Microsoft 365の多要素認証：Microsoft Authenticatorとセキュリティの既定値

Microsoft 365のアカウントはメールもTeamsもSharePointのファイルも全部つながっているので、パスワードが1つ漏れると会社の資料がまとめて外に出ます。多要素認証（MFA）は、パスワードのほかにスマホのアプリでの承認などをもう1つ求めて、パスワードだけでは入れないようにする仕組みです。この記事では、社員15名ほどのサンプル工務店を例に、どの方式で多要素認証を有効にするか、社員のスマホにMicrosoft Authenticatorを入れる手順、スマホを替えた・なくした社員への対応までを順に書きます。前提は、Microsoft 365 Business Basic・Business Standardを契約していて、管理者アカウントでMicrosoft 365 管理センターとMicrosoft Entra 管理センターに入れることです。

この記事の内容

1. 先に答えると
2. 多要素認証とは
3. 先に決めること
4. 有効にする前と後の一覧
5. 手順1：セキュリティの既定値群の状態を見て有効にする
6. 手順2：社員がMicrosoft Authenticatorを登録する
7. 手順3：スマホを替えた・なくした・使えない社員への対応
8. 応用：今使える認証方法の一覧
9. サンプル工務店の進め方
10. できないことと、その代わり
11. よく詰まるところ
12. 次にやること

先に答えると

Business Basic・Business Standardの会社は、Microsoft Entra 管理センターで「セキュリティの既定値群」を有効にし、全員にMicrosoft Authenticatorを登録させるのが答えです。追加の費用はかかりません。細かい条件（社外からだけ求める・会社のパソコンなら省くなど）を付けたいときは、条件付きアクセスに切り替えます。条件付きアクセスにはMicrosoft Entra ID（旧 Azure Active Directory） P1が要り、Business Premiumには含まれ、Business Basic・Standardには含まれません。

• 有効にする方法は3つ（セキュリティの既定値群・条件付きアクセス・ユーザーごとのMFA）。ユーザーごとのMFAはMicrosoftも推奨していない旧方式なので使わない
• 2019年10月22日以降に作ったテナントは、セキュリティの既定値群が最初から有効になっている可能性が高い。まず今の状態を見る
• 2024年7月29日以降、登録を後回しにできる14日間の猶予はなくなった。有効にした時点から、次のサインインで登録を求められる
• Authenticatorの通知は「番号の一致」が必須。パソコンの画面に出た番号をスマホに入力して承認する
• スマホを替えた・なくした社員は、管理者が「MFAの再登録」をして、次のサインインで登録し直してもらう

多要素認証とは

多要素認証は、サインインのときに「知っているもの（パスワード）」に加えて「持っているもの（スマホ・セキュリティキー）」や「本人そのもの（指紋・顔）」をもう1つ求める仕組みです。Microsoftは、多要素認証を使ってレガシ認証をブロックすれば、パスワードの使い回しを狙う攻撃やフィッシングなどIDを狙う攻撃の99.9%以上を止められるとしています。

小さな会社で実際に起きるのは、取引先を装ったメールのリンクからMicrosoft 365そっくりのページに誘導され、そこでパスワードを入れてしまうケースです。多要素認証を入れていれば、パスワードを盗まれてもスマホでの承認が通らないので、多くの場合はそこで止まります。

先に決めること

どの方式で有効にするか

Microsoft 365で多要素認証を有効にする方法は3つあります。Microsoft 365 管理のドキュメントでも、セキュリティの既定値群と条件付きアクセスを使い、ユーザーごとのMFAは「推奨されていません」と書かれています。

比べる点	セキュリティの既定値群	条件付きアクセス	ユーザーごとのMFA（旧方式）
必要なライセンス	なし（全プラン）	Microsoft Entra ID P1 以上（Business Premium に含まれる）	なし（全プラン）
設定の細かさ	オンかオフだけ	人・アプリ・場所・端末の状態で細かく決められる	人ごとにオン・オフ
対象から外す人を作る	できない	できる	できる
新しく入った社員	自動で対象になる	自動で対象になる	管理者が毎回オンにする
古い認証方式（レガシ認証）のブロック	される	ポリシーを作ればされる	される
使える2つ目の要素	主に Authenticator（通知）	FIDO2・Windows Hello for Business なども使える	FIDO2・Windows Hello for Business なども使える
レポート専用モード（試し運転）	なし	あり	なし
向いている会社	Business Basic・Standard の会社	Business Premium の会社	基本的に使わない

