Microsoft Edgeの「Passkey Sync for Enterprise Users」は、企業ユーザーがEdgeで作成したパスキーを複数デバイス間で同期できるようにする更新です。結論から言うと、パスワードレス認証の利便性は上がりますが、管理者は「Edge同期を許可してよい端末・ユーザー・認証方式」を事前に整理しておく必要があります。
公式ロードマップでは、Microsoft Edge向け機能として2026年6月の一般提供が予定され、状態は「In development」とされています。対象クラウドはWorldwide、リリースリングはGeneral Availability、プラットフォームはWebです。公開・更新日時はUTCでは2026年5月7日23時台のため、日本時間では2026年5月8日扱いで確認できます。(Microsoft)
Microsoft EdgeのPasskey Sync for Enterprise Usersで変わること
今回の変更は、Edgeで作成したパスキーを企業ユーザー向けに同期できるようにするものです。これにより、ユーザーは1台のPCだけでなく、複数の業務デバイスから安全にサインインしやすくなります。
従来、パスキーは「安全だが、端末をまたぐ運用が難しい」と感じられる場面がありました。たとえば、社員が新しいPCに入れ替えたとき、再登録が必要になったり、端末紛失時の復旧手順がヘルプデスク依存になったりするケースです。同期に対応すると、こうした摩擦が減り、パスワードレス認証を社内展開しやすくなります。
一方で、同期される資格情報はセキュリティ運用上の重要な資産です。単に「便利になる機能」として有効化するのではなく、Microsoft Edgeの同期ポリシー、パスワードマネージャー設定、Microsoft Entra IDのパスキー設定、条件付きアクセスの方針を合わせて見直すことが重要です。
公式情報から分かる対象範囲
現時点で公式ロードマップから確認できる内容は次のとおりです。ロードマップ情報は予定であり、Microsoft 365ロードマップ自体もリリース日や内容が変更される可能性があると説明しています。(Microsoft) (Microsoft)
| 項目 | 内容 |
|---|---|
| 機能名 | Microsoft Edge: Passkey Sync for Enterprise Users |
| 対象サービス | Microsoft Edge |
| 変更内容 | Edgeで作成したパスキーを企業ユーザー向けに同期可能にする |
| 主な目的 | パスワードレス認証を複数デバイスで使いやすくする |
| ステータス | In development |
| リリースフェーズ | General Availability |
| GA予定 | 2026年6月 |
| 対象クラウド | Worldwide (Standard Multi-Tenant) |
| プラットフォーム | Web |
| プレビュー日 | 公式ロードマップ上は未記載 |
特に注意したいのは、対象クラウドがWorldwideに限定されている点です。GCC、GCC High、DoDなどの政府機関向けクラウドはロードマップ項目上に含まれていません。これらの環境を利用している組織は、同じ時期に利用できると決めつけず、テナントのメッセージセンターや管理ドキュメントで個別に確認する必要があります。
そもそもパスキーとは何か
パスキーは、パスワードの代わりに公開鍵暗号を使ってサインインする認証方式です。Webサイトやアプリ側には公開鍵が登録され、秘密鍵はユーザーのデバイスまたはパスキープロバイダー側で保護されます。サインイン時は、PIN、指紋、顔認証などで秘密鍵の利用を承認し、サービス側が署名を検証します。
Microsoft Entra IDのドキュメントでは、パスキーはFIDO標準に基づくフィッシング耐性のある資格情報として説明されています。パスワード、SMSコード、メールのワンタイムコードのように盗まれたり中継されたりしやすい認証方法を置き換える手段として位置付けられています。(Microsoft Learn)
企業で重要なのは、パスキーには大きく分けて「デバイスバインド」と「同期型」がある点です。
| 種類 | 特徴 | 向いている用途 |
|---|---|---|
| デバイスバインド パスキー | 秘密鍵が1つの物理デバイスに作成・保存される | 特権管理者、規制要件が厳しい部門、共有リスクを極力下げたい用途 |
| 同期されたパスキー | 暗号化された鍵がクラウドのパスキープロバイダーを通じて他デバイスでも使える | 一般社員、複数デバイス利用、ヘルプデスク負荷を下げたい用途 |
