FIDO2セキュリティキーをMicrosoft 365にパスキーとして登録する手順【画面付き】｜FIDO2とは・パスキーとの違いも解説

• FIDO2セキュリティキーを買ったけれど、Microsoft 365にどう登録すればいいのか分からない
• パスキーとセキュリティキーって同じもの？ 何が違うの？
• 社員に配布したいが、登録手順書を作る時間がない…

SMS認証の廃止が発表されて以降、「フィッシング耐性のある認証方法」としてFIDO2セキュリティキーに注目が集まっています。

しかし、いざ手元に届いたキーをMicrosoft Entra ID（Microsoft 365のID基盤）に登録しようとすると、画面の流れが分かりづらく、途中でつまずく方が少なくありません。

本記事では、Microsoft 365（Entra ID）のアカウントにFIDO2セキュリティキーを「パスキー」として登録する手順を、実際の画面キャプチャ付きで解説します。

社内配布用の手順書としてそのまま使える構成にしていますので、ぜひご活用ください。

FIDO2セキュリティキーとは、USBなどでPCに接続して本人確認を行う、物理的な認証デバイスのことです。

Microsoft Entra IDでは、このキーに保存された認証情報を「パスキー（デバイスバインド）」として扱います。

つまり、セキュリティキーはパスキーを保管する「入れ物」の一種です。

FIDO2（読み方：ファイドツー）とは、業界団体FIDOアライアンスが策定したパスワードレス認証の標準規格のことです。

ブラウザー向けの「WebAuthn」と、認証デバイスとの通信規格「CTAP」の2つで構成されており、Windows・macOS・主要ブラウザーが対応しています。

FIDO2では、秘密鍵はセキュリティキーの中に保存され、公開鍵だけがサインイン先（Microsoft Entra ID）に登録されます。

サインイン時にはEntra IDが送ってきた「チャレンジ」にキーが署名して返すだけで、秘密鍵自体が外に出ることはありません。

さらに重要なのが、認証情報が登録したサイトのドメインと紐づく点です。

偽サイト（フィッシングサイト）のドメインでは署名が成立しないため、ユーザーが騙されて偽サイトを開いてもサインインできません。

SMSコードやワンタイムパスワードを「読んで入力する」方式では防げない、リアルタイムフィッシング（AiTM攻撃）を原理的に防げるのが最大の強みです。

FIDO（U2F・UAF）は2段階目の認証専用の初期規格、FIDO2はそれを発展させて単体でパスワードレスサインインまで可能にした規格です。

現在市販されているセキュリティキーの多くは両方に対応しており、Microsoft Entra IDでパスキーとして使うにはFIDO2対応が必要です。

Microsoft Entra IDが対応しているパスキーには2種類あります。

タイプ	保存先	特徴	例
デバイスバインドパスキー	特定のデバイス内（外に出ない）	構成証明（Attestation）が可能で、規制業界や管理者アカウント向け。紛失時は再登録が必要	FIDO2セキュリティキー、Microsoft Authenticatorのパスキー
同期されたパスキー	クラウドのパスキープロバイダー	複数端末で共有でき利便性が高い。構成証明は非対応	iCloudキーチェーン、Googleパスワードマネージャー

本記事で扱うFIDO2セキュリティキーは「デバイスバインドパスキー」に該当します。

Microsoftは、規制の厳しい業界や特権ユーザーにはFIDO2セキュリティキーを、一般ユーザーには同期されたパスキーを推奨しています。

どちらもフィッシング耐性のある認証方法ですが、認証情報の保存場所が異なります。

Windows Hello for BusinessはPC内のTPMチップに、FIDO2セキュリティキーは持ち運べる外部デバイスに保存します。

1人1台のPCが割り当てられていればWindows Hello for Businessが手軽ですが、共有PCや複数端末を使い分ける環境、生体認証センサーのないPCではセキュリティキーが有利です。

