業務で使用するWindowsパソコンへのログインを、ID・パスワードだけに頼っていませんか？

パスワードは広く使われている認証方法ですが、フィッシングや情報漏えいなどによって第三者に知られてしまう可能性があります。ID・パスワードだけでログインできる環境では、認証情報が漏えいした場合に不正ログインにつながるおそれがあります。

そこで検討したいのが、多要素認証（MFA：Multi-Factor Authentication）です。

多要素認証では、「知っていること」「持っているもの」「身体的な特徴」など、異なる認証要素を組み合わせて本人確認を行います。

この記事では、Windowsログインで多要素認証を実現する方法や、Windows Hello for Business、FIDO2セキュリティキーなどの違い、企業で導入する際のポイントについて解説します。

Windowsログインの多要素認証（MFA）とは？

多要素認証（MFA）とは、異なる種類の認証要素を組み合わせて本人確認を行う仕組みです。

認証要素には、主に次のようなものがあります。

知識要素：パスワード、PINなど、自分が知っている情報
所持要素：スマートフォン、セキュリティキーなど、自分が持っているものを使った認証
生体要素：指紋、顔など、自分自身の身体的な特徴

1つの認証情報だけに依存せず、異なる要素を組み合わせることで、認証の安全性を高めます。

Windowsを業務で使用する企業では、クラウドサービスやVPNだけでなく、Windowsパソコンそのものへのログインをどのように保護するかも考える必要があります。

なぜWindowsログインにも多要素認証が必要なのか

パスワードが漏えいする可能性がある

複雑なパスワードを設定していても、フィッシングや情報漏えいなどによって認証情報が第三者に知られる可能性があります。

そのため、パスワードを複雑にするだけでなく、「パスワードを知られてしまった場合」まで想定した認証対策を考えることが重要です。

パスワードを使い回している場合がある

複数のサービスで同じID・パスワードを使用していると、一つのサービスから漏えいした認証情報が、別のサービスへの不正ログインに悪用される可能性があります。

企業側でパスワードの運用ルールを設けるだけでなく、パスワードだけに依存しない認証環境を検討することも重要です。

パソコンの紛失や盗難にも備える必要がある

ノートパソコンを社外へ持ち出す企業では、端末そのものの紛失や盗難についても考える必要があります。

クラウドサービス側で多要素認証を導入していても、Windowsパソコンへのログインがどのように保護されているかは別に確認する必要があります。

ランサムウェア対策でも認証情報の保護が重要

近年のサイバー攻撃では、システムの脆弱性だけでなく、正規のID・パスワードなどの認証情報が攻撃に利用されるケースがあります。

先ほど紹介したSafePayランサムウェアについても、CISAなどは流出した認証情報の悪用、パスワードへの攻撃、VPNなどを侵入経路として挙げています。

一度侵入されてから対処するだけでなく、侵入の入口となる認証環境そのものを見直すことも重要です。

≫ SafePayランサムウェアと多要素認証について詳しくはこちら

Windowsログインを多要素認証する主な方法

Windowsログインの認証を強化する方法はいくつかあります。

ここでは代表的な方法として、

• Windows Hello for Business
• FIDO2セキュリティキー
• Windowsログインに対応した多要素認証製品

について紹介します。

自社のWindows環境やActive Directory、Microsoft Entra IDの利用状況などによって適した方式が異なるため、それぞれの特徴を理解したうえで選択することが重要です。

Windows Hello for Business

Windows Hello for Businessは、Microsoftが提供する企業向けの認証機能です。

Microsoft公式では、Windows Hello for Businessは、デバイス固有の資格情報とPINまたは生体認証を組み合わせた2要素認証と説明されています。

ユーザーが所有するデバイスに保護された秘密鍵と、「知っているもの」であるPIN、または生体認証を組み合わせて認証します。

また、Windows Hello for Businessでは従来のパスワードではなく、キーベースまたは証明書ベースの認証が利用されます。Microsoftは、サーバーから盗まれたり、ユーザーからフィッシングされたりして遠隔利用されるような対称シークレット（パスワード）を使用しないことを特徴として説明しています。