Microsoft Entra IDでは、同期されたパスキーは便利な選択肢とされる一方、同期型は構成証明をサポートしないと説明されています。構成証明を必須にするポリシーでは、デバイスバインドのパスキーのみが許可される点に注意が必要です。(Microsoft Learn)
これまでのEdgeパスキー運用との違い
Microsoft Edgeではすでにパスキー自体を扱えます。個人用Microsoftアカウントでは、Microsoft Password Managerを通じたパスキー同期が提供されていました。ただし、MicrosoftのEdge機能ページでは、パスキー同期は個人用Microsoftアカウント向けであり、職場または学校アカウント向けではないと説明されていました。(Microsoft)
今回の「Passkey Sync for Enterprise Users」は、この制約を企業ユーザー側に広げる動きと考えると分かりやすいです。
| 観点 | これまで | 今回の変更後に期待される状態 |
|---|---|---|
| 対象アカウント | 主に個人用Microsoftアカウントで同期対応 | 企業ユーザー向けにEdgeのパスキー同期を提供 |
| ユーザー体験 | 端末ごとの登録・復旧が課題になりやすい | 複数デバイスでパスワードレスサインインを使いやすくなる |
| 管理上の焦点 | パスキーの登録許可、Edgeの利用制御 | 同期範囲、端末条件、プロファイル、パスキー種別の統制が重要 |
| リスク | 紛失時の再登録、利用端末のばらつき | 不適切な端末や個人プロファイルへの同期を防ぐ設計が必要 |
影響を受けるユーザーと部門
この更新は、単にブラウザーの便利機能が増えるだけではありません。ID管理、端末管理、ヘルプデスク、業務アプリ開発に影響します。
| 対象 | 主な影響 | 事前に確認すべきこと |
|---|---|---|
| 一般ユーザー | 新PCや複数端末でパスキーを使いやすくなる | Edgeに正しい職場アカウントでサインインしているか |
| 情報システム部門 | Edge同期とパスキー保存の管理が重要になる | SyncDisabled、ForceSync、PasswordManagerPasskeysEnabledなどの設定 |
| セキュリティ管理者 | 同期型パスキーを許可する範囲の判断が必要 | 特権アカウント、構成証明、条件付きアクセスの方針 |
| ヘルプデスク | 端末交換・紛失・同期失敗の問い合わせが増える可能性 | 復旧手順、削除手順、ユーザー向け案内 |
| 開発者 | 自社Webアプリのパスキー対応確認が必要 | WebAuthn実装、RP ID、複数資格情報登録、アカウント復旧導線 |
特に、役員、管理者、経理、人事など高リスクなアカウントは、一般社員と同じルールで同期型パスキーを許可してよいかを分けて考えるべきです。
管理者が最初に確認すべきEdge同期設定
Passkey Sync for Enterprise Usersの展開前に、まずMicrosoft Edgeの同期が組織でどのように制御されているかを棚卸しします。Edgeのエンタープライズ同期では、お気に入り、パスワード、フォーム入力、設定、拡張機能、履歴、開いているタブなどの同期が扱われます。同期はユーザーの同意によって有効になり、管理者は複数のポリシーで制御できます。(Microsoft Learn)
| 設定・ポリシー | 確認ポイント | 誤設定時に起きやすい問題 |
|---|---|---|
| BrowserSignin | Edgeへのサインイン自体を許可しているか | 職場アカウントでプロファイルを使えず、同期も使えない |
| SyncDisabled | Edge同期を無効化していないか | パスキー同期だけでなく、同期全体が利用できない |
| ForceSync | 同期を強制するか、ユーザー選択にするか | 強制同期と無効化ポリシーが競合すると意図通り動かない |
| SyncTypesListDisabled | 同期から除外するデータ種別を定義しているか | 必要なデータが同期対象外になり、利用者から「同期されない」と見える |
| RestrictSigninToPattern | Edgeにサインインできるアカウントを会社ドメインに制限しているか | 個人アカウントのプロファイルに資格情報を保存するリスクが残る |
| PasswordManagerEnabled | Edgeのパスワードマネージャー利用を許可しているか | パスワードマネージャー全体を無効化している場合、関連機能に影響する |
| PasswordManagerPasskeysEnabled | Edge内蔵パスワードマネージャーへのパスキー保存を許可しているか | 新しいパスキーを保存できず、機能が使えない |