サンプル工務店は、事務・営業・設計・代表がBusiness Standard、現場監督とパートがBusiness Basicです。どちらにもMicrosoft Entra ID P1は含まれていないので、セキュリティの既定値群で全員に多要素認証をかけます。P1は単体の製品としても売られていますが、Business Basic・Standardに足せるかと価格は公式で確かめられませんでした。Microsoft 365 管理センターのMarketplace（または販売店）で、足せるかと価格を確かめてください。条件付きアクセスに切り替える判断は「Entra IDとIntuneとは：条件付きアクセスと端末管理を小さな会社でどこまでやるか」で扱います。

セキュリティの既定値群と条件付きアクセスは同時には有効にできません。条件付きアクセスのポリシーが1つでもあると（オフやレポート専用の状態でも）、セキュリティの既定値群は有効にできない仕様です。

2つ目の要素を何にするか

セキュリティの既定値群では、社員はMicrosoft Authenticatorの通知で登録するのが基本です。Authenticatorの確認コードも使えますが、登録は通知を選んだときだけできます。Microsoft以外の認証アプリ（OATH TOTPのコードを出すアプリ）でもコードを作れます。

サンプル工務店は全員Microsoft Authenticatorにそろえました。アプリをそろえておくと、社員から「通知が来ない」と言われたときに、管理者が同じ画面を見ながら案内できます。

誰のスマホに入れるか

現場監督は会社支給のスマホですが、一部は私物です。私物のスマホにAuthenticatorを入れてもらうなら、その前に「会社がスマホの中身を見るわけではない。入れるのはサインインの確認アプリだけ」と説明しておくと話がこじれません。Authenticatorを入れただけでは、会社がスマホを管理できるようにはなりません。私物スマホそのものを管理する話は、Intuneの記事で扱います。

どうしても私物スマホに入れたくない社員がいる場合、セキュリティの既定値群のままでは、会社支給のスマホかタブレットを1台渡すのが現実的な手です。FIDO2のセキュリティキーやハードウェアのトークンを2つ目の要素にするには、条件付きアクセス（Business Premium）が必要です。

管理者アカウントを分けるか

セキュリティの既定値群では、グローバル管理者・Exchange 管理者・SharePoint 管理者・ユーザー管理者・ヘルプデスク管理者・請求管理者など14以上の管理者ロールを持つアカウントは、登録後はサインインのたびに多要素認証を求められます。Microsoftは、管理の作業と普段の仕事でアカウントを分けることを勧めています。

サンプル工務店では、総務の事務Bが普段使うアカウントとは別に、管理専用のアカウントを1つ持っています。代表のアカウントには管理者ロールを付けていません。代表が毎回承認を求められて嫌になり、多要素認証そのものを外してほしいと言い出すのを避けるためです。

有効にする前と後の一覧

項目	有効にする前	有効にした後
サインイン	パスワードだけ	パスワード＋Authenticatorの承認（必要なときに求められる）
管理者のサインイン	パスワードだけ	毎回 Authenticator の承認
登録の猶予	なし	なし（2024年7月29日に14日間の猶予は廃止）
古いメールソフト（POP・IMAP・基本認証のSMTP）	使える	ブロックされる
複合機のスキャンからメール送信（基本認証のSMTP）	使える	送れなくなる場合がある
Office 2010 など先進認証に対応しないソフト	使える	使えない
デバイス コード フロー（コードを別の端末で入れるサインイン）	使える	ブロックされる
Azure portal・Microsoft Entra 管理センターに入る	パスワードだけ	管理者でなくても多要素認証が必要

