Microsoft Entra IDの歴史において最大の認証の転換が始まりました。2026年7月13日、MicrosoftはpasskeysをEntra IDのデフォルトのフィッシング耐性認証方式にすることを発表し、Microsoft提供のSMSおよび音声MFAは2027年2月までに完全に廃止されることを明らかにしました。これは提案でも推奨でもありません — オプトアウト不可の強制的な移行です。

この大型発表と同時に、MicrosoftはConditional AccessにおけるCustom Controlsの廃止スケジュール（MC1422061）も正式に発表し、組織にExternal MFAへの移行の明確な期限を提示しました。

両方の発表、タイムライン、そして組織が正確に何をすべきかを詳しく見ていきましょう。

1. PasskeysがEntra IDのデフォルト認証方式に

発表日： 2026年7月13日 情報源： Microsoft Security Blog 対象クラウド： パブリッククラウド（その他のクラウドは別スケジュールで順次対応）

全体像

Microsoftは、SMSおよび音声ベースのMFAからpasskeysへの多段階の移行を実行しており、個々の組織が参加するかどうかを判断することは認められていません。ロールアウトは自動的で、Microsoftが管理し、最終的に義務化されます。

その理由は、Microsoftが引用する脅威インテリジェンスから明確です：

  • AIを活用したフィッシングキャンペーンは、従来のフィッキングキャンペーンの約**12%と比較して、最大54%**のクリック率を達成しています
  • Microsoftは1秒あたり4,000件以上のパスワードベースの攻撃を観測しています
  • SIMスワッピングやMFAバイパス技術はより身近で反復可能になり、AIツールによって増幅されています

SMSおよび音声認証は、攻撃者が次第に傍受、フィッシング、または操作する共有シークレットとチャネルに依存しています。公開鍵暗号方式に基づくpasskeysは、設計上フィッシング耐性があります — SMSコードのように傍受、再生、ソーシャルエンジニアリングされることはありません。

タイムライン：4つの重要な日付

2026年9月1日 — Passkeysがデフォルトに

MicrosoftはパブリッククラウドのすべてのEntra IDテナントに対して段階的なロールアウトを開始します。ロールアウトが各組織に到達すると：

  • 現在SMSまたは音声認証が有効なユーザーは、自動的にpasskeysが有効になります
  • それらのユーザーが次にMFAを実行する際、サインイン中にpasskeyの登録を求められます
  • passkeysをターゲットとしたMicrosoft管理のRegistration Campaignが、採用を促進するためにすべての対象テナントで有効になります

これをトリガーするための管理者の操作は不要です — ロールアウトがテナントに到達すると自動的に実行されます。

2026年9月18日 — テレコムパートナーの詳細公開

Microsoftはサポートされるテレコムプロバイダーに関する情報を共有します。内容は以下の通りです：

  • 価格および商取引条件
  • デプロイメントガイダンスおよび技術ドキュメント
  • Microsoft Security Storeを通じて利用可能なサポート対象キャリアのリスト

これは、規制、技術、またはビジネス上の要件によりSMSまたは音声認証を維持する必要がある組織向けです。全員をpasskeysに移行できる場合は、これを完全に無視できます。

2026年10月30日 — テレコムパートナー設定開始

管理者はMicrosoft Security Storeを通じてサポート対象のテレコムプロバイダーを選択および設定できるようになります。重要なポイント：

  • お客様はサポート対象キャリアと直接契約します
  • お客様はプロバイダーが請求するテレコム関連のすべての費用を負担します
  • MicrosoftはSMS/音声配信費用を吸収しなくなります
  • 組織は本格的なロールアウト前にパイロットグループで設定をテストすべきです

2027年2月1日 — Microsoft提供のSMSおよび音声の廃止

これが確定的な期限です：

  • Microsoft提供のSMSおよび音声認証のテレコム配信が終了します
  • SMSおよび音声はMicrosoft Entra IDのネイティブ機能として提供されなくなります
  • SMSまたは音声に依存しているユーザーは、サインイン前にpasskeyの登録が要求されます
  • すべてのテナントのすべてのユーザーに対して自動passkey登録プロンプトが強制されます
  • オプトアウトの選択肢はありません

この日以降、SMSまたは音声の継続使用は、Security Storeを通じてお客様が設定したテレコムパートナー経由で実行する必要があります。

Entra IDでサポートされるPasskeyの種類

Microsoft Entra IDは複数の種類のpasskeysをサポートしており、デプロイメントの柔軟性を組織に提供します：

同期型passkeys：

  • iCloud KeychainやGoogle Password Managerなどのプラットフォームクレデンシャルマネージャーに保存
  • ユーザーのデバイス間で利用可能
  • 2026年6月にEntra IDで一般提供開始

