Windows 365環境を管理するIT管理者にとって、モバイルデバイスでの外部ユーザーサポートは常に妥協を意味していました。請負業者にCloud PCへのアクセスを提供できても、AndroidでのID体験はWindowsやmacOSに遅れをとっていました。Microsoftがエコシステム全体でパスキーとパスワードレスサインインを推進する中、セッション内のチャレンジは依然としてパスワードベースの認証が標準でした。

今週、そのギャップは大幅に縮小しました。Microsoftの最新のWindows 365アップデート（2026年7月27日の週）は、Cloud PCのモバイルアクセスを再構築する2つのAndroidフォーカス機能を提供します：

  1. Windows App for Androidでの外部IDサポートが一般提供（GA）を開始
  2. Windows App for Androidでのセッション内パスワードレス認証がプレビューとして利用可能

各機能の詳細、重要性、環境の準備方法を説明します。

1. Androidでの外部IDサポート（一般提供）

解決する問題

外部ID—Microsoft Entra External IDを通じて管理される請負業者、パートナー、サプライヤー、その他の非従業員ユーザー—は、しばらく前からWindows 365 Cloud PCにアクセスできていました。しかし、クライアントサポートは不均一でした。外部IDアクセスはWindowsおよびWebクライアントで利用可能で、徐々にmacOSとiOSに拡張されました。Androidは依然として例外であり、Androidタブレットやスマートフォンを使用する請負業者を持つ組織は、会社管理のWindowsデバイスを提供するか、アクセスを不便なプラットフォームに制限する必要がありました。

今回のGA発表により、これが変わります。外部IDはWindows App for Androidにサインインし、外部IDを使用して割り当てられたCloud PCにアクセスできるようになりました—内部ADアカウントは不要です。

仕組み

基盤となるメカニズムはMicrosoft Entra External IDに依存し、設定されている場合はドメインレスSAML IdPフェデレーションにも依存します。ドメインレスフェデレーションは2026年6月に一般提供されたばかりで、SAML IdPで設定されたドメインとは異なるメールドメインを持つ外部IDのCloud PCをプロビジョニングできます。ユーザーは組織への招待を引き換え、外部認証情報でWindows App for Androidにサインインします。

Global Secure Access（プライベートアクセス）を使用する組織では、外部ユーザーはGlobal Secure Accessクライアントを通じて自分のAndroidデバイスから接続し、割り当てられたトラフィック転送プロファイルを使用してCloud PCの背後にあるプライベートリソースにアクセスできます。これにより、エンドツーエンドのゼロトラストモデルが作成されます：外部ID → 条件付きアクセス → Global Secure Access → Windows 365 Cloud PC。

重要性

クライアントパリティ。 Androidは欠けていたピースでした。外部ユーザーはWindows、macOS、iOS、Androidで同じIDモデルを使用でき、デバイスに関係なくIT管理者は一貫したポリシー適用を得られます。

オンボーディングの簡素化。 請負業者用の内部ADアカウントをプロビジョニングする必要がありません。外部IDはEntra External IDに保持され、従業員ディレクトリから明確に分離され、ターゲットを絞った条件付きアクセスとライフサイクル管理が可能です。

展開シナリオの拡大。 フィールドワーカー、共有Androidタブレットを使用する請負業者、個人デバイスを使用するパートナーはすべて、プラットフォームの制限による摩擦なしにCloud PCにアクセスできます。

IT管理者が取るべきアクション

  • 外部IDポリシーを見直す。 Androidサポートを保留していた場合、今がアクセスポリシーを更新してWindows App for Androidを承認済みクライアントとして含める時です。
  • 条件付きアクセスを検証する。 CAポリシーがWindows 365クラウドアプリをターゲットにし、外部ユーザーに適切な認証強度要件を適用していることを確認します。
  • エクスペリエンスをテストする。 パイロットグループの外部ユーザーにGoogle PlayストアからWindows App for Androidをインストールさせ、サインインと接続フローを検証します。
  • ドキュメントを更新する。 請負業者のオンボーディングガイドを改訂し、Androidをサポート対象プラットフォームとして追加します。