一番困るのは複合機です。工務店や設計事務所では、複合機でスキャンした図面をMicrosoft 365のアドレスからメールで送っていることが多く、その送り方が基本認証のSMTPだと、セキュリティの既定値群を有効にした日から送れなくなります。有効にする前に、複合機の送信設定がどのアカウントのどの方式で送っているかを見ておきます。送り方を変える方法は、Microsoftの「Microsoft 365 を使用して電子メールを送信するように多機能機器またはアプリケーションを設定する方法」にまとまっています。

手順1：セキュリティの既定値群の状態を見て有効にする

セキュリティの既定値群をオン・オフするには、条件付きアクセス管理者以上のロールが必要です（Microsoft 365 管理のドキュメントではグローバル管理者またはセキュリティ管理者）。

1. Microsoft Entra 管理センター（entra.microsoft.com）に管理者アカウントでサインインする
2. 「Entra ID」→「概要」を開く（公式の手順は英語表記の「Entra ID > Overview > Properties」。日本語画面の表示名は画面で確かめてください）
3. 「プロパティ」タブを選ぶ
4. タブの下のほうにある「セキュリティの既定値群」の欄を見る
5. 「セキュリティの既定値群の管理」を選ぶ
6. 「セキュリティの既定値群」を「有効」にする
7. 「保存」を選ぶ

4で「組織はセキュリティの既定値で保護されています」と出ていれば、すでに有効です。何もしなくてかまいません。条件付きアクセスのポリシーがあるという文が出ていれば、そのテナントは条件付きアクセスで運用しているので、セキュリティの既定値群は触りません。

有効にした直後は、すでにサインインしている社員はそのまま使えてしまいます。全員に確実に登録させたいときは、既存のサインインを取り消します。Microsoftのドキュメントでは、Microsoft Graph PowerShellの Revoke-MgUserSignInSession を使う方法が書かれています。15名ほどなら、管理センターで一人ずつ「セッションを取り消す」を選んでも済みます。

Install-Module Microsoft.Graph -Scope CurrentUser
Connect-MgGraph -Scopes "User.ReadWrite.All"
Revoke-MgUserSignInSession -UserId jimu-b@sample-koumuten.example

一度に全員を取り消すと、その日の朝に全社員の画面でサインインし直しと登録が始まり、電話が鳴りやまなくなります。取り消しは、後で書く進め方のとおり、週ごとに対象の人だけにします。

手順2：社員がMicrosoft Authenticatorを登録する

社員側の手順です。パソコンとスマホを両方手元に置いて始めます。この手順をそのまま社内に配れば、社員が自分で登録できます。

1. スマホのApp Store（iPhone）かGoogle Play（Android）で「Microsoft Authenticator」を入れる
2. パソコンのブラウザーで会社のアカウント（例: eigyo-a@sample-koumuten.example）にサインインする
3. 「詳細情報が必要」と出たら「次へ」を選ぶ
4. 「アカウントのセキュリティ保護を維持」の画面で、Microsoft Authenticatorの案内のまま「次へ」を選ぶ
5. スマホでAuthenticatorを開き、通知を「許可」する
6. Authenticatorの「アカウントの追加」から「職場または学校アカウント」を選ぶ
7. パソコンで「次へ」を選び、「QR コードをスキャンします」の画面を出す
8. スマホのAuthenticatorでパソコンの画面のQRコードを読み取る
9. パソコンで「次へ」を選ぶと、スマホにテストの通知が届く
10. パソコンの画面に出た番号をスマホの通知に入力して承認する
11. パソコンで「次へ」を選び、「成功」の画面で「完了」を選ぶ

QRコードを読み取れないときは、パソコンの画面で「QR イメージをスキャンできない」を選ぶと、スマホに手で入れるコードとURLが出ます。

サインインのときに「詳細情報が必要」が出ない人や、後から登録し直したい人は、パソコンで mysignins.microsoft.com/security-info（「セキュリティ情報」のページ）を開き、「サインイン方法の追加」からMicrosoft Authenticatorを選べば同じ流れになります。

組織が電話番号の追加を許している場合は、ウィザードの続きで電話番号（SMSか音声通話）も登録できます。Authenticatorが使えないときの予備になるので、会社として許している場合は登録させておきます。

