2026 年 8 月 10 日から 15 日までの 1 週間、Microsoft Entra ID には一貫したストーリーがありました。人間とマシンの両方に対する認証の強化、外部 ID の成熟、そして重要な Agent ID ガイダンスの更新です。Microsoft は 8 月 11 日に、Entra ID 無料テナント向けの SMS 第一要素認証を廃止しました。Google Cloud と SPIFFE/SPIRE 向けの新しいワークロード ID フェデレーションのチュートリアルは、シークレットレス アーキテクチャを前進させます。Agent ID ガイダンスはアプリ登録からアイデンティティ ブループリントへと移行しました。さらに、Dynamics 365 Commerce に Entra External ID 向けの代理注文機能が追加されます。知っておくべきすべての情報は以下のとおりです。

1. Entra ID 無料テナント向け SMS 第一要素認証の廃止 (MC1448374)

2026 年 8 月 11 日、Microsoft は Microsoft Entra ID 無料テナントにおける第一要素のサインイン方法としての SMS を正式に廃止しました。つまり、無料テナントでワンタイム SMS コードの受信をプライマリ認証方法として利用していたユーザーは、今後その方法でサインインできなくなります。

Microsoft がこの変更を行った理由

公式の理由は詐欺リスクです。SMS ベースの認証には次のような脆弱性があります:

  • SIM スワップ攻撃:攻撃者が電話番号を乗っ取り、コードを傍受する
  • フィッシング キャンペーン:偽のサインイン ページでコードを入力させてユーザーをだます
  • ソーシャル エンジニアリング:攻撃者がユーザーを説得してコードを共有させる

これらの弱点により、SMS は現在利用可能な認証方法の中でも最も安全性の低いものの 1 つとなっています。

影響を受けるものと受けていないもの

  • 影響を受ける: Entra ID 無料テナントにおける第一要素(プライマリ)サインイン方法としての SMS
  • 影響を受けない: 多要素(第二要素)認証方法としての SMS — 引き続き機能します
  • 影響を受けない: 有料の Entra ID プラン(ただし、より広範な SMS/音声の廃止スケジュールはすべての人に適用されます)

より広範なスケジュール

今回の廃止は、Microsoft の認証近代化の取り組みにおける初期のマイルストーンです:

日付マイルストーン
2026 年 8 月 11 日Entra ID 無料テナント向け SMS 第一要素認証を廃止
2026 年 9 月 1 日パスキーが既定のエクスペリエンスに — SMS/音声ユーザーはパスキーが自動有効化
2026 年 10 月第一方法のパスキー登録を開始(フェーズ 1:同期パスキー、Windows の Entra パスキー、FIDO2 キー)
2027 年 1 月フェーズ 2 を開始(Windows Hello for Business、macOS Platform SSO、Authenticator アプリ)
2027 年 2 月 1 日Microsoft ホストの SMS および音声 MFA を完全に廃止

2026 年 9 月 1 日から 2027 年 2 月 1 日までの間、Graph Beta 経由で一時的なオプトアウト API を利用できます(optOutSettings.passkeyDynamicMigration を true に設定)。ただし、これは自動有効化を遅らせるだけであり、2027 年 2 月の廃止にオプトアウトの手段はありません。

管理者が行うべきこと

  1. 影響を受けるユーザーを特定する — Entra ID 無料テナントで SMS をプライマリ サインインとして使用しているユーザー
  2. 代替の認証方法を有効にする — Microsoft Authenticator アプリ、パスキー、FIDO2 セキュリティ キー
  3. 認証ポリシーを更新する — SMS 第一要素の削除を反映
  4. 9 月 1 日のパスキー展開に備える — テナントが無料プランの廃止の影響を受けない場合でも

Microsoft は、SMS または音声認証をまだ使用しているユーザーを棚卸しするための entra-sms-voice-usage-analyzer PowerShell スクリプトを GitHub で公開しました。

2. Dynamics 365 Commerce での Entra External ID の代理注文 (MC1453678)

Microsoft は、Dynamics 365 Commerce で Microsoft Entra External ID の代理注文サポートを発表しました。一般提供は 2026 年 9 月 11 日を予定しています。

これによって可能になること

この機能により、承認されたスタッフ(コールセンター エージェント、店舗スタッフ、B2B アカウント マネージャー)は、Entra External ID で表現される外部 ID(顧客またはパートナー)に代わって注文を発行できます。スタッフが取引を開始した場合でも、コマース ワークフローは外部 ID のプロファイル、嗜好、ロイヤルティ プログラム、および権利を尊重します。

実用的なシナリオ

  • カスタマー サービス エージェントが電話で注文する顧客に代わって注文を発行し、注文を正しい顧客アカウントとロイヤルティ特典に結び付ける
  • B2B アカウント マネージャーが、交渉済みの条件と契約に基づいてクライアント組織に代わって注文する
  • パートナー エコシステムでの委任注文 — ID 関係と同意を Entra で一元管理する

なぜ重要か

これは、Microsoft の External ID が純粋な認証メカニズムから、中核となる業務運営の基盤へと成熟していることを示しています。外部 ID(顧客、パートナー)は、ログイン資格情報としてだけでなく、ビジネス プロセス全体でコンテキスト、嗜好、権利を運ぶファーストクラスのエンティティとして、コマース ワークフローに深く統合されつつあります。

3. 新しいワークロード ID フェデレーションのチュートリアル:Google Cloud と SPIFFE/SPIRE

今週、Microsoft は Entra ワークロード ID フェデレーション向けの新しいファーストパーティ チュートリアルを 2 件公開し、マルチクラウドおよびマルチランタイムのシークレットレス アーキテクチャへのハードルを下げました。

Google Cloud チュートリアル

新しい Google Cloud チュートリアル では、次の方法を説明しています:

  1. Google が発行したサービス アカウント トークンを信頼するように Microsoft Entra アプリケーションを構成する
  2. そのトークンを Microsoft Entra アクセス トークンと交換する
  3. アプリケーションのシークレットを保存せずに Azure リソース(Key Vault、Storage など)にアクセスする

Google Cloud で実行されているワークロードは、Google メタデータ サーバーから自身の ID トークンを要求し、トークン交換(RFC 8693)を使用して Entra アクセス トークンを取得します。コードや構成に長期有効なシークレットは保存されません。

SPIFFE/SPIRE チュートリアル

新しい SPIFFE/SPIRE チュートリアル では、次のことを示しています:

  1. Kubernetes ワークロードが SPIRE コントロール プレーンから SPIFFE JWT-SVID を取得する方法
  2. JWT-SVID を Microsoft Entra アクセス トークンと交換する方法
  3. 保存されたシークレットなしで Azure リソースにアクセスする方法

SPIFFE(Secure Production Identity Framework for Everyone)は、Kubernetes クラスター、クラウド プロバイダー、オンプレミス環境にわたって機能するベンダー中立の ID レイヤーを提供します。

より大きな全体像

これらのチュートリアルは、マシン向けの並行する認証近代化ストーリーを強化します。Microsoft が人間を SMS からパスキーへ移行しているのと同様に、ワークロードを静的シークレットからフェデレーションされた短期トークンへ移行しています。ゼロトラストの原則(明示的に検証する、最小特権を使用する、侵害を想定する)は、サービス アカウント、CI/CD パイプライン、AI エージェントにも同様に適用されます。

これらのチュートリアルは、8 月初旬に発表された広範な Entra Agent ID for Dataverse も補完します。これは AI エージェント ID に同様のフェデレーション パターンを使用しています。

4. Agent ID ガイダンス:アイデンティティ ブループリント、チャネル権限、動的グループ

今週、Microsoft は Agent ID ドキュメントを大幅に更新し、非人間 ID を Entra ID でどのようにモデル化してガバナンスするかを明文化しました。

アーキテクチャ:アプリ登録ではなくアイデンティティ ブループリント

更新されたアーキテクチャ ガイダンスでは、管理者は標準的なアプリ登録 API ではなく、エージェント ID ブループリント(agent identity blueprint)と Microsoft.Graph.AgentIdentity オブジェクトからエージェントを作成するよう明示的に指示されています。これは、Microsoft が組織に AI エージェント ID をどのように考えてほしいかという点における大きな転換です。

重要なポイント:

  • エージェント ID は対話型の同意を使用できません — 委任されたアクセス許可は、継承可能なブループリントのアクセス許可を通じて事前承認する必要があります
  • トークン交換フローでは、Tc(クライアント トークン)がエージェント ID ブループリントをターゲットにし、T1(リソース トークン)がトークン交換リソースをターゲットにして、ブループリントと子エージェント ID に対して検証される必要があります
  • サポートされている作成チャネル、ロール、アクセス許可、.NET の使用方法が文書化されています

チャネル権限:エージェント向け M365 コミュニケーション

新しいガイダンスでは、Microsoft 365 コミュニケーション チャネルがエージェントに必要なアクセス許可にマッピングされています:

チャネル受信送信
Outlook メールMail.ReadMail.Send
OneDrive/SharePoint コメントFiles.ReadFiles.ReadWrite
Teams チャットChat.ReadChatMessage.Send
Teams チャネルChannelMessage.ReadChannelMessage.Send

管理者は、このチャネル別の表を使用して、最小特権の精度でエージェントのアクセスを構成できます。

動的グループ:エージェント ユーザー アカウントが対象

Microsoft Entra ID のガイダンスでは、エージェント ユーザー アカウントがユーザー ベースの動的メンバーシップ ルールによって評価され、動的ユーザー グループに参加できることが明示的に説明されるようになりました。既定では、動的ルールはエージェント アカウントと通常のユーザー アカウントを区別しませんが、管理者は明示的に含めたり除外したりできます(エージェント ID ブループリントによるフィルター処理を含む)。

これにより、次のようなシナリオが可能になります:

  • カスタム セキュリティ属性を使用して、環境(開発/テスト/本番)ごとにすべてのエージェントを自動的にグループ化する
  • 特定のライセンス グループからエージェント アカウントを除外する
  • エージェント専用グループを対象とする条件付きアクセス ポリシーを作成する

5. Windows のパスキー登録がプレビュー ラベルを外す

「Register a Microsoft Entra passkey on Windows」(Windows で Microsoft Entra パスキーを登録する)ドキュメント ページのタイトルと見出しから「(プレビュー)」の表記が削除されました。Microsoft は登録フロー自体の正式な GA 発表は行っていませんが、この変更は運用環境での使用準備が整ったことを示しています。

これは、より広範なパスキー加速の動きと一致しています:

  • MC1282568:Windows の Entra パスキーが 2026 年 7 月 20 日に GA に到達(全世界および GCC)
  • MC1450133:パスキーが最初の MFA 方法として 2026 年 10 月に開始(フェーズ 1:同期パスキー、Windows の Entra パスキー、FIDO2 キー)
  • MC1440968:パスキー登録の最適化が 2026 年 8 月下旬に展開

登録エクスペリエンスからプレビュー ラベルが外れたことで、パスキーをプライマリ サインイン方法として推進したいが、実験的と表示された機能の展開には躊躇していた管理者の障壁が低くなります。

6. GSA V2 Web フィルタリング モデルのドキュメント化

新しい Microsoft Learn の記事で、Global Secure Access V2 の Web フィルタリング モデルが文書化されました。このモデルでは次のものが導入されます:

  • セキュリティ プロファイルごとに 1 つのポリシー(V1 の複数ポリシー アプローチよりもシンプル)
  • 個別のアクションを持つ複数のルールをポリシーごとに
  • 一致しないトラフィックに対する既定のアクション
  • より正確なターゲティングのための URL ベースの FQDN 宛先

既存の V1 Web コンテンツ フィルタリング ポリシーは、組織が移行を選択するまで引き続き機能します。V2 モデルはポリシーの複雑さを軽減し、Web アクセス決定をよりきめ細かく制御できます。

7. その他のドキュメント更新

今週は、いくつかのドキュメントの明確化が公開されました:

  • カタログ アクセス レビュー: プレビュー ラベルを削除、レビュー担当者の用語をマネージャー以外にも拡大、12 時間のデータ鮮度に関する注意事項を追加(レビュー開始前 12 時間以内の変更は表示されない場合があります)
  • Identity Protection: 「デバイス無効化」(Device disablement)を「攻撃者によって追加されたデバイス」(Attacker-added device)に改名し、対応を文書化(デバイス無効化、トークン発行ブロック、更新トークン失効、セッション失効)
  • レプリカ セットのネットワーク: レプリカ セットをホストするすべての仮想ネットワークは完全にメッシュ化されている必要があります — 展開の前提条件を明確化
  • 段階的ロールアウト (Staged Rollout): Staged Rollout に追加または削除されたユーザーの追加の対話型サインイン シナリオを文書化(ID Protection の修復イベントを含む)
  • オプションの要求 (Optional Claims): SAML アプリ向けの詳細な AMR 構成ガイダンスを文書化(マニフェストまたは Graph を使用する必要があり、管理センターの UI はありません)
  • Puzzel プロビジョニング: OAuth2 クライアント資格情報付与の認証を文書化

重要なポイント

今週の更新は、Microsoft の ID 戦略について明確なストーリーを示しています:

  1. 認証の強化が加速しています。 SMS 第一要素は無料テナントで廃止され、パスキーはプレビュー ラベルを外しつつあり、2027 年 2 月の SMS/音声廃止が迫っています。パスキー移行をまだ開始していない組織は、残された時間が少なくなっています。

  2. 外部 ID がビジネス プラットフォームになりつつあります。 Dynamics 365 Commerce の代理注文は、Entra External ID が認証のみからコマース運営の基盤へと移行していることを示しています。

  3. Agent ID ガイダンスが成熟しています。 アプリ登録からアイデンティティ ブループリントへの移行、チャネル固有のアクセス許可マッピング、動的グループ サポートにより、組織は AI エージェント ID を大規模にガバナンスするための適切なリファレンス アーキテクチャを手に入れられます。

  4. シークレットレス アーキテクチャがより簡単になっています。 Google Cloud と SPIFFE/SPIRE 向けの新しいワークロード ID フェデレーションのチュートリアルにより、マルチクラウド組織が保存されたシークレットを排除するハードルが下がります。

Entra ID を使用している組織にとって、今週の優先事項は明確です。無料テナントでの SMS 第一要素への依存を確認し、10 月の展開に先立ってパスキー登録キャンペーンを計画し、新しいブループリント ガイダンスに照らして Agent ID アーキテクチャをレビューし、ワークロード ID フェデレーションがマルチクラウド ワークロードの保存されたシークレットを置き換えられるかどうかを検討してください。

X で Kevin Kaminski をフォロー:https://x.com/kkaminsk — 毎日の Microsoft Entra ID と Azure の最新情報。