「Windows Hello」と「Windows Hello for Business」は何が違う？仕組みとセキュリティの決定的な差を解説

登録をスムーズに進めるには、ユーザー側・管理者側それぞれの準備が必要です。

特に「テナント側でパスキー(FIDO2)が許可されているか」は見落としやすいポイントです。

• 登録対象アカウントのIDとパスワードでサインインできること
• 既存の多要素認証（Microsoft Authenticatorなど）で本人確認ができること（登録前の5分以内にMFAを完了している必要があります）
• FIDO2対応セキュリティキーが手元にあること（PIN未設定の新品でも登録可能。手順の途中でPINを設定します）
• USBポートが使えるWindows PCと、Edge・Chromeなどの対応ブラウザー

テナントで「パスキー(FIDO2)」の認証方法が有効になっていないと、ユーザーの登録画面に「パスキー」の選択肢が表示されません。

設定は次の場所から行います。

1. Microsoft Entra管理センターに認証ポリシー管理者以上でサインインする
2. Entra ID > セキュリティ > 認証方法 > ポリシー を開く
3. パスキー(FIDO2) を選択し、「有効化とターゲット」で有効にして対象ユーザー（すべてのユーザーまたは特定グループ）を指定する
4. 「構成」タブで「セルフサービスの設定を許可する」を「はい」にする（「いいえ」だと、ポリシーが有効でもユーザー自身で登録できません）

なお、パスキー(FIDO2)はMicrosoft Entra ID Freeを含むすべてのエディションで利用でき、追加ライセンスは不要です。

Business Basicのようなエントリープランでも導入できます。

管理者向けの詳細設定として「パスキープロファイル」を使うと、構成証明の強制や、AAGUID（キーの製造元・モデルを表す識別子）による特定モデルの許可・ブロックをグループ単位で設定できます。

配布するキーのメーカーを限定したい場合に便利です。

登録は「セキュリティ情報」ページから開始し、キーの挿入・PIN入力・タッチの3アクションで完了します。

所要時間は慣れれば3分程度です。

Microsoft 365導入支援の現場では、配布後に「登録画面でどれを選べばいいか分からない」という問い合わせが最も多く寄せられます。

特に手順2の「パスキー」と「Microsoft Authenticatorのパスキー」の選び間違いが頻発するため、ここを押さえておくと社内展開が格段にスムーズになります。

ブラウザーで「https://mysignins.microsoft.com/security-info」にアクセスし、登録対象のアカウントでサインインします。

「セキュリティ情報」ページが表示され、現在登録済みのサインイン方法（パスワード、Microsoft Authenticatorなど）が一覧表示されることを確認します。

「＋ サインイン方法の追加」をクリックし、表示されたダイアログで「パスキー（顔、指紋、PIN、またはセキュリティ キーでサインインします）」を選択します。

ここで注意したいのが、一覧の先頭にある「Microsoft Authenticatorのパスキー」ではなく、2番目の「パスキー」を選ぶことです。

「Microsoft Authenticatorのパスキー」はスマホアプリ内にパスキーを作る項目で、セキュリティキーの登録には使えません。

「Sign in faster with your face, fingerprint, or PIN」（顔、指紋、またはPINでより速くサインイン）という画面が表示されるので、「次へ」をクリックします。

