Microsoft 365などのクラウドサービスには多要素認証を入れていても、社内のPCやサーバーへのログインはパスワードのまま、という会社は少なくありません。そこに2つ目の鍵を足そうと調べると、方式も製品も多く、どれが自社に合うのか分かりにくくなります。
この記事では、Windowsのログインを2要素認証にする主な方式を、強みと注意点の両方から比べます。筆者はアプリップリキー（スマホのワンタッチ型）の提供元ですが、どの会社にも自社製品が一番合うとは考えていません。状況によっては、他の方式のほうが合う会社もあります。その前提で整理します。
比べる前に確かめたい3つのこと
- 守りたいのはどのログインか：PCの前でのログイン、社外からのリモートデスクトップ接続、社内のWindows Server、Microsoft 365などのクラウドサービス。方式によって届く範囲が違います
- PCをどう管理しているか：Active Directory（AD）、Microsoft Entra ID（旧Azure AD）、ワークグループ（PCごとのローカルアカウント）、またはその混在。多くの方式は、特定の管理のしかたを前提にしています
- 運用できる人手と予算：専任の担当者がいるか、認証用のサーバーや証明書の仕組みを用意・維持できるか。費用が「1人あたり」「1台あたり」「初期費用あり」のどれで決まるか
主な方式の強みと注意点
製品名は挙げず、方式と出どころで分けています。料金は製品や契約で大きく変わるため、金額ではなく「費用の決まり方」で書いています。
| 方式 | 強み | 注意点 | 向いている会社 |
|---|---|---|---|
| Windowsの標準機能 （Windows Hello for Business） | Windows Proに含まれ、追加費用がかからない。端末に保存した鍵とPIN・顔・指紋を組み合わせる方式で、偽のログイン画面に認証情報をだまし取られる手口に強い。ただし同じPCの中で完結し、ログインを簡単にする手段のため、それだけでは2要素認証にならない。クラウドサービスへのログインと一体で管理できる | ADかEntra IDでの管理が前提。パスワード自体は残り、既定ではパスワードでのログインやリモートデスクトップ接続の道も残る。リモートデスクトップ接続にも使うには、証明書の仕組みと配布が必要。ローカルアカウントでは同じ強さにならない | Microsoft 365とIntuneで、PCとアカウントを一元管理している会社 |
| 海外製のスマホ通知型 | スマホに届く通知を承認する方式。Windowsのログインだけでなく、VPNやクラウドサービスまで1つの製品でまとめて扱える。世界的に利用者が多い | 利用者ごとの事前登録が必要。ネットにつながらないときのログインは、上位プランに限られたり、リモートデスクトップ接続では対象外だったりする。費用は主に1人あたり | 海外に拠点がある、またはVPNとクラウドもまとめて対策したい会社 |
| 国産のICカード・生体認証型 | 社員証のICカードや指紋・顔で認証できる。国内の大企業や官公庁での導入例が多い | AD連携を前提にする製品が多い。カードリーダーなどの機器が必要になる場合がある。初期費用がかかる製品が多い | ADで管理していて、ICカードの社員証をそのまま使いたい会社 |
| 国産の管理サーバー型（ワンタイムパスワード入力） | 1人あたりの費用を低く抑えやすい。スマホに表示される番号を入力する方式 | 管理用のサーバーを用意する必要がある。ログインのたびに番号を入力する手間がある | 管理用のサーバーを置ける、人数の多い会社 |
| 国産の乱数表型 | 画面の乱数表から自分だけが知る位置の数字を読み取る方式。スマホも専用の機器もいらず、自社の中だけで運用できる | 認証用のサーバーが必要で、構築に費用がかかる場合がある。利用者が読み取り方を覚える必要がある | 業務でスマホを使えない、または社外のサービスに頼りたくない会社 |
| USB型の物理キー | 偽のログイン画面に強い方式の代表。スマホがいらない | キーを1人ずつ購入・配布する必要があり、なくしたときの手順も要る。製品によってはローカルアカウント専用など、対応範囲が限られる | 管理者のアカウントなど、特に重要なアカウントを強く守りたい会社 |