BrowserSigninは、Edgeへのサインインと同期・SSOなどのアカウント関連サービスに関わります。同期そのものの可否はSyncDisabledで制御する設計です。(Microsoft Learn) SyncDisabledを必須として有効にすると、ユーザーは同期を有効化できません。(Microsoft Learn)
ForceSyncを使う場合も注意が必要です。ForceSyncは同期を強制し、ユーザーが同期をオフにできないようにしますが、BrowserSigninが無効の場合やSyncDisabledが有効の場合は意図通り動作しません。(Microsoft Learn)
また、RestrictSigninToPatternを使うと、Edgeにサインインできるアカウントを正規表現で制限できます。たとえば会社ドメインのみに制限すれば、個人用MicrosoftアカウントのEdgeプロファイルに業務用の資格情報を保存してしまうリスクを下げられます。(Microsoft Learn)
パスキー保存ポリシーの確認ポイント
Passkey Sync for Enterprise Usersを利用するには、同期だけでなく「Edgeにパスキーを保存できるか」も確認が必要です。
Microsoft Edgeには、内蔵パスワードマネージャーへのパスキー保存を制御するPasswordManagerPasskeysEnabledポリシーがあります。このポリシーを無効にすると、新しいパスキーは内蔵パスワードマネージャーに保存できません。一方、すでに保存済みのパスキーへのアクセスや内容変更を制限するものではありません。さらに、PasswordManagerEnabledが無効な場合、パスワードマネージャー全体への保存が無効になるため、PasswordManagerPasskeysEnabledは効果を持ちません。(Microsoft Learn)
実務では、次のように整理すると判断しやすくなります。
| 組織の方針 | 推奨される確認 |
|---|---|
| Edgeでパスキーを積極活用したい | PasswordManagerPasskeysEnabledを有効または未構成にし、同期設定と合わせて検証する |
| パスキーは許可するが、同期型は慎重に扱いたい | Edge側だけでなく、Entra IDのパスキープロファイルと条件付きアクセスで制御する |
| 管理者アカウントは物理セキュリティキーに限定したい | 同期型パスキーではなく、デバイスバインドまたはFIDO2セキュリティキーを優先する |
| パスワードマネージャーを組織で禁止している | Passkey Syncの利用可否も含めて、例外ポリシーを作るか判断する |
「パスキーは安全だから全員に一律許可」とするより、ユーザー区分ごとに方針を分けるのが現実的です。
Microsoft Entra ID側で確認すべき設定
Edgeでパスキー同期が使えるようになっても、Microsoft Entra ID側でパスキー認証が許可されていなければ、社内リソースへのサインイン体験は期待通りになりません。
Entra IDで確認すべき主な項目は次のとおりです。
| 項目 | 確認内容 |
|---|---|
| 認証方法ポリシー | Passkey (FIDO2)が対象ユーザーに有効か |
| パスキープロファイル | 同期されたパスキーを許可するか、デバイスバインドに限定するか |
| 構成証明 | 特定デバイス・ベンダーを検証する必要があるか |
| キー制限 | AAGUIDによる許可・拒否を使っているか |
| 条件付きアクセス | フィッシング耐性MFAを要求するリソースをどう定義するか |
| 除外グループ | パイロット対象外、緊急用アカウント、共有アカウントをどう扱うか |
Entra IDでは、Passkey (FIDO2)のプロファイルを使って、対象グループにどの種類のパスキーを許可するかを設定できます。同期されたパスキーを無効にした場合、対象ユーザーは既に登録済みであっても同期型パスキーでサインインできなくなる点に注意が必要です。(Microsoft Learn)
特権アカウントでは、同期型パスキーを便利だからという理由だけで採用しない方が安全です。構成証明を必須にしたい場合や、認定済みの物理セキュリティキーだけを許可したい場合は、デバイスバインドのパスキーやFIDO2セキュリティキーを優先します。
導入前の実務チェックリスト
2026年6月の一般提供に向けて、管理者は次の順序で確認すると抜け漏れを減らせます。
現状把握
まず、現在のEdge設定を棚卸しします。
