- 最近いろいろなサービスで『パスキーを作成しますか？』と聞かれるけれど、何のこと？
- パスキーを設定すると、パスワードはもう要らなくなるの？
- スマホをなくしたり機種変更したりしたら、ログインできなくなるのでは？
GoogleやApple、Amazon、証券会社、そしてMicrosoftまで、さまざまなサービスが「パスキー」への対応を進めています。
パスワードに代わる新しいサインインの仕組みとして注目されている一方で、「よくわからないまま登録を勧められている」と感じている方も多いのではないでしょうか。
- パスキーとは何か、パスワードとの違い
- パスキーの仕組み（公開鍵・秘密鍵）と、保存先の種類
- パスキーのメリット・デメリットと、機種変更・紛失時の考え方
- 会社のアカウント（Microsoft 365）でパスキーを使うときのポイント
この記事では、パスキーの基本から、仕事で使うMicrosoft 365のアカウントでの扱いまで、IT担当者でなくてもわかるように解説します。
パスキーとは
パスキーとは、パスワードの代わりに、スマートフォンやパソコンの顔認証・指紋認証・PIN（画面ロックの暗証番号）でサインインする仕組みです。
FIDO Alliance（ファイド アライアンス）という業界団体が定めた「FIDO2」という技術にもとづく標準規格で、GoogleやApple、Microsoftなどの大手企業が採用しています。
パスキーを使うと、サインインのたびにパスワードを入力したり、SMSで届いた確認コードを打ち込んだりする必要がなくなります。
スマートフォンのロックを解除するのと同じ操作で、安全にサインインできるのが特長です。
パスワードとの違い
パスワードとパスキーの最大の違いは、「人が覚えて入力するか」「端末が自動で証明するか」です。
| 項目 | パスワード | パスキー |
|---|---|---|
| 本人確認の方法 | 覚えた文字列を入力する | 端末の顔認証・指紋認証・PINで確認する |
| サーバーに保存される情報 | パスワード（を変換したもの） | 公開鍵のみ。秘密の情報はサーバーにない |
| フィッシング詐欺 | 偽サイトに入力すると盗まれる | 偽サイトでは使えない |
| 使い回しのリスク | 1か所の流出で他サービスも危険 | サービスごとに別のパスキーが作られる |
| 覚える必要 | ある | ない |
パスキーで使う顔認証や指紋認証の情報は、端末の外に送られることはありません。
生体情報はあくまで「端末のロックを解除する鍵」として使われ、サービス側に渡るのは、端末が本人確認に成功したという証明だけです。
パスキーの仕組み
パスキーは、「公開鍵」と「秘密鍵」という2つで1組の鍵を使って本人確認をする仕組みです。
- 登録するとき：
端末が、そのサービス専用の鍵のペアを作る。公開鍵だけをサービス（サーバー）に預け、秘密鍵は端末の中に保管する - サインインするとき：
サービスが「問題」を送り、端末が秘密鍵を使って「答え」を作る。このとき、顔認証・指紋認証・PINで本人確認をする - サービス側の確認：
サービスは預かっている公開鍵で「答え」が正しいかを確かめる。正しければサインイン完了
秘密鍵は端末から外に出ないため、サービス側から情報が流出しても、攻撃者がパスキーを使ってサインインすることはできません。
また、パスキーは登録したサービスのドメイン（Webサイトの住所）と結び付いているため、そっくりな偽サイトに誘導されても、端末がパスキーを使わせません。
これが「フィッシングに強い」と言われる理由です。
パスキーの保存先は2種類
パスキー（秘密鍵）の保存先は、大きく2種類に分かれます。
| 種類 | 保存先の例 | 特徴 |
|---|---|---|
| 同期パスキー | iCloud キーチェーン、Google パスワード マネージャー | 同じアカウントのデバイス間で同期される。機種変更しても引き継ぎやすい |
| デバイス固定のパスキー | Microsoft Authenticator、FIDO2セキュリティ キー | 1台の端末から外に出ない。紛失時は再登録が必要だが、管理しやすい |
個人向けのサービスでは、iPhoneならiCloud キーチェーン、AndroidならGoogle パスワード マネージャーに保存される同期パスキーが一般的です。
会社のアカウントでは、管理しやすいデバイス固定のパスキーが選ばれることもあります。
PINとは
パスキーのPINとは、パスキーを使うときに本人確認をするための、端末の画面ロックの暗証番号のことです。
顔認証や指紋認証が使えない場合や、生体認証センサーのない端末で使います。