| スマホのワンタッチ型 （アプリップリキー） | ADがあってもなくても導入でき、設定は5分ほど。認証用のサーバーや専用の機器がいらない。ネットにつながらない場所でもログインできる。PC版・サーバー版ともリモートデスクトップ接続に対応。全PC・サーバーの状態とログイン記録を1画面で見られ、CSVで出せる。1台から始められる | Windows専用で、Mac・Linuxは対象外。VPN・クラウドサービス・ブラウザでのログインは対象外。費用はPC1台ごとで台数による割引はなく、台数が多い会社では1人あたりの製品より高くなることがある。アカウントを一元管理する機能はない。PCの時刻が自動で合っていることが前提 | ADの有無にかかわらず、社内のPC・サーバーとリモートデスクトップ接続に、大がかりな準備なしで2つ目の鍵をかけたい会社 |
※ 各方式の内容は、各社の公開情報（2026年10月時点）に基づく一般的な傾向です。製品やプランによって異なるため、導入前に各社へご確認ください。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
「Entra IDを使っているからPCはもう2要素認証」は本当か
PCをMicrosoft Entra IDに参加させている会社では、Windows Hello for Businessが設定されていることが多く、Microsoftはこれを2要素認証と位置づけています。その端末に保存された鍵と、PIN・顔・指紋の組み合わせだからです。ただし、どちらも同じPCの中で完結しており、実際にはパスワードの入力を顔・指紋・PINに置き換えて、ログインを簡単にしたものです。守りの強さが上がるわけではありません。
ただし、Microsoftの公式資料からは次のことも分かります。
- パスワード自体は残る：ログイン画面からパスワードの選択肢を隠す設定（パスワードレス エクスペリエンス）はありますが、Microsoftは「パスワードの使用を阻止することが目的ではない」と説明しています。「その他のユーザー」からはパスワードでサインインできます
- リモートデスクトップ接続は、既定ではパスワードで入れる：接続時に「別のアカウントを使用する」を選べばパスワードを入力できる、とされています
- リモートデスクトップ接続まで2要素にするには準備が要る：証明書を発行する仕組み（AD CSなど）を用意し、Intuneなどで各PCへ配る必要があります
- ローカルアカウントでは同じ強さにならない：ローカルアカウントで使えるWindows Helloは鍵を使う方式ではなく、同じレベルのセキュリティは提供されない、とMicrosoftは書いています
Windows Hello for Businessを使っている会社が、あわせて確認したいこと
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
アプリップリキーの強みと苦手なこと
提供元として、強みだけでなく苦手なことも書いておきます。
強み
- 全PC・サーバーを1画面で管理できる：ADがなくても、状態・ログイン記録・更新漏れをまとめて見られ、記録はCSVで出せます。取引先のチェックシートや監査で聞かれたときも、その日のうちに記録を出せます
- ADがあってもなくても導入できる：ワークグループのPCにもAD環境のPCにも、同じ方法で入れられます。台数が多ければまとめてインストールすることもできます
- 準備がほぼいらない：認証用のサーバー・証明書の仕組み・専用の機器はいりません。設定は5分ほどです
- ログインの手間が少ない：スマホをワンタッチしてログインします。6桁の番号を入力する方法も使えます
- ネットにつながらなくても入れる：スマホとPCがどちらもオフラインでも、番号でログインできます
- リモートデスクトップ接続にも届く：PC版はPCへのリモートデスクトップ接続を、サーバー版はWindows Serverを対象にします
- 異変があるときだけ知らせてくれる：ログインの連続失敗を検知すると相手のIPを自動で遮断し、担当者のLINEに届きます。LINEのボタンからその場で画面を確かめたり、ネットワークから切り離したりできます。何もない日は見に行かなくて済みます
- 小さく始められる：PC1台から始められます。費用は台数で決まり、1台を何人で使っても変わりません
苦手なこと
- Windows専用です。MacやLinuxには対応していません
- VPN・クラウドサービス・ブラウザでのログインは対象外です。Microsoft 365などはクラウド側の多要素認証と組み合わせてください
- 台数が多いと割高になることがあります。費用はPC1台ごとで、台数による割引はありません。1人で何台も使う会社では、1人あたりの製品のほうが安くなる場合があります
- アカウントを一元管理する機能はありません。管理の機能で見られるのはPC・サーバーの状態とログイン記録で、アカウントの配布やシングルサインオンは、ADやEntra IDなどの役割です
- PCの時刻が自動で合っていることが前提です。時刻を手動で設定しているPCではログインできません
会社の状況別に合う方式
| 会社の状況 | まず検討したい方式 |
|---|---|
| Microsoft 365とIntuneで、PCとアカウントを一元管理している | Windowsの標準機能（Windows Hello for Business）。パスワードでのリモートデスクトップ接続やローカルアカウントが残るなら、そこを別の方式で補う |
| VPNやクラウドサービスも、1つの製品でまとめて対策したい | 海外製のスマホ通知型 |
| ADで管理していて、ICカードの社員証を使いたい | 国産のICカード・生体認証型 |
| 業務でスマホを使えない | 国産の乱数表型、USB型の物理キー |
| 管理者のアカウントなど、一部を特に強く守りたい | USB型の物理キー |
| ADの有無にかかわらず、社内のPC・サーバーとリモートデスクトップ接続に、大がかりな準備なしで2つ目の鍵をかけたい。担当者が兼務か不在 | スマホのワンタッチ型（アプリップリキー） |
| MacやLinuxが中心 | アプリップリキーは対象外。各OSに対応した方式を |
| 一番の課題が、Microsoft 365などクラウドサービスの乗っ取り | まずクラウド側の多要素認証。PCのログインはその次 |
方式は1つに絞る必要はありません。たとえば「クラウドはMicrosoftの多要素認証、社内のPC・サーバーとリモートデスクトップ接続はアプリップリキー」のように、守る場所ごとに組み合わせる会社もあります。
方式が決まったら、次は社内の説明です。経営層によく聞かれる質問と答え方、稟議書の項目例はPCログインの2要素認証を社内で通すにはにまとめています。
ADがないまま、Windows PCのログインに2要素認証を入れる手順はADなしでPCログインに2要素認証を入れる方法 1台からにまとめています。
方式選びと一緒に考えたい普段の管理
どの方式を選んでも、入れたあとに担当者が困りやすいのは「いま、どのPCで誰が設定を済ませたか」「社員から『入れない』と言われたとき、何が起きているか」です。
アプリップリキーでは、ユーザーごとの2要素認証の設定状況（回復キー・番号・ワンタッチ・LINE）と、ログイン記録（日時・利用者・接続元のPC名とIPアドレス）を1画面で見られます。社員から呼ばれても、席まで行かずに、どのPCで誰がログインに失敗したかをその場で確かめられます。設定が済んでいない人も一覧で分かるので、声をかける相手に迷いません。
よくある質問
ADを使っている会社でも、アプリップリキーは使えますか？
使えます。AD環境のPCにもワークグループのPCにも導入でき、台数が多い場合はまとめてインストールできます。
Entra ID（Windows Hello for Business）と一緒に使えますか？
守る場所を分けて組み合わせる使い方があります。たとえば、クラウドサービスへのログインはEntra IDの多要素認証、パスワードでのリモートデスクトップ接続が残るPCや社内のWindows Serverはアプリップリキー、という形です。導入前に、自社の構成でどう動くかをご相談ください。
フィッシング対策になりますか？
アプリップリキーが対象にするのはWindowsへのログインとリモートデスクトップ接続です。偽サイトでMicrosoft 365などのパスワードをだまし取られる手口は、ブラウザでのログインの話なので、クラウド側の多要素認証やメール対策と組み合わせてください。
出典
- Microsoft Learn「Windows Hello for Business の概要」
- Microsoft Learn「Windows Hello for Businessを使用したリモート デスクトップ サインイン」
- Microsoft Learn「Windows パスワードレス エクスペリエンス」
- 各方式の内容は、各社の公式サイト・製品資料（2026年10月時点）に基づきます
いまの運用を棚卸ししてみる
どの方式が合うかは、自社のPCログインがいまどうなっているかで決まります。applippliの無料棚卸しでは、10問・約3分で、ログインの方法・PCの管理のしかた・担当者の体制などを一覧にできます。