- Edge同期を禁止している部門があるか
- 個人アカウントでのEdgeサインインを許可しているか
- PasswordManagerEnabledを無効化していないか
- PasswordManagerPasskeysEnabledを設定済みか
- Intune、グループポリシー、Edge管理サービスのどれで制御しているか
- Windows、macOS、モバイルでポリシー差があるか
特に、複数の管理経路で同じ設定を制御している場合は、どのポリシーが最終的に適用されているかを確認します。Intune、GPO、Edge管理サービスが混在していると、現場では「設定したはずなのに効かない」というトラブルが起きやすくなります。
対象ユーザーの分類
次に、パスキー同期を許可する対象を分類します。
| ユーザー区分 | 方針例 |
|---|---|
| 一般社員 | 同期型パスキーを段階的に許可し、ユーザー体験を改善する |
| 管理者・特権ユーザー | デバイスバインドまたはFIDO2セキュリティキーを優先する |
| 役員・経理・人事 | 同期型を許可する場合も、端末準拠や条件付きアクセスを厳格にする |
| 共有端末利用者 | 個人プロファイル同期に依存しない運用を検討する |
| 外部委託・短期利用者 | パスキー登録、削除、契約終了時の手順を明確にする |
全社一斉展開ではなく、IT部門、セキュリティ部門、一部の一般ユーザーでパイロットを行い、サインイン成功率、問い合わせ内容、端末交換時の挙動を確認してから広げるのが安全です。
ユーザー向け案内の準備
ユーザーには、技術仕様よりも「何が変わるか」「何をしてはいけないか」を伝える必要があります。
案内に入れるべき内容は次のとおりです。
- Edgeには会社のアカウントでサインインする
- 個人用プロファイルに業務用アカウントのパスキーを作成しない
- パスキー作成時は表示されるサイト名・アカウント名を確認する
- 新しいPCで使えない場合は、勝手に何度も再登録せずヘルプデスク手順に従う
- 端末を紛失した場合は、パスワード変更だけでなく認証方法の確認も依頼する
パスキーは「パスワードを覚えなくてよい仕組み」ですが、ユーザーが何も考えなくてよい仕組みではありません。どのEdgeプロファイルに保存しているかを間違えると、管理や復旧が難しくなります。
開発者が確認すべきポイント
自社Webアプリや社内ポータルを開発している場合は、Edgeのパスキー同期対応に合わせてWebAuthnの実装を確認します。
複数パスキー登録を前提にする
ユーザーが1つのアカウントに複数のパスキーを登録できる設計にしておきます。同期型パスキー、セキュリティキー、端末内蔵のパスキーが混在することは珍しくありません。
「1ユーザー1資格情報」前提の実装だと、端末交換や移行時に詰まりやすくなります。
RP IDとドメイン設計を確認する
WebAuthnでは、パスキーがどのドメインに紐付くかが重要です。ログイン画面がlogin.example.com、アプリ本体がapp.example.com、ブランド統合で複数ドメインを使う、といった構成では、RP IDの設計を誤ると期待通りにサインインできません。
パスキー対応を進める前に、次を確認します。
- ログインに使う正式ドメイン
- サブドメインをまたぐ認証の扱い
- 旧ドメインから新ドメインへの移行計画
- テスト環境と本番環境の資格情報を混同しない設計
- アカウント復旧時の本人確認フロー
同期型パスキーを端末識別に使わない
同期されたパスキーは、複数デバイスで利用される可能性があります。そのため、パスキーの存在だけを「この特定端末からのアクセス」とみなす設計は避けるべきです。
端末の信頼性を判定したい場合は、条件付きアクセス、デバイス準拠、MDM登録状態、リスクベース評価などと組み合わせます。
展開時に失敗しやすいポイント
Passkey Sync for Enterprise Usersは便利な更新ですが、準備不足だと問い合わせが増える可能性があります。
| 失敗例 | 原因 | 対策 |
|---|---|---|
| ユーザーが同期できない | SyncDisabledが有効、または同期対象外の端末を使っている | ポリシー適用結果を確認し、対象グループを見直す |
| パスキーを作成できない | PasswordManagerPasskeysEnabledまたはPasswordManagerEnabledが無効 | パスキー保存ポリシーとパスワードマネージャー全体の設定を確認する |
| 個人アカウント側に保存される | Edgeプロファイルの使い分けが曖昧 | RestrictSigninToPatternやユーザー教育で会社アカウント利用を徹底する |
