>
>
公開日
2026年7月、Microsoftは「Microsoft Entra ID security updates: Passkeys are the default authentication method in Entra ID」を公式発表し、2026年9月1日からパスキーをEntra IDの既定認証方式とすること、そして2027年2月1日にMicrosoft提供のSMS・音声認証を完全に廃止することを明らかにしました。SMSや音声通話でMFA（多要素認証）を運用している企業にとっては、対応の要否と時期を見極める必要がある重要な変更です。
本記事では、Microsoft Learn公式ドキュメントと日本マイクロソフト公式ブログの一次情報をもとに、変更の背景・移行スケジュール・情シスが取るべき実務対応を整理します。パスキー自体の基礎知識は「パスキーとは？仕組みやメリット、設定方法を解説」もあわせてご覧ください。
この変更の要点
今回の発表の骨子は「SMS・音声によるMFAが有効なユーザーは自動的にパスキーへ移行対象となり、2027年2月1日にはMicrosoft提供のSMS・音声認証サービス自体が終了する」という2点に集約されます。全ユーザーが即座にパスキー登録を強制されるわけではなく、影響範囲はSMS・音声を有効にしているユーザーに限定されます。
Microsoft公式ドキュメントが示す変更のポイントは次の4つです。
2026年9月1日から、SMS・音声が有効なユーザーに対してパスキーが自動的に有効化され、次回のMFAサインイン時に登録キャンペーンが表示される
2027年2月1日、Microsoft提供のSMS・音声認証サービス（通信配信）がEntra IDから完全に廃止される
2027年2月1日以降、利用可能なMFA方式がSMS・音声のみのユーザーは、サインイン時にパスキー登録が必須となり、この登録プロンプトはスキップできない
SMS・音声を業務上どうしても継続利用する必要がある場合は、2026年10月30日以降にMicrosoft Security Store経由でカスタマー マネージドの通信プロバイダーを契約すれば利用を継続できる
なぜ今、SMS・音声認証が廃止されるのか
廃止の最大の理由はセキュリティであり、SIMスワップやフィッシングによるワンタイムパスワード窃取といった既知のリスクに加えて、生成AIを悪用したフィッシング攻撃の急増が背景にあります。Microsoft自身も、企業がAIを大規模に導入するためには、ユーザーが「フィッシング耐性のある認証方式」を使っていることが前提条件になると説明しています。
日本マイクロソフトの公式ブログでは、Microsoft Threat Intelligenceの観測データとして、AIを活用したフィッシング攻撃キャンペーンのクリック率が最大54%に達した事例があり、これは従来型キャンペーンの約12%と比べて大幅に高い水準だと紹介されています（Microsoft Digital Defense Report 2025より）。SMSや音声認証は共有シークレット・通信経路への依存という設計上の弱点を持つため、攻撃者にとって突破しやすい標的であり続けてきました。
一方でパスキーは、共有シークレットではなく公開鍵暗号方式を利用する設計のため、フィッシングサイトへ誘導されてもドメインが一致しなければ認証自体が成立しません。加えて生体認証やデバイスPINといった使い慣れた手段でサインインできるため、セキュリティ強化とユーザー体験の両立を狙える点も、Microsoftがパスキーを既定にする理由になっています。
移行スケジュールの全体像
今回の変更は一度に切り替わるものではなく、2026年9月から2027年2月にかけて4段階で進む点に注意が必要です。特に2026年9月1日はすでに開始しているマイルストーンであり、自社テナントの現状把握はできるだけ早く着手することをおすすめします。
日付 | マイルストーン | 情シスが行うべきこと |
|---|---|---|
2026年9月1日 | SMS・音声が有効なユーザーへパスキーが自動有効化。登録キャンペーンがMicrosoft管理状態になり、MFAサインイン時にパスキー登録が促される | 対象ユーザーへの事前周知、パスキー利用環境の準備 |
2026年9月18日 | カスタマー マネージド通信プロバイダーの料金・取引条件・対応事業者情報がMicrosoft Security Storeで公開予定 | SMS・音声を継続利用する場合の選択肢を確認 |
