[EMS]Azure AD セルフパスワードリセットの本人確認について

いつも Device & Mobility Team Blog をご覧いただきありがとうございます。EMS 担当の鈴木です。
本日はAzure ADのセルフパスワードリセットの本人確認手段の設定方法について紹介します。

Azure ADのセルフパスワードリセット機能は、最近ヘルプデスクの負荷軽減手段としてよく活用されています。しかし電話番号やメールアドレスの設定がユーザーに徹底できないことから導入をためらわれているユーザーも多いのではないでしょうか。
ここではその問題を解消するため、本人確認手段の設定方法の詳細をご紹介いたします。

Azure ADのセルフパスワードリセット機能の本人確認方法には以下の手段があります。

　

この中で会社電話と携帯電話は管理者がAzure ADの管理画面から設定できます。さらにAzure ADとオンプレのActive Directoryが同期していればActive Directoryの情報を反映できます。Active Directory属性の電話番号（telephoneNumber）と携帯電話(mobile)がそれぞれAzureADの会社電話、携帯電話に同期されます。この時に注意点ですが、電話番号が国際電話番号の形式（日本なら+81
から始まる番号表記）で表記されている必要があります。ここのフォーマットが異なるとAzureADに同期されません。
また、電子メールにはAzure ADのユーザープリンシパルネーム（UPN)がデフォルトで設定されます

さらに上記のうち携帯電話はAzureADでより優先される番号を別属性で設定できます。また電子メールも別属性で複数追加で設定できます。これがユーザーが個別で設定できる値となります。この値を設定してもオンプレのActive DirectoryやAzure ADには影響がありません。

まとめると以下の表になります。

すでにオンプレのADで電話番号などを利用されている方もいらっしゃると思いますが、上記の展開規則を前提に、デフォルトで設定する値、エンドユーザーに入力してもらう値を決定してください。

会社電話、携帯電話が管理者で設定できる場合はユーザーに追加の設定をお願いする必要はありません。しかし同期が利用できない場合はユーザーに設定を促す必要があります。それがこちらの設定です。
下記を設定すると次回ログオン時に本人確認の設定を促す画面にリダイレクトされます。

　

セルフパスワードリセットはユーザーがどこにいても自分のIDを自分で管理できるソリューションです。そのメ リットは、管理者負担軽減だけでなく、ユーザーがいつでもどこでも、自分のIDを安全に管理できることです。ぜひご利用をご検討ください。