この時点で追加の本人確認（多要素認証）を求められた場合は、画面の指示に従って認証を完了してください。

前述のとおり、パスキー登録には直近5分以内のMFA完了が必要です。

「Windowsセキュリティ」の「パスキーを保存する」ダイアログが表示され、「セキュリティ キーをUSBポートに挿入します。」と案内されます。

FIDO2セキュリティキーをPCのUSBポートに挿入してください。

画面下部の保存先が「これは セキュリティ キー に保存されます。」になっていることを確認してください。

Windows Helloなど別の保存先になっている場合は、「変更」からセキュリティキーに切り替えます。

「セキュリティ キーの暗証番号 (PIN) を入力してください」と表示されます。

キーに設定済みのPINを入力し、「OK」をクリックします。

PINを設定していない新品のキーの場合は、代わりに「新しい暗証番号 (PIN) を設定してください」という画面が表示されます。

「新しいPIN」と「PINの確認」の2か所に同じ値を入力して「OK」をクリックすると、そのまま手順6に進みます。

ここで設定したPINは今後のサインインのたびに使用します。PINを忘れるとキーのリセット（登録情報の全削除）が必要になるため、厳重に管理してください。

「セキュリティ キーにタッチしてください。」と表示されたら、キー本体のセンサー部分（ボタンや金属部分）にタッチします。

このタッチ操作が「本人がその場にいること」の証明になります。

「パスキーに名前を付けましょう」画面が表示されます。

後で識別しやすい名前（例：FIDOキー、YubiKey 予備 など）を入力し、「次へ」をクリックします。

複数のキーを登録する場合（メインと予備など）に区別できるよう、キーの種類や用途が分かる名前を付けておくのがおすすめです。

「パスキーが作成されました」と表示されたら、「完了」をクリックします。

「セキュリティ情報」ページに戻り、サインイン方法の一覧に「パスキー (デバイスバインド)」（手順7で付けた名前）が追加されていることを確認します。

以上でFIDO2セキュリティキーの登録は完了です。

登録が完了したら、必ず実際にサインインできることを確認しておきましょう。

登録できていても、サインイン画面での選び方が分からずに問い合わせが来るケースがよくあります。

1. 一度サインアウトするか、別のブラウザー（InPrivate／シークレットウィンドウ）でMicrosoft 365のサインイン画面を開く
2. サインイン画面で「サインイン オプション」→「顔、指紋、PIN、またはセキュリティ キー」を選択する
3. セキュリティキーを挿入し、PIN入力とキーへのタッチでサインインできることを確認する

パスワードを一切入力せずにサインインできれば成功です。

ユーザー名の入力画面で「サインイン オプション」が見つからない場合は、画面下部のリンクを探してみてください。

FIDO2セキュリティキーは安全性が高い反面、「物理デバイスである」ことに起因する運用上の注意点があります。

導入前に社内ルールとして決めておきましょう。

場面	対処・ルール
PINを忘れた	PINの回復手段はなく、キーのリセット（登録情報の全削除）が必要。リセット後にセキュリティ情報の古いパスキーを削除し、再登録する
キーを紛失した	速やかに管理者へ連絡。セキュリティ情報ページ、または管理者がEntra管理センターの該当ユーザー「認証方法」から「パスキー (デバイスバインド)」を削除する
バックアップ手段がない	キーが使えない場合に備え、Microsoft Authenticatorなど代替のサインイン方法も併せて登録しておく。または予備キーを2本目として登録する
ユーザーのUPN（サインインID）を変更した	登録済みパスキーはUPN変更に追随できない。古いパスキーを削除し、新しく登録し直す必要がある
登録画面に「パスキー」が表示されない	テナントの認証方法ポリシーでパスキー(FIDO2)が無効、または「セルフサービスの設定を許可する」が「いいえ」になっている可能性。管理者設定を確認する
ゲストユーザーに登録させたい	B2Bコラボレーションのゲストユーザーを含む内部・外部ゲストでは、パスキー(FIDO2)の登録は現在サポートされていない

Microsoft 365導入支援の現場でお客様にご案内しているルールは次の3つです。

• 登録は情シス立ち会いのもとで実施する：
  初回登録時のつまずきを防ぎ、PIN設定とバックアップ手段の登録をその場で確認できる
• 予備の認証手段を必ず登録する：
  キー紛失時にロックアウトを防ぐため、Microsoft Authenticatorや予備キーを登録する
• 紛失時の連絡先と削除手順を明文化する：
  誰に連絡し、誰がパスキーを削除するかを事前に決めておく