2026年10月30日 | Microsoft Security Store経由でカスタマー マネージドの通信プロバイダーを選択・構成可能に | 継続利用が必要なユーザーセグメントの通信プロバイダー契約・パイロット検証 |
2027年2月1日 | Microsoft提供のSMS・音声認証サービスが完全に終了 | すべてのユーザーがフィッシング耐性のある方式（パスキー・Windows Hello・FIDO2）を利用できているか最終確認 |
2027年2月1日以降 | MFA方式がSMS・音声のみのユーザーは、サインイン時にパスキー登録がブロック形式で必須化。オプトアウトは一切不可 | 該当ユーザーが残らないよう移行完了を徹底 |
このタイムラインが適用されるのはパブリッククラウド環境のみで、Azure AD B2Cはスコープ外、Microsoft Entra外部IDは別スケジュールで案内される予定です。B2Bユーザー・内部ゲストユーザーへのパスキー対応は、2026年内の提供が予定されています。
「全ユーザーが対象」ではない：影響範囲の見極め方
今回の変更で自動的にパスキー登録を促されるのは、認証方法ポリシー（AMP）または従来のMFA設定でSMS・音声が有効になっているユーザーに限られ、Microsoft Authenticatorやパスキーなど既にフィッシング耐性のある方式だけを使っているユーザーは直接の対象ではありません。この点は誤解が生じやすいポイントであり、社内周知の前に正しく整理しておく必要があります。
対象外となる、つまり2026年9月1日の変更で急ぎの対応が不要なのは、次の認証方式のみを利用しているユーザーです。
Microsoft Authenticatorを利用しているユーザー
FIDO2セキュリティキーを利用しているユーザー
Windows Hello for Businessを利用しているユーザー
既にパスキーを登録しているユーザー
注意すべきは、普段は上記の方式を使っていても、認証方法ポリシー上でSMS・音声が「有効」なままになっているユーザーです。この場合は登録キャンペーンの対象に含まれる可能性があるため、実際の利用状況だけでなくポリシー設定そのものの棚卸しが欠かせません。対象ユーザーの洗い出しには、Microsoftが公開しているPowerShellスクリプト（グローバル閲覧者・認証ポリシー管理者・セキュリティ閲覧者いずれかのロールが必要）が利用できます。
なお、Entra ID全体の機能やAzure ADからの移行を含めた基礎知識については「Entra IDとは？基本機能・ライセンス・ADとの違いを徹底解説」、旧Azure ADからの名称変更の経緯は「Entra ID（旧Azure AD）とは？機能・料金や移行対策」で解説しています。
パスキーへの移行で押さえるべき2つの種類
Entra IDが既定にするパスキーには「同期されたパスキー」と「デバイス バインド パスキー」の2種類があり、自社の端末構成やSSO運用に応じてどちらを主軸にするかを検討する必要があります。
同期されたパスキー：iCloudキーチェーンやGoogleパスワードマネージャーなど、プラットフォームの資格情報マネージャーに保存され、ユーザーのデバイス間で同期される方式。すでに個人デバイスでパスキーやパスワードマネージャーを使い慣れているユーザーに向いています。
デバイス バインド パスキー：Microsoft AuthenticatorのPasskey、Windows上のEntraパスキー、FIDO2ハードウェアセキュリティキーなど、特定のデバイスに紐づけて作成・保存される方式。共有端末や高セキュリティ要件の部門との相性が良く、MDMとは？仕組みと選び方・主要製品比較で管理しているデバイス台帳と組み合わせた統制もしやすくなります。
社内でSSO基盤を運用している場合は、パスキー移行後の認証フローがSSOの挙動にどう影響するかも合わせて確認しておくと安心です（参考：「SSOとは？シングルサインオンの種類や導入の落とし穴を解説」）。
SMS・音声を業務上継続したい場合の選択肢
規制業種や特定の業務要件でSMS・音声認証をどうしても継続する必要がある組織には、Microsoft Security Store経由のカスタマー マネージド通信プロバイダーという選択肢が用意されています。ただし、これはMicrosoftが直接提供するサービスではなく、サードパーティの通信事業者と個別に契約する形態である点に注意が必要です。
Microsoft公式ドキュメントが示す進め方は次の3ステップです。
通信チャネルについて真に規制上・運用上の必要性がある特定のユーザーセグメントを特定し、要件（どの規制か、どのシナリオか）を文書化する
2026年9月18日以降に公開されるMicrosoft Security Storeの通信プロバイダー情報を確認し、地域・コンプライアンス要件に合うプロバイダーを評価する
2026年10月30日以降、選定したプロバイダーを構成し、本格展開の前にパイロットグループでテストする
なお、2026年9月1日から2027年2月1日の期間限定で、Microsoft GraphのpasskeyDynamicMigrationプロパティをtrueに設定することで、パスキーの自動有効化と登録キャンペーンのロールアウトを一時的にオプトアウトすることも可能です。ただし、これはあくまで移行準備期間を確保するための一時措置であり、2027年2月1日の完全廃止そのものからは、いかなる組織もオプトアウトできない点は明確に理解しておく必要があります。
情シスが今すぐ着手すべき5つの移行準備
移行を混乱なく進める鍵は、対象ユーザーの特定からユーザー周知までを順序立てて進めることにあり、Microsoft自身も「調整された通信計画がスムーズなパスキー移行の最大の予測因子」だとしています。
SMS・音声が有効なユーザーの特定：前述のPowerShellスクリプトや認証方法ポリシーの設定を確認し、対象範囲を洗い出します。0件でなければ対応が必要な状態です。
パスキー展開の計画：同期パスキー／デバイスバインドパスキーのどちらを主軸にするか、対象デバイスの種類（Windows・iOS・Android）を踏まえて設計します。
登録キャンペーンの事前有効化検討：9月1日の自動移行を待つのではなく、認証方法ポリシーでパスキー（FIDO2）を有効化し、対象セキュリティグループに登録キャンペーンを先行して設定することで、ヘルプデスク負荷を抑えながら計画的に移行を進められます。
ユーザーへの段階的な周知：Microsoftは「認識（何が変わるか）→アクション（登録手順の案内）→リマインダー（未登録者への再通知）」の3段階の通信計画を推奨しています。社内のAI・IT利用ルールを整備している場合は、AI利用ガイドラインの作り方のような既存ドキュメントへの追記も検討してください。
SMS・音声継続が必要なセグメントの判断：業務・規制上の必要性を精査し、必要であればMicrosoft Security Store経由のプロバイダー選定を並行して進めます。
なお、フィッシングやパスワードリスト攻撃といった既存の認証まわりのリスクを社内で改めて共有したい場合は、「パスワードリスト攻撃とは？企業がすべき対策」や「フィッシング詐欺とは？スミッシングの手口と最新の企業対策」もあわせて周知資料に活用できます。
興味深いのは、認証情報を「渡す」のではなく「必要な範囲だけ使わせて、完了後に失効させる」という設計思想が、AIエージェントの認可モデルでも同様に採用され始めている点です。たとえば「1Password for Claudeとは？パスワードを渡さずAIにログインさせる仕組みと情シスの統制ポイント」で紹介したゼロエクスポージャー設計も、パスキーと同じく「秘密情報を見せずに認証・認可を完結させる」という方向性で共通しています。AIエージェントの利用が広がる中、AIエージェントとは？情シス向け定義・仕組み・導入ステップ完全ガイドで解説しているような認可設計の考え方とあわせて、人・AIエージェント双方の認証統制を見直す機会と捉えることもできます。
企業規模別に見る対応の優先度
対応の優先度は組織規模によって大きく異なり、SMS・音声を使う従業員数が多いほど、周知とヘルプデスク対応の設計に時間をかける必要があります。
50名未満：管理者自身がPowerShellスクリプトで対象ユーザーを洗い出し、少人数であれば個別にパスキー登録を案内することも現実的です。登録キャンペーンを先行有効化し、短期間での移行完了を目指せます。
50〜300名：部門・拠点単位でのパイロット展開が有効です。SMS・音声が有効なユーザーをセキュリティグループ化し、段階的に登録キャンペーンの対象へ組み込むことで、ヘルプデスクへの問い合わせ集中を避けられます。
300名超：対象ユーザー数が多く、デバイスの種類（会社支給PC・BYOD・共有端末）も混在しやすいため、デバイスバインドパスキーと同期パスキーの使い分け方針を事前に確定させることが重要です。組織全体のデバイス・SaaS利用状況を可視化する基盤があると、パスキー未登録ユーザーの取りこぼしを防ぎやすくなります。
よくある質問（FAQ）
Q. 2026年9月1日以降、すべての従業員がパスキーを登録しなければなりませんか？
A. いいえ。対象は認証方法ポリシーまたは従来のMFA設定でSMS・音声が有効になっているユーザーに限られます。すでにMicrosoft Authenticator、FIDO2セキュリティキー、Windows Hello for Business、パスキーのいずれかのみを使っているユーザーは、直接の自動移行対象ではありません。
Q. SMS・音声認証は2027年2月1日に完全に使えなくなりますか？
A. Microsoftが提供する形でのSMS・音声認証サービスは2027年2月1日に終了します。ただし、業務・規制上の必要性がある組織は、Microsoft Security Store経由でカスタマー マネージドの通信プロバイダーを契約すれば、その提供者のサービスとして継続利用できます。
Q. 自動有効化を一時的に止める方法はありますか？
A. Microsoft Graphで認証方法ポリシーのpasskeyDynamicMigrationプロパティをtrueに設定することで、2026年9月1日から2027年2月1日までの期間、パスキーの自動有効化と登録キャンペーンのロールアウトを一時的にオプトアウトできます。ただし2027年2月1日の完全廃止自体からはオプトアウトできません。
Q. Microsoft Security Storeの通信プロバイダーには追加費用がかかりますか？
A. はい。価格は通信プロバイダーとリージョンによって異なり、通常はメッセージ単位の課金です。一方、SMS・音声ユーザーをパスキーへ移行すること自体には追加コストは発生しません。
Q. セルフサービスパスワードリセット（SSPR）にも影響しますか？
A. はい。SMS・音声のネイティブ廃止はSSPRを含むEntra ID全体に適用されます。ただし、Security Store経由の通信プロバイダーを構成すれば、SSPRでもSMS・音声を引き続き利用できます。
まとめ：情シスが今すぐ確認すべきチェックリスト
今回の変更は「2026年9月に全ユーザーがパスキー登録を迫られる」というものではなく、SMS・音声を使い続けているユーザーを段階的にフィッシング耐性のある方式へ移行させる、2027年2月までの計画的な移行プログラムです。既にMicrosoft Authenticatorやパスキーを中心とした運用に移行済みの組織であれば、急ぎ対応すべき事項は限定的です。
公開前後に確認しておきたいポイントを整理します。
認証方法ポリシー・従来のMFA設定でSMS・音声が有効なユーザーをPowerShellスクリプトで洗い出したか
同期パスキー／デバイスバインドパスキーのどちらを主軸にするか、対象デバイスの種類を踏まえて決めたか
登録キャンペーンの先行有効化を検討したか（ヘルプデスク負荷の平準化）
「認識→アクション→リマインダー」の3段階でユーザー周知の計画を立てたか
SMS・音声を業務上継続する必要があるセグメントを特定し、Microsoft Security Storeのプロバイダー情報公開（9/18以降）をウォッチする体制を整えたか
一時的なオプトアウトが必要かどうかを判断したか（
passkeyDynamicMigration）
SMS・音声認証の廃止は単独の変更に見えても、パスワードやワンタイムコードに依存しない認証基盤全体の見直しにつながるテーマです。デバイス管理・SaaS利用状況の可視化とあわせて、組織全体の認証・ID統制を点検する機会として活用してください。
マネーフォワード AdminaのようなSaaS・デバイス管理プラットフォームを活用すれば、社内で利用されているSaaS・端末の状況を可視化し、認証方式の移行対象になり得るユーザーやシャドーIT・シャドーAIの把握を効率化できます。
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