つまり、「パスワード ＋ PIN」という単純な仕組みではなく、デバイスに保護された「資格情報 ＋ PINまたは生体認証」という考え方で認証を行います。

Windows HelloとWindows Hello for Businessの違い

名前が似ていますが、「Windows Hello」と「Windows Hello for Business」には違いがあります。

Windows Helloは、従来のパスワードの代わりにPINや顔認証・指紋認証などを使ってWindowsデバイスにサインインするための認証技術です。

Windows Hello for Businessは、Windows Helloを拡張した企業向けの認証・管理の仕組みです。デバイス構成証明、証明書ベース認証、条件付きアクセスポリシーなど、企業向けのセキュリティ・管理機能を提供します。

また、Windows Hello for Businessは、Microsoft Entra IDアカウントやActive Directoryアカウントなどへの認証に対応しています。認証方式にはキーベースと証明書ベースがあり、利用する環境や構成によって異なります。

そのため、企業としてWindowsログインの認証強化を検討する際には、単に「顔認証やPINを利用する」というだけでなく、どのID基盤を利用しているのか、端末や認証をどのように管理するのかまで考える必要があります。

FIDO2セキュリティキーを利用する

Windowsへのサインインには、FIDO2に対応した物理セキュリティキーを利用する方法もあります。

FIDO2は、従来のパスワードを必要とせず、生体認証や物理セキュリティキーによってデバイスやアプリへサインインできるパスワードレス認証のオープン標準です。

Microsoftでは、Windows 10およびWindows 11で、FIDO2セキュリティキーを利用したパスワードレス認証を提供しています。

ただし、WindowsログインにFIDO2セキュリティキーを使用する場合には環境上の条件があります。

Microsoft公式の構成では、FIDO2セキュリティキーを使用してサインインできるWindowsデバイスは、

Microsoft Entra参加済み
Microsoft Entraハイブリッド参加済み

の環境が対象です。

一方、Microsoftは、Windows Server Active Directory Domain Services（AD DS）だけにドメイン参加しているオンプレミス専用デバイスへの展開はサポート対象外としています。

そのため、「WindowsでFIDO2が使えるか」だけを見るのではなく、現在のWindows端末がどのようなID管理・参加形態になっているかを確認することが重要です。

Windowsログインに対応した多要素認証製品を利用する

Windowsログインの認証を強化する方法として、専用の多要素認証製品を利用する方法もあります。

Windows Hello for BusinessやFIDO2は有力な選択肢ですが、企業によって使用しているWindows端末やActive Directory、Microsoft Entra IDなどの環境は異なります。

そのため、「Windowsで多要素認証を使いたい」という目的だけで方法を決めるのではなく、既存環境や運用方法まで確認して方式を選ぶことが重要です。

「アプリップリキー」では、Windowsログイン時の認証を強化し、ID・パスワードだけに依存しない認証環境の構築を支援しています。

≫ アプリップリキーのサービス詳細はこちら

Windows Hello for Businessと専用の多要素認証製品、どちらを選ぶ？

Windows Hello for Businessは、Windows標準の仕組みを利用した有力な選択肢です。

Microsoft公式でも、Windows Hello for Businessを2要素認証として位置づけ、Microsoft Entra IDやActive DirectoryなどのIDプロバイダーと関連付けて利用できることが説明されています。

一方で、企業のIT環境はすべて同じではありません。

例えば、

• Active Directoryを使用している
• Microsoft Entra IDを使用している
• オンプレミス中心で運用している
• Windows端末の構成が統一されていない
• 認証方法をできるだけ分かりやすくしたい

など、企業によって条件が異なります。

そのため、Windowsログインを多要素認証化する場合は、現在の端末・ID管理環境と、導入後の運用方法を確認したうえで比較することが重要です。

Windowsログインの多要素認証を選ぶポイント

現在のWindows環境に対応できるか

最初に確認したいのが、自社で使用しているWindows環境です。

特に、

• Windowsのバージョン
• Active Directoryの利用状況
• Microsoft Entra IDの利用状況
• 端末の参加形態
• 社内システムとの連携

などを確認しておきましょう。

FIDO2によるWindowsサインインのように、Microsoft Entra参加・Microsoft Entraハイブリッド参加など、利用条件が定められている方式もあります。