なお、紛失したキーは、拾った第三者がPINを知らなければ使えません。

PINの入力を複数回間違えるとキーはロックされるため、キー単体が流出しても即座に不正アクセスにつながるわけではありませんが、速やかな削除が原則です。

FIDO2セキュリティキーは、接続端子・生体認証の有無・構成証明（Attestation）への対応の3点で選ぶのが基本です。

価格は非生体認証タイプで数千円程度から、指紋認証付きで1万円前後が目安です。

選定ポイント	確認すること
接続端子	社内PCのポートに合わせてUSB-A／USB-Cを選ぶ。スマホでも使うならNFC対応モデルが便利
本人確認の方式	PIN＋タッチ（非生体）か、指紋認証付きか。指紋認証付きはPIN入力の手間が省ける
Entra IDでの構成証明対応	パスキープロファイルで「構成証明の強制」を使う場合は、Microsoftが公開している構成証明対応ベンダーのリストに載っているモデルを選ぶ
FIDO2認定	FIDOアライアンスの認定（FIDO2 Certified）を受けているか。U2Fのみ対応の旧モデルは不可

セキュリティキーは、Windows Hello for Businessや条件付きアクセスと組み合わせることで効果を最大化できます。

こうしたID保護機能をまとめて使えるプランについては、次の記事を参考にしてください。

【セキュリティ対策も万全】Microsoft 365 Business Premiumで実現する、安心のIT環境とは？

「テレワークが普及して、社員が使うPCやスマホの管理が難しくなった」 「お客様の個人情報や会社の機密情報を扱っており、サイバー攻撃や情報漏洩が心配だ」 「専...

パスワードレス認証全体の考え方やメリットは、こちらの記事でも解説しています。

【脱・パスワード】「パスワードレス認証」とは？仕組みとMicrosoft 365での導入メリットを解説

---

セキュリティキーの導入後は、「サインインできない」「登録画面が出ない」といった問い合わせが一時的に増えがちです。

Microsoft 365支援のプロが、現場で実際に寄せられるよくある質問と解決策を厳選してまとめた「トラブルシューティング大全」をご用意しました。

ヘルプデスク対応の手引きとしてご活用ください。

▼資料ダウンロードはこちら
『社内からの「これどうやるの？」を9割削減する Microsoft 365 トラブルシューティング大全』

---

FIDO2セキュリティキーをMicrosoft 365（Entra ID）にパスキーとして登録する手順と、運用のポイントを振り返ります。

• FIDO2セキュリティキーは、Entra IDで「パスキー（デバイスバインド）」として扱われるフィッシング耐性の高い認証デバイス
• 登録前に、テナント側で「パスキー(FIDO2)」の有効化と「セルフサービスの設定を許可する」を確認する（追加ライセンスは不要）
• 登録は「セキュリティ情報」→「サインイン方法の追加」→「パスキー」を選び、キー挿入・PIN入力・タッチで完了
• 「Microsoft Authenticatorのパスキー」と間違えやすいので注意
• PIN忘れ・紛失に備え、予備の認証手段の登録と削除ルールの明文化をセットで行う

SMS・音声認証の廃止が迫るいま、セキュリティキーは「最も確実なフィッシング対策」として中小企業でも現実的な選択肢になっています。

本記事の手順をそのまま社内手順書として展開し、安全でスムーズなパスワードレス環境を整えていきましょう。

---

他社がどのようにMicrosoft 365を安全に活用しているか知りたい方へ セキュリティキーやパスワードレス認証を、他の中小企業がどのように導入・運用しているのか気になりませんか。

そんな疑問をお持ちでしたら、ぜひ弊社の「中小企業の導入成功事例集」をご覧ください。

▼成果の出る Microsoft 365 活用法とは？中小企業の導入成功事例集をダウンロードする

---

• Microsoft Entra IDでのパスキー (FIDO2) 認証方法（Microsoft Learn）
• Microsoft Entra IDでFIDO2パスキーを有効にする方法（Microsoft Learn）
• Microsoft Entra ID と FIDO2 認証のサポート（Microsoft Learn）
• Microsoft Entra ID 構成証明の対象となる FIDO2 セキュリティ キー ベンダー（Microsoft Learn）
• 既定でのパスキーと、Microsoftが提供するSMSおよび音声認証の廃止（Microsoft Learn）