PINは端末の中だけで確認されるため、サービス側に送られることはありません。
WindowsのPINについては「Windows HelloとPIN：なぜPINはパスワードよりも優れているのか」でも解説しています。
SMS認証・二段階認証との違い
SMS認証や二段階認証は、パスワードに「もう1つの確認」を足す仕組みです。
これに対してパスキーは、パスワードそのものを使わずに、1回の操作で複数の要素を確認する仕組みです。
| 方式 | サインインの流れ | フィッシングへの強さ |
|---|---|---|
| パスワードのみ | パスワードを入力する | 弱い |
| パスワード＋SMS認証 | パスワードを入力し、SMSで届いたコードを入力する | 偽サイトにコードを入力すると突破される |
| パスワード＋認証アプリ | パスワードを入力し、アプリで承認する | SMSよりは強いが、偽サイト経由で承認させられる手口がある |
| パスキー | 顔認証・指紋認証・PINで本人確認するだけ | 偽サイトでは使えないため強い |
SMSや認証アプリのコードは、人が読み取って入力するため、偽サイトに誘導されると、その場で盗まれて悪用されることがあります。
パスキーは端末とサービスが直接やり取りするので、こうした手口が通用しません。
パスキーの登録とサインインの流れ
パスキーの使い方は、どのサービスでもおおむね同じです。
- サービスのアカウント設定（セキュリティ設定）で「パスキーを作成」を選ぶ
- 端末の顔認証・指紋認証・PINで本人確認をすると、パスキーが作られて保存される
- 次回からは、サインイン画面で「パスキーでサインイン」を選び、顔認証などで本人確認をするだけでサインインできる
パソコンでサインインするときに、パスキーがスマートフォンにしかない場合は、パソコンの画面にQRコードが表示されます。
スマートフォンのカメラで読み取り、スマートフォン側で本人確認をすると、パソコンでサインインできます。
このときは、両方の端末でBluetoothをオンにしておく必要があります。
パスキーのメリット
パスキーのメリットは、安全性と使いやすさを同時に高められることです。
- フィッシング詐欺に強い：
偽サイトではパスキーが使えないため、だまされてサインイン情報を渡してしまうことがない - パスワード流出の影響を受けない：
サービス側には公開鍵しかないため、サーバーから情報が漏れても悪用されにくい - 覚えなくてよい：
複雑なパスワードを考えたり、メモしたりする必要がない - サインインが速い：
顔認証や指紋認証だけで済む。SMSのコードを待つ必要もない - 1つで多要素認証になる：
端末を持っていること（所持）と、顔・指紋・PIN（生体・知識）を同時に確認できる
Microsoftの公式ドキュメントでは、職場アカウントでのパスキーの効果として、サインインにかかる時間が約3秒（パスワードと従来の多要素認証では約69秒）、サインインの成功率が95%（同30%）という数値が紹介されています。
パスキーのデメリットと注意点
パスキーの主なデメリットは、端末に依存することと、まだすべてのサービスで使えるわけではないことです。
| デメリット | 対策 |
|---|---|
| 端末をなくすとサインインしにくくなる | 同期パスキーを使う、複数の端末に登録しておく、ほかの回復方法も残しておく |
| 機種変更で引き継げない場合がある | 同期パスキーは同じアカウントで引き継げる。デバイス固定のパスキーは新しい端末で登録し直す |
| 対応していないサービスがある | 対応しているサービスから順に切り替える |
| AppleとGoogleの間では同期されない | iPhoneとAndroidを併用する場合は、それぞれに登録するか、パソコンからQRコードでサインインする |
| 共有のパソコンでは使いにくい | FIDO2セキュリティ キーなど、持ち運べる認証器を使う |
特に気をつけたいのが、端末の紛失と機種変更です。
パスキーを登録したら、そのサービスでほかのサインイン方法（回復用のメールアドレスや、別の端末のパスキーなど）も用意されているかを確認しておくと安心です。
機種変更・紛失したときはどうする？
機種変更や端末の紛失に備えて、保存先ごとの考え方を押さえておきましょう。
- 同期パスキー（iCloud・Google）の場合：
新しい端末で同じApple ID・Googleアカウントにサインインすれば、パスキーも引き継がれる - デバイス固定のパスキーの場合：
新しい端末でサービスにサインインし直し、パスキーを登録し直す。古い端末のパスキーはサービスの設定画面から削除しておく - 端末をなくした場合：