番号の一致とは

Authenticatorの通知で承認するときは、パソコンのサインイン画面に出た番号をスマホに入力します。これを「番号の一致」と呼びます。今はすべてのAuthenticatorのプッシュ通知で有効になっていて、社員が自分で外すことはできません。

この仕組みは、攻撃者が盗んだパスワードで何度もサインインを試し、社員が根負けして「承認」を押してしまう攻撃（MFA疲労攻撃）を防ぐためのものです。社内に配る手順書には「自分でサインインしていないのに通知が来たら、番号を入れずに拒否して、すぐ総務に連絡する」と1行入れておきます。パスワードが漏れているサインです。

同じスマホのTeamsやOutlookのアプリでサインインしたときは、番号を入れずに「承認」か「拒否」を選ぶだけの画面になることがあります。スマホのブラウザーでサインインしたときは番号の入力が必要です。

Apple Watchなどのウェアラブル端末では番号の一致に対応していないので、承認はスマホ本体で行います。古いバージョンのAuthenticatorは番号の一致に対応しておらず、サインインできません。社員には、アプリを最新にしておくよう伝えます。

手順3：スマホを替えた・なくした・使えない社員への対応

一番問い合わせが多いのがここです。Authenticatorは新しいスマホに入れても古いスマホから自動では消えず、通知は最後に使われた端末に届くことがあります。機種変更の後に「通知が来ない」と言われるのはたいていこれです。

管理者が認証方法を登録し直させる

1. Microsoft Entra 管理センターに認証管理者以上のロールでサインインする
2. 「Entra ID」→「ユーザー」を開く
3. 対象の社員（例: 現場監督C）を選ぶ
4. 「認証方法」を選ぶ
5. 画面上部の「MFA の再登録」を選ぶ
6. スマホをなくした場合は、続けて「セッションを取り消す」も選ぶ
7. 社員に、次のサインインで「手順2」をやり直すよう伝える

「MFA の再登録」を選ぶと、その社員の電話番号・Microsoft Authenticator・ソフトウェアのOATHトークンが消え、次のサインインで新しく登録するよう求められます。ハードウェアのOATHトークンを使っている人は、それも使えなくなります。「セッションを取り消す」は、今サインインしているすべてのアプリとブラウザーからいったん追い出します。なくしたスマホでOutlookやTeamsが開きっぱなしになっている状態を断つのに使います。

機種変更で古いスマホがまだ手元にあるなら、管理者が操作しなくても済みます。古いスマホで通知を承認してサインインし、「セキュリティ情報」のページで新しいスマホのAuthenticatorを追加してから、古いスマホの登録を削除すれば終わりです。

一時アクセス パスで入ってもらう

ポリシーの変更は認証ポリシー管理者以上（グローバル管理者も可）、パスの発行は認証管理者以上のロールが必要です。Authenticatorも電話番号も使えない社員には、管理者が「一時アクセス パス」を発行して、それでサインインしてから登録し直してもらう方法もあります。一時アクセス パスは時間制限付きのパスコードで、既定では有効期間が1時間、長さは8文字です。

1. Microsoft Entra 管理センターで「Entra ID」→「認証メソッド」→「ポリシー」を開く（画面の表記は確かめてください。ユーザーごとの画面は「認証方法」です）
2. 一覧から「一時アクセス パス」を選び、有効にして対象のユーザーまたはグループを選ぶ
3. 「保存」を選ぶ
4. 「Entra ID」→「ユーザー」で対象の社員を選び、「認証方法」→「認証方法の追加」を選ぶ
5. 「一時アクセス パス」を選び、「追加」を選ぶ
6. 表示されたパスコードを控えて社員に伝える（「OK」を押した後は二度と表示されない）