利用者にとって操作が複雑にならないか

セキュリティ対策は重要ですが、Windowsは毎日の業務で利用するものです。

ログインするたびに複雑な操作が必要になれば、利用者の負担が大きくなる可能性があります。

特に全社展開する場合は、セキュリティだけでなく、利用者が日常業務で無理なく使えるかという視点も重要です。

認証手段を紛失した場合の対応を決めておく

物理的なセキュリティキーやスマートフォンなどを認証に利用する場合には、紛失した場合の対応も考えておく必要があります。

認証方式を選ぶ際には、「通常時にどうログインするか」だけでなく、ログインできなくなった場合にどのように復旧するかも確認しておきましょう。

管理者の運用負担も確認する

企業で利用する場合は、導入後の管理も必要です。

例えば、

• 新しいユーザーの追加
• パソコンの入れ替え
• 認証手段の変更
• 紛失時の対応
• 退職者のアカウント処理

などが発生します。

安全性だけでなく、管理担当者が継続して運用できる仕組みかどうかも選定基準になります。

Windowsログインの多要素認証に関するよくある質問

Q. Windows 11で多要素認証は利用できますか？

はい。MicrosoftのWindows Hello for BusinessはWindows 11およびWindows 10を対象としており、デバイス固有の資格情報とPINまたは生体認証を組み合わせた2要素認証を提供しています。

また、Microsoft Entra参加済みまたはMicrosoft Entraハイブリッド参加済みのWindows 11デバイスでは、FIDO2セキュリティキーによるWindowsサインインもMicrosoftから提供されています。

Q. Windows Hello for Businessは多要素認証ですか？

MicrosoftはWindows Hello for Businessについて、デバイス固有の資格情報と、生体認証またはPINを組み合わせた2要素認証と説明しています。

Q. Windows HelloのPINはパスワードとは違うのですか？

異なります。

Windows Hello for Businessで利用するPINは、デバイスに保護された秘密鍵を利用するための認証要素として機能します。

Microsoftは、Windows Hello for Businessの秘密鍵について、ユーザーが所有するデバイスのセキュリティモジュールによって保護され、PINをユーザーが知っている認証要素として説明しています。

そのため、単に短いパスワードへ置き換えているわけではありません。

Q. Windowsログインをパスワードレスにできますか？

はい。Windows HelloやFIDO2など、従来のパスワードを必要としない認証方法がMicrosoftから提供されています。Windows Helloは生体認証またはPINを利用してWindowsデバイスへサインインでき、FIDO2では生体認証または物理セキュリティキーを使用するパスワードレス認証ができます。

ただし、利用できる認証方式や必要な構成は環境によって異なります。

Q. Active Directory環境でもWindows Hello for Businessを利用できますか？

Microsoft公式では、Windows Hello for Businessによる認証先としてActive Directoryアカウントが挙げられています。

またMicrosoftのIdentity Support Blogでは、Windows Hello for Businessにクラウドのみ、ハイブリッド、オンプレミスのみの展開モデルがあることが説明されています。

一方、FIDO2セキュリティキーによるMicrosoft Entra IDを使用したWindowsサインインについては、AD DSだけにドメイン参加しているオンプレミス専用デバイスへの展開はサポート対象外です。

この点は方式を選ぶ際に注意が必要です。

Windowsログインの認証方法を見直しましょう

企業のサイバーセキュリティ対策では、ウイルス対策ソフト、OSやソフトウェアのアップデート、バックアップ、ネットワーク対策など、さまざまな対策が必要です。

同時に忘れてはいけないのが、システムへの入口となる「認証」の対策です。

WindowsパソコンへのログインがID・パスワードだけになっている場合は、

• パスワードが漏えいした場合にどうなるか
• Windows Hello for Businessを利用できる環境か
• FIDO2などのパスワードレス認証を利用できるか
• 現在のActive DirectoryやMicrosoft Entra ID環境に適しているか
• 利用者や管理者が無理なく運用できるか

といった点から、現在の認証環境を確認してみましょう。

アプリップリキーでは、Windowsログイン時の認証を強化し、ID・パスワードだけに依存しない認証環境の構築を支援しています。

≫ アプリップリキーのサービス詳細はこちら
≫ Windowsログインの多要素認証について相談する

参考情報
Microsoft Learn：Windows Hello for Business の概要
Microsoft Learn：FIDO2 セキュリティ キーによるWindowsへのサインイン