デバイスバインド型passkeys：

  • Microsoft Authenticator passkeys — Authenticatorアプリ内の特定のデバイスに保存
  • Entra passkeys on Windows — Windows Helloコンテナに直接登録され、Windows Helloの生体認証またはPINで動作
  • FIDO2 security keys — Yubicoなどのベンダーからのハードウェアベースのキー

これらはすべてFIDO2クレデンシャルとして機能し、2026年6月に一般提供開始となった認証方法ポリシーのpasskey profilesを通じて管理されます。

なぜこれが組織にとって重要なのか

組織にまだSMSまたは音声MFAのユーザーがいる場合 — 多くの組織がそうですが、特に最前線のワーカー、ブレイクグラスアカウント、またはスマートフォンの普及が限定的な地域のユーザー向けに — この移行は準備ができているかどうかに関係なくやってきます。

良いニュース：Microsoftはこれを比較的スムーズにするインフラを構築しました。passkeysフレームワーク、Registration Campaigns、system-preferred authentication、passkey profilesはすべてすでに整備され、一般提供されています。自動有効化により、ユーザーごとに手動でスイッチを切り替える必要はありません。

悪いニュース：SMS/音声に対する真の規制または運用上の要件がある場合、新しいベンダー関係、新しいコスト、そして2026年10月30日という設定期限に直面することになります。また、2027年2月の期限に間に合わなければ、ユーザーはpasskeyを登録するまでロックアウトされます。

準備方法

ステップ1：認証方法の監査（今すぐ実施）

Entra管理センターでAuthentication Methodsポリシーを確認します。SMSまたは音声認証がまだ有効なユーザーとグループを特定します。ビジネス機能、リスクレベル、およびSMS/音声を維持する真の規制/運用上のニースがあるかどうかによって分類します。

ステップ2：Passkeyロールアウトの計画

まだ実施していない場合は、認証方法ポリシーでpasskeys（FIDO2）を有効にします。ユーザーのデバイスとワークフローに最適なpasskeyの種類を選択します。Registration Campaignsを使用して、サインイン中にユーザーにpasskeyの登録を促します — これはMicrosoftが自動ロールアウトで使用するのと同じメカニズムなので、先行して取り組むことができます。

ステップ3：ユーザーコミュニケーションの準備

ユーザーは何が変わるのか、いつpasskeyプロンプトが表示されるのか、デバイスで登録を完了する方法を知る必要があります。これは、passkeysに馴染みがない可能性のある最前線のワーカーや非技術系ユーザーにとって特に重要です。ステップバイステップのガイダンスとサポートリソースを提供してください。

ステップ4：残余のSMS/音声要件の処理

passkeysを本当に使用できないユーザー（規制シナリオ、レガシーデバイス、特定の運用ニーズ）の場合：

  1. 影響を受けるユーザーセグメントとユースケースを文書化
  2. 2026年10月30日以降、Microsoft Security Storeでサポート対象のテレコムプロバイダーを選択・設定
  3. 本格的なロールアウト前にパイロットグループでテスト
  4. 2027年2月1日までに切り替えを完了

ステップ5：System-Preferred Authenticationの活用

Entra IDのsystem-preferred authentication（2026年6月に第一要素に拡張）は、各ユーザーに対して登録された最も強力な認証方法を自動的に選択します。ユーザーがpasskeysを登録すると、システムは自然により弱い方法よりもpasskeysを優先します — 強力なpasskeyクレデンシャルを持つユーザーに対してはパスワードレスサインインを可能にする可能性があります。

すでに整備されている関連Entra ID機能

2026年6月のEntra IDアップデートのいくつかが、この移行の基盤を提供しています：

  • 同期型passkeys GA — ほとんどのユーザーが最初に遭遇するpasskeyの種類
  • Passkey profiles GA — ユーザーグループごとに異なるpasskey設定を管理するための管理フレームワーク
  • Registration Campaignsがpasskeysをサポート — Microsoftが使用する促進メカニズム
  • System-preferred authenticationが第一要素に拡張 — より強力な方法の自動優先
  • SSPRの登録済みメソッド要求（2026年9月7日） — パスワードリセットが登録済みメソッドのみを使用することを保証する補完的変更
  • クレデンシャル登録中のConditional Accessの強制（2026年7月6日） — Windows HelloおよびmacOS Platform SSO登録中のセキュリティギャップを埋める