パスコードは対面か電話で本人に伝えます。メールで送ると、そのメールを読めない状態の社員には届きませんし、メールが盗まれていた場合に意味がなくなります。

応用：今使える認証方法の一覧

Microsoft Entra IDで使える認証方法を、小さな会社で使う場面に絞って並べます（2026年11月時点）。

認証方法	2つ目の要素（MFA）に使えるか	フィッシングに強いか	小さな会社での使いどころ
Microsoft Authenticator のプッシュ通知	使える	普通	全員の基本
Microsoft Authenticator のパスキー	使える（パスワードなしのサインインにも）	強い	管理者や経理など狙われやすい人から
ソフトウェア OATH トークン（認証アプリのコード）	使える	普通	Authenticator以外のアプリを使いたい人
パスキー（FIDO2）・FIDO2 セキュリティキー	使える	強い	スマホを使えない人・管理者（条件付きアクセスが前提）
Windows Hello for Business	条件付きで使える	強い	会社のWindowsパソコンを Intune で管理する段階で
macOS のプラットフォーム資格情報	使える	強い	Mac を管理する段階で
SMS・音声通話	使える	弱い	予備の手段
一時アクセス パス	使える（期限付き）	—	新入社員の初回登録・スマホをなくした人の復旧
証明書ベースの認証	使える	強い	小さな会社ではほぼ使わない

Microsoftがフィッシングに強い方法として勧めているのは、Windows Hello for Business・macOSのプラットフォーム資格情報・同期されたパスキー・FIDO2セキュリティキー・Microsoft Authenticatorのパスキー・証明書ベースの認証です。通知の承認やSMSのコードは、偽のサインインページに入力させられると突破される余地があります。

サンプル工務店では、まず全員を通知の承認で始め、経理を担当する事務と管理専用アカウントだけ、慣れたところでAuthenticatorのパスキーに切り替える予定にしています。請求書の振込先を書き換えるなりすましメールは経理を狙ってくるからです。

新入社員の初回登録

新入社員の初日は、パスワードを伝えてサインインしてもらい、その場で手順2の登録をさせます。初日の流れに「Authenticatorを入れる」を書いておかないと、本人が自宅で登録しようとしてつまずきます。ユーザーを追加する手順は「Microsoft 365管理センターの使い方：ユーザー・ライセンス・グループの管理」で書いています。

サンプル工務店の進め方

全員を一度に切り替えると問い合わせが集中するので、1週間ずつ順番に進めました。テナントは2019年10月より前に作ったもので、セキュリティの既定値群はオフのままでした。

週	対象	やること
1週目	管理者（管理専用アカウント・事務B）	管理専用アカウントで登録→複合機の送信設定を見る→複合機の送信方法を変える
2週目	事務3名・パート	手順書を配って朝礼で説明→セキュリティの既定値群を有効にする→事務の3名とパートの既存のサインインを取り消して登録させる
3週目	代表・営業3名・設計2名	同じく既存のサインインを取り消して登録させる。代表のMacとスマホは管理者が横について登録
4週目	現場監督5名	月曜の朝礼の前に事務所で全員まとめて登録。私物スマホの2名には先に説明

セキュリティの既定値群は会社全体のスイッチなので、対象を週ごとに分けることはできません。有効にした後も、すでにサインインしている社員は認証の期限が切れるまでそのまま使えます。その性質を使って、有効にするのは2週目に済ませ、週ごとに対象の人だけサインインを取り消して登録を促しました。取り消していない人も、どこかの時点で登録を求められます。現場で突然求められると現場監督が困るので、4週目の朝に事務所でまとめて登録させています。

現場監督のスマホについては次のように決めました。

• 会社支給のスマホにAuthenticatorを入れ、そのスマホでTeamsとOutlookのアプリも使う
• 私物スマホの2名には、Authenticatorだけ入れてもらう。入れるのはサインインの確認アプリで、会社がスマホの中を見たり消したりはできないと説明した
• 機種変更をするときは、古いスマホを手放す前に総務へ声をかけるルールにした
• 現場でスマホをなくしたら、まず総務に電話する。総務が「セッションを取り消す」と「MFA の再登録」を行う

できないことと、その代わり

できないこと	代わりの手
セキュリティの既定値群で、特定の人だけ多要素認証から外す	外さない。どうしても必要なら全員分のEntra ID P1をそろえ（Business Premiumに上げるか、P1を足す）、条件付きアクセスで除外する
セキュリティの既定値群で「社内のネットワークからなら省く」	できない。条件付きアクセスの場所の条件で決める
セキュリティの既定値群で FIDO2 キーを2つ目の要素にする	条件付きアクセスに切り替える
スマホを持たない人に、セキュリティの既定値群のまま多要素認証をかける	会社支給のスマホかタブレットを渡す
古いメールソフト（POP・IMAP）をそのまま使い続ける	新しい Outlook か Outlook アプリに切り替える
基本認証のSMTPで送る複合機をそのまま使う	複合機の送信方式を変える
Authenticator の承認の記録を細かく見る（MFAレポート）	Microsoft Entra ID P1（Business Premium）で使える

セキュリティの既定値群は「全員に同じ最低限の守り」をかけるものです。人や場所で分けたくなったら、それは全員分のEntra ID P1をそろえる（Business Premiumに上げるか、P1を足す）合図です。上げる判断は「Entra IDとIntuneとは：条件付きアクセスと端末管理を小さな会社でどこまでやるか」で書いています。

よく詰まるところ

症状	原因	直し方
通知が来ない	通知が古いスマホに送られている。またはスマホがネットにつながっていない	古いスマホで承認するか、管理者が「MFA の再登録」。スマホの通信と、Authenticatorの通知の許可を確かめる
機種変更したらサインインできない	新しいスマホにアカウントが入っていない	古いスマホがあればそれで承認して新しいスマホを追加。なければ管理者が再登録を要求
番号を入れる画面が出ない	Authenticator のバージョンが古い。または Apple Watch で通知を見ている	アプリを最新にする。スマホ本体で承認する
コードが合わない	30秒ごとに変わるコードの古い値を入れている。スマホの時刻がずれている	新しいコードが出てから入れる。スマホの日時を自動設定にする
覚えのない通知が来た	パスワードが漏れていて、誰かがサインインを試している	拒否して管理者に連絡。管理者はパスワードをリセットし、セッションを取り消す
「詳細情報が必要」が毎回出て先に進めない	登録を途中でやめている	「セキュリティ情報」のページで登録を最後まで終える
セキュリティの既定値群の管理が押せない	条件付きアクセスのポリシーが残っている	ポリシーの設定を記録してから削除する。または条件付きアクセスのまま運用する
有効にした日から複合機のスキャンメールが届かない	複合機が基本認証のSMTPで送っている	複合機の送信方式を Microsoft の案内に沿って変える
古いメールソフトでメールを受け取れなくなった	POP・IMAP の基本認証がブロックされた	新しい Outlook か Outlook アプリに移す
管理者だけ毎回承認を求められて面倒	管理者ロールを持つアカウントは毎回求められる仕様	管理専用アカウントを分け、普段の仕事は管理者ロールのないアカウントで行う
ユーザーごとのMFAの画面で全員「無効」になっている	セキュリティの既定値群か条件付きアクセスで多要素認証をかけていると「無効」のままになる	正常。ユーザーごとのMFAをオンにしない
一時アクセス パスを入れる画面が出ない	一時アクセス パスのポリシーの対象に入っていない。反映に数分かかっている	ポリシーの対象を確かめ、数分待ってからサインインし直す

次にやること

多要素認証をかけたら、次は「誰がどこから入れるか」と「会社の端末をどう管理するか」です。条件付きアクセスとIntuneについては「Entra IDとIntuneとは：条件付きアクセスと端末管理を小さな会社でどこまでやるか」で、Business Premiumに上げるかP1を足すかの判断とあわせて書いています。

これから契約する会社は「Microsoft 365の導入手順：契約・独自ドメイン・ユーザー追加・初期設定」の初期設定の中で多要素認証を有効にしておくと、後から全員を切り替える手間がかかりません。ユーザーの追加と管理者ロールの付け方は「Microsoft 365管理センターの使い方：ユーザー・ライセンス・グループの管理」、社員が辞めたときにセッションを取り消してサインインを止める流れは「Microsoft 365の退職者の処理：アカウント・メール・OneDriveの引き継ぎとライセンスの回収」にまとめています。