別の端末やパソコンからサービスにサインインし、なくした端末のパスキーを削除する。会社のアカウントの場合は、すぐにIT担当者に連絡する
どの場合も、パスキー以外のサインイン方法（回復用のメールアドレスや、別の端末に登録したパスキーなど）が残っていれば、落ち着いて対応できます。
パスキーは設定したほうがいい？
結論として、対応しているサービスでは設定しておくことをおすすめします。
パスキーを登録しても、多くのサービスではパスワードなどほかのサインイン方法も残るため、まずは普段使う端末で登録し、使い勝手を確かめてみるとよいでしょう。
ただし、会社から支給されたアカウントの場合は、会社のルールに従ってください。
仕事用のアカウントでは、会社がパスキーの保存先や使える端末を決めていることがあります。
パスキーに対応している主なサービス
パスキーは、身近なサービスで次々と使えるようになっています。
- OS・プラットフォーム：Googleアカウント、Appleアカウント、Microsoftアカウント
- ショッピング・フリマ：Amazon、メルカリ など
- 通信・ポータル：dアカウント、au ID、Yahoo! JAPAN ID など
- 金融：証券会社やネット銀行の一部
対応状況や登録の手順はサービスごとに異なり、随時変わります。
「パスキーを作成しますか？」と案内が出たら、そのサービスの公式ヘルプで手順を確認してから登録すると安心です。
パスキーはどこで確認できる？
自分が登録したパスキーは、保存先のアプリやOSの設定から確認できます。
- iPhone：
「パスワード」アプリで、パスキーを保存したサービスを確認できる - Android：
Google パスワード マネージャーで確認できる - Windows：
「設定」の「アカウント」にあるパスキーの設定で、パソコンに保存したパスキーを確認できる - Microsoft 365の職場アカウント：
マイ サインインの「セキュリティ情報」で、登録したパスキーを確認できる
サービスごとに、そのサービスのアカウント設定（セキュリティ設定）の画面からも確認・削除できます。
会社のアカウント（Microsoft 365）でのパスキー
仕事で使うMicrosoft 365のアカウント（Microsoft Entra ID）でも、パスキーが使えます。
2026年9月1日からは、パスキーが既定の認証方法になり、SMSや音声通話で多要素認証をしている社員には、サインイン時にパスキーの登録を促す画面が表示されるようになりました。
さらに、2027年2月1日には、Microsoftが提供するSMS・音声通話による認証が廃止されます（グローバル管理者と外部ユーザーは2027年7月1日）。
SMSでサインインしている社員は、それまでにパスキーかMicrosoft Authenticatorを登録する必要があります。
詳しいスケジュールと移行の進め方は、次の記事で解説しています。
会社のアカウントでパスキーを使う場合、個人向けとは次の点が異なります。
- 会社が保存先を決められる：
管理者は「パスキー プロファイル」で、Microsoft Authenticatorなどのデバイス固定のパスキーだけを許可するか、同期パスキーも許可するかを選べる - 追加のライセンスは不要：
Microsoft Entra IDのすべてのエディションで、パスキーを使える - USB型のキーも使える：
スマートフォンを業務で使えない社員には、FIDO2セキュリティ キーという選択肢がある
USB型のセキュリティ キーをパスキーとして登録する方法は「FIDO2セキュリティキーをMicrosoft 365にパスキーとして登録する手順」をご覧ください。
Microsoft 365導入支援の現場では、「パスキーの案内が出たけれど、会社のアカウントで登録してよいのか」というご質問をいただくことがよくあります。
IT担当者の方は、社員が迷わないよう、登録してよい端末と手順を事前に案内しておくとスムーズです。
パスキーに加えて、条件付きアクセスなどで会社のアカウントをより細かく守りたい場合は、Microsoft Entra ID P1が含まれるプランが必要です。
中小企業向けのプランは、次の記事で紹介しています。
日々のトラブル、まずこの一冊で解決しませんか？
パスキーやSMS認証の廃止など、認証まわりの変更が続くと、社内からの「サインインできない」という問い合わせが増えがちです。
Microsoft 365支援のプロが、現場で実際に寄せられるよくある質問と解決策を厳選してまとめた「トラブルシューティング大全」をご用意しました。