2. Conditional AccessにおけるCustom Controlsの廃止

発表日： 2026年7月9日（MC1422061） 情報源： M365 Message Center 対応期限： 2027年4月30日

何が起きているか

MicrosoftはConditional AccessにおけるCustom Controlsを正式に廃止します — これはEntra IDポリシーにサードパーティMFAプロバイダーを統合するためのレガシーフレームワークです。代替はExternal MFA（旧称External Authentication MethodsまたはEAM）で、すでに一般提供されており、OpenID Connectを使用したモダンで標準ベースの統合を提供します。

タイムライン

2026年9月： 管理者はConditional Accessポリシーで新しいCustom Controlsを作成したり、既存のCustom Controlsを変更できなくなります。既存のCustom Controlsは引き続き機能します。

2027年5月： Custom Controlsは完全に廃止され、サポートされなくなります。Custom Controlsを使用するすべてのConditional Accessポリシーは、この日までにExternal MFAに移行する必要があります。

影響を受ける組織

現在Conditional AccessポリシーでCustom Controlsを使用している組織 — 通常はDuo Security、Okta、その他のID検証ソリューションなどのサードパーティMFAプロバイダーを統合している組織です。Custom Controlsを使用していない場合は、対応は不要です。

移行パス

  1. Conditional Accessポリシーを確認し、Custom Controlsを使用しているものを特定
  2. サードパーティMFAプロバイダーをEntra IDのExternal Authentication Methodとして設定
  3. 影響を受けるConditional Accessポリシーを、標準の「Require multifactor authentication」グラントコントロールを使用するように更新（External MFAをサポート）
  4. 認証フローを検証し、移行の成功を確認
  5. 移行完了後、すべてのCustom Control参照を削除

なぜこれが重要なのか

Custom ControlsはサードパーティMFAを統合するための有用なブリッジでしたが、限界がありました — Conditional Accessと深く統合できず、system-preferred authenticationに参加できず、モダンな認証フレームワークの外で機能していました。External MFAは、OpenID Connect標準を使用し、Conditional Accessポリシー評価とのネイティブ統合を提供することで、これらの問題をすべて解決します。

passkeysデフォルト化の発表と合わせると、サードパーティMFAプロバイダーを使用している組織は2つの決定を下す必要があります：

  1. サードパーティMFAの代わりにpasskeysに移行できるか？ はいの場合、External MFAを完全にスキップし、ネイティブのEntra ID passkeysを使用できます。
  2. サードパーティMFAプロバイダーを維持する必要がある場合、 Custom ControlsからExternal MFAに2026年9月まで（Custom Controlsを変更できなくなるまで）に移行し、確実に2027年5月までに完了してください。

より大きな展望：Microsoftの認証の最終目標

これら2つの発表を合わせて見ると、Entra IDにおけるMicrosoftの認証に関する戦略的方向性が明らかになります：

  1. フィッシング耐性認証がプレミアムオプションではなくデフォルトになりつつあります。 Passkeysは無料で、自動的で、最終的に必須です。追加のライセンスは不要です。

  2. フィッシング可能な認証方法は非推奨ではなく廃止されます。 SMSと音声は警告ラベルを取得するのではなく、プラットフォームから完全に削除されます（Microsoft提供の配信の場合）。

  3. エコシステムは標準の周りに統合されています。 Custom Controls（独自の統合）→ External MFA（OpenID Connect標準）。SMS/音声（テレコムベース）→ Passkeys（FIDO2/WebAuthn標準）。Microsoftは認証パスの数を減らし、業界標準に収束させています。

  4. 移行は管理者ではなくMicrosoftが管理します。 Passkeysのロールアウトは自動的に行われます。Registration CampaignsはMicrosoftが有効にします。System-preferred authenticationが最も強力な方法を自動選択します。管理者がユーザーを手動で移行する必要はありません — Microsoftが代わりに行います。

組織にとってのメッセージは明確です：「いずれpasskeysに移行する」という時代は終わりました。移行は進行中であり、タイムラインは公開され、期限は確定的です。今が計画の時です。

リソース

著者について：Kevin KaminskiはBig Hat Group Inc.の創業者であり、AIとクラウド技術を専門とする20年以上のMicrosoftパートナーです。Xでhttps://x.com/kkaminskをフォローして、Microsoftインフラとセキュリティの最新情報を入手してください。