2. Androidでのセッション内パスワードレス認証（プレビュー）

解決する問題

フロントドアでの強力なサインインがあっても、Cloud PCセッションは多くの場合、追加の認証チャレンジを必要とします—機密性の高い操作の再認証、条件付きアクセスのステップアッププロンプト、セッション内のアプリレベルのサインインなど。歴史的に、Androidでのこれらのセッション内チャレンジはパスワードやSMS・音声通話などのレガシーMFA方式がデフォルトでした。

これには2つの問題があります。第一に、パスワードはフィッシング可能で、セキュリティチェーンの中で歴史的に最も弱いリンクです。第二に、MicrosoftはレガシーMFAを積極的に廃止しています：Entra IDのネイティブSMS・音声MFAは2027年2月1日に廃止され、2026年9月1日からこれらの方式に依存しているユーザーにはパスキーの登録が促されます。

新しいプレビュー機能は、Microsoft Authenticatorに保存されたパスキーを使用して、Android上のWindows Appのセッション内チャレンジにWebAuthnベースのパスワードレス認証をもたらします。

仕組み

設定後のフローはシンプルです：

  1. 管理者がパスキーを有効化。 認証ポリシー管理者がEntra管理センターでPasskey（FIDO2）Syncedプロファイルタイプを有効にし、関連ユーザーまたはグループをターゲットにします。
  2. ユーザーがパスキーを登録。 ユーザーがAndroidのMicrosoft Authenticatorに職場または学校アカウントを追加し、アプリ内で直接、またはセキュリティ情報ページを通じてパスキーを作成します。
  3. セッション内チャレンジがWebAuthnをトリガー。 Windows App for AndroidまたはCloud PC内のリソースが強力な認証を要求すると、アプリがWebAuthnチャレンジをトリガーします。AndroidはAuthenticatorに処理を委譲し、ローカルに保存されたハードウェア保護されたパスキーを使用してチャレンジを完了します—通常は生体認証（指紋または顔）またはデバイスPINで行います。

ユーザーはパスワードを入力しません。チャレンジはフィッシング耐性を持ち、デバイスにバインドされ、数秒で完了します。

現在の制限事項

これはプレビューであるため、留意すべき制約があります：

  • ソフトウェアベースのパスキーのみ。 Microsoft Authenticatorなどのソフトウェアベースのプロバイダーを通じて保存されたパスキーをサポートします。ハードウェアセキュリティキーおよび他のデバイスからのクロスデバイスパスキー転送（例：QRコード）はこのプレビューではサポートされていません。
  • Androidのみ。 この特定のプレビューはAndroid上のWindows App用です。iOSサポートは後続すると予想されますが、タイムラインは発表されていません。
  • パスキープロバイダーの依存。 パスキーはWindows Appを実行している同じAndroidデバイスに保存されている必要があります。別のデバイスからのパスキーは使用できません。

重要性

Cloud PCセッションのフィッシング耐性認証。 パスキー（FIDO2/WebAuthn）はフィッシング、リプレイ、中間者攻撃の影響を受けません—パスワードやワンタイムコードよりも根本的に強力です。

Microsoftのパスワードレスロードマップとの整合。 SMS・音声MFAの廃止が2027年2月に迫る中、組織はセッション内認証の移行パスを必要としています。このプレビューはAndroid Cloud PCユーザーにそのパスを提供します。

より良いユーザー体験。 ユーザーはパスワードを入力したりSMSコードを待ったりする代わりに、指紋または顔スキャンでセッション内チャレンジを完了します。Androidの請負業者やフロントラインワーカーにとって、これはセキュリティを損なうことなく摩擦を軽減します。

条件付きアクセスの統合。 Entra IDの認証強度ポリシーは、特権アクセスにフィッシング耐性方式を要求できます。パスキーがセッション内チャレンジに利用できることで、管理者はサインイン時だけでなくCloud PCセッション全体を通じてこれらの要件をエンドツーエンドで適用できます。

IT管理者が取るべきアクション

  • Entra IDでパスキーを有効化。 まだ行っていない場合、Passkey（FIDO2）Syncedプロファイルを設定し、AndroidデバイスからCloud PCにアクセスするユーザーをターゲットにします。
  • 認証強度ポリシーを更新。 条件付きアクセスポリシーを見直し、Windows 365アクセスにフィッシング耐性認証強度を要求することを検討します。特に外部IDと特権ロールについて。
  • MFA移行タイムラインを伝達。 SMS・音声MFAが廃止されることをユーザーにリマインドします。2026年9月1日はパスキー登録プロンプトの期限です—ユーザーの準備を確実にします。
  • プレビューをパイロット。 Androidを使用する請負業者または従業員のグループを特定し、Windows AppとMicrosoft Authenticatorを使用したセッション内パスワードレス認証をテストします。

統合された影響：Androidが第一級のCloud PCクライアントに

これら2つのアップデートは合わせて、Windows 365エコシステムにおけるAndroidの位置を大幅に引き上げます。一般的なシナリオを考えてみましょう：

請負業者が個人用AndroidタブレットからCloud PCにアクセスする必要がある。

このアップデート以前：

  • Androidでの外部IDサポートは限定的—請負業者はサインインすらできない可能性があった
  • セッション内認証チャレンジはパスワードまたはSMS MFAに依存—どちらも弱く、どちらも廃止予定

このアップデート以後：

  • 請負業者は外部IDでWindows App for Androidにサインイン（GA）
  • 機密性の高い操作が再認証プロンプトをトリガーすると、Microsoft Authenticatorに保存されたパスキーで完了—生体認証、パスワード不要、SMS不要

これはMicrosoftがEntra ID、Windows 365、Windows Appエコシステム全体にわたって構築してきたエンドツーエンドのパスワードレス、ゼロトラストアクセスモデルです。Androidは今やこのストーリーの一部です。

準備チェックリスト

タスク優先度備考
Entra IDでPasskey（FIDO2）Syncedを有効化高セッション内パスワードレスプレビューに必要
Android上の外部IDの条件付きアクセスを更新高Windows App for Androidを承認済みクライアントとして含める
外部IDガバナンスを見直す中請負業者アカウントのライフサイクル管理が適切に行われていることを確認
SMS/音声MFA廃止をユーザーに伝達中2026年9月1日プロンプト期限；2027年2月1日廃止
Androidユーザーでセッション内パスワードレスをパイロット中より広範な展開前にエクスペリエンスを検証
請負業者オンボーディングドキュメントを更新低Androidをサポート対象プラットフォームとして追加

次のステップ

両機能は、Windows 365をすべてのプラットフォームでアクセス可能かつ安全にするMicrosoftのより広範な取り組みの一部であり、特にモバイルおよびBYODシナリオに焦点を当てています。外部IDのGAは現在利用可能で、セッション内パスワードレスプレビューは対象テナントにロールアウト中です。

iOSでのセッション内パスワードレスサポートは後続すると予想されます。Microsoft Authenticatorのパスキーサポートは既にiOSで利用可能だからです。また、Android上でWebAuthn標準が成熟するにつれて、MicrosoftはAuthenticator以外のサポートされるパスキープロバイダーを拡張する可能性があります。

大規模な請負業者人口またはモバイルファーストのワーカーを持つ組織にとって、これらのアップデートは即座に注目する価値があります。AndroidはもはやWindows 365アクセスの二級市民ではありません—それは完全にサポートされた、パスワードレス対応プラットフォームです。

詳細については、Windows 365の新機能ドキュメント、外部IDドキュメント、およびEntra IDパスキードキュメントを参照してください。

Xで@kkaminskiをフォローして、毎日のWindows 365アップデートと分析を入手してください。