| 管理者アカウントで同期型が使われる | ユーザー区分ごとの制御がない | 特権ユーザーは別ポリシーに分け、セキュリティキーを優先する |
| 端末交換後にサインインできない | パスキー登録・同期・復旧の手順が未整備 | ヘルプデスク用の切り分け手順を作る |
| 一部テナントで同期が不安定 | Edgeエンタープライズ同期の前提条件不足 | ライセンス、RMS、同期サービスの有効化状態を確認する |
Microsoft Edgeエンタープライズ同期では、利用に必要なサブスクリプションやRMS関連の前提条件があります。特に古いBusiness BasicまたはBusiness Standardテナントでは、Microsoft Purview Rights Management Serviceが有効でない場合に同期が失敗する可能性があるため、事前確認が必要です。(Microsoft Learn)
セキュリティ設計での判断基準
同期型パスキーを許可するかどうかは、「安全か危険か」の二択ではありません。どのユーザーに、どの端末で、どのリソースへのアクセスに使わせるかで判断します。
一般社員には利便性と安全性のバランスを重視する
一般的な業務ユーザーには、同期型パスキーは有力な選択肢です。パスワードやSMSコードに比べ、フィッシング耐性が高く、サインインの手間も減らせます。
ただし、端末が管理対象外でも自由に使える状態にするのは避けたいところです。BYODを許可している場合は、アプリ保護ポリシー、条件付きアクセス、端末準拠ポリシーとの組み合わせを検討します。
特権ユーザーにはデバイスバインドを優先する
管理者、セキュリティ担当者、重要システムの運用担当者には、同期型よりもデバイスバインドのパスキーやFIDO2セキュリティキーが向いています。
理由は、構成証明やデバイス由来の確認を重視する場面では、同期型パスキーが要件を満たさない可能性があるためです。Entra IDの説明でも、構成証明が有効な場合はデバイスバインドのパスキーのみが許可され、同期されたパスキーは使用できないとされています。(Microsoft Learn)
退職・異動・端末紛失時の削除手順を決める
パスキーはパスワードのように「覚えている文字列を変更する」ものではありません。退職や端末紛失時には、ユーザーの認証方法から該当パスキーを削除する手順が必要です。
運用手順には、少なくとも次を含めます。
- 端末紛失時にどの窓口へ連絡するか
- Entra ID上の認証方法を誰が確認・削除するか
- 予備の認証方法で復旧する手順
- 特権アカウントの緊急アクセス手順
- 退職者のアカウント無効化とパスキー削除の順序
管理者向けの推奨展開ステップ
Passkey Sync for Enterprise Usersは、次のように段階展開するのが現実的です。
| フェーズ | 実施内容 | 成功条件 |
|---|---|---|
| 準備 | Edge同期、パスキー保存、Entra ID認証方法の現状確認 | 競合ポリシーや禁止設定が把握できている |
| 設計 | ユーザー区分ごとの許可方針を決める | 一般ユーザー、特権ユーザー、共有端末の方針が分かれている |
| パイロット | IT部門と一部ユーザーで検証 | 作成、同期、新端末利用、削除、復旧を確認できている |
| 教育 | ユーザー向け手順とヘルプデスクFAQを公開 | プロファイル間違い、紛失時対応、再登録手順が説明されている |
| 本展開 | 部門単位で展開範囲を広げる | 問い合わせ傾向を見ながら調整できている |
| 運用 | 例外ユーザー、失敗ログ、退職者処理を定期確認 | 認証方法の棚卸しとポリシー見直しが継続できている |
この機能は「有効にしたら終わり」ではなく、パスワードレス認証の運用設計を見直すきっかけとして扱うべきです。
よくある疑問
パスキー同期はパスワード同期と同じですか
同じではありません。パスワード同期は保存済みパスワードを複数デバイスで利用する仕組みですが、パスキーは公開鍵暗号を使う資格情報です。サービス側に共有秘密としてのパスワードを送る仕組みではありません。
ただし、Edge内ではパスワードマネージャーや同期設定と関係するため、管理者は既存のパスワード管理ポリシーと切り離して考えすぎない方がよいです。
2026年6月になれば全社ですぐ使えますか
公式ロードマップ上は2026年6月の一般提供予定ですが、実際の利用可否はテナント、クラウド、Edgeバージョン、管理ポリシー、Entra ID設定に左右されます。一般提供後も、まず対象グループを限定して検証するのが安全です。
モバイル端末でも同じように使えますか
ロードマップ項目のプラットフォームはWebと記載されています。モバイルを含むデバイス別の仕様は、GