBA を有効にできる場合は、一時的に FIDO2 ではなく CBA を要求できます。

iOS

• Microsoft Enterprise シングル サインオン (SSO) プラグインなしでネイティブ アプリでパスキーを使用してサインインするには、iOS 16.0 以降が必要です。
• SSO プラグインを使用してネイティブ アプリでパスキーを使用してサインインするには、iOS 17.1 以降が必要です。

macOS

• macOS では、ポータル サイトを認証ブローカーとして有効にするには、Microsoft Enterprise シングル サインオン (SSO) プラグイン が必要です。 macOS を実行するデバイスは、モバイル デバイス管理への登録を含む SSO プラグインの要件を満たしている必要があります。
• SSO プラグインを使用してネイティブ アプリでパスキーを使用してサインインするには、macOS 14.0 以降が必要です。

Android

• ネイティブ アプリへの FIDO2 セキュリティ キーを使用したサインインには、Android 13 以降が必要です。
• Microsoft Authenticator でネイティブ アプリにパスキーを使用してサインインするには、Android 14 以降が必要です。
• YubiOTP が有効になっている Yubico 製の FIDO2 セキュリティ キーを使用したサインインは、Samsung Galaxy デバイスでは機能しない可能性があります。 回避策として、ユーザーは YubiOTP を無効にして、もう一度サインインを試みることができます。

次のステップ

パスワードなしのセキュリティ キー サインインを有効にする