▼資料ダウンロードはこちら 『社内からの「これどうやるの？」を9割削減する Microsoft 365 トラブルシューティング大全』
よくある質問（FAQ）
- Qパスキーは設定したほうがいいですか？
- A
対応しているサービスでは、設定しておくことをおすすめします。
パスキーはフィッシング詐欺に強く、パスワードを覚える必要もありません。
多くのサービスではパスキーを登録してもほかのサインイン方法が残るため、まずは普段使う端末で登録して使い勝手を試してみるとよいでしょう。
- Qパスキーの欠点は何ですか？
- A
主な欠点は、端末をなくしたり機種変更したりしたときに、サインインしにくくなる場合があることです。
また、まだすべてのサービスがパスキーに対応しているわけではなく、AppleとGoogleの間ではパスキーが同期されません。
複数の端末に登録しておく、回復用の方法を残しておくといった対策が有効です。
- Qパスキーはどこで確認できますか？
- A
iPhoneは「パスワード」アプリ、AndroidはGoogle パスワード マネージャー、Windowsは「設定」の「アカウント」から確認できます。
Microsoft 365の職場アカウントのパスキーは、マイ サインインの「セキュリティ情報」で確認できます。
- QパスキーのPINコードとは何ですか？
- A
パスキーを使うときに本人確認をするための、端末の画面ロックの暗証番号です。
顔認証や指紋認証が使えないときに入力します。
PINは端末の中だけで確認され、サービス側には送られません。
- QMicrosoft のパスキーとは何ですか？
- A
Microsoftのアカウントにパスワードの代わりにサインインするためのパスキーです。
個人のMicrosoftアカウントのほか、仕事で使うMicrosoft 365のアカウント（Microsoft Entra ID）でも使え、Microsoft 365では2026年9月からパスキーが既定の認証方法になっています。
職場アカウントでは、Microsoft Authenticatorなどにパスキーを保存して使います。
まとめ
パスキーは、パスワードに代わる、安全で使いやすい新しいサインインの仕組みです。
- パスキーとは、顔認証・指紋認証・PINでサインインする、FIDO2にもとづく標準規格
- 公開鍵と秘密鍵の仕組みで、偽サイトでは使えず、サーバーからの情報流出にも強い
- 保存先は、同期パスキー（iCloud・Google）とデバイス固定のパスキー（Authenticator・セキュリティ キー）の2種類
- 端末の紛失・機種変更に備えて、複数の端末への登録や回復方法の確保が大切
- Microsoft 365では2026年9月からパスキーが既定になり、2027年2月にはSMS認証が廃止される
まずは普段使っているサービスで、パスキーを1つ登録してみるところから始めてみてください。
他社はMicrosoft 365のセキュリティ対策をどう進めているのか知りたい方へ パスキーの導入をきっかけに、社内のサインインのルールを見直す会社も増えています。
そんな疑問をお持ちでしたら、ぜひ弊社の「導入成功事例集」をご覧ください。
参考資料
- Microsoft Learn「Microsoft Entra IDでのパスキー (FIDO2) 認証方法」https://learn.microsoft.com/ja-jp/entra/identity/authentication/concept-authentication-passkeys-fido2
- Microsoft Learn「既定でのパスキーと、Microsoftが提供する SMS および音声認証の廃止」https://learn.microsoft.com/ja-jp/entra/identity/authentication/concept-sms-voice-retirement
- Microsoft Learn「Microsoft Entra IDでFIDO2パスキーを有効にする方法」https://learn.microsoft.com/ja-jp/entra/identity/authentication/how-to-authentication-passkeys-fido2
- FIDO Alliance「パスキー」https://fidoalliance.org/passkeys/?lang=ja
Microsoft 365に関するご相談やお悩みがございましたら、ぜひ株式会社WITHWITまでお気軽にお問い合わせください。
数あるクラウドサービスの中でMicrosoft 365 に特化してきたからこそ導入前から導入後の定着に至るまで、幅広いご相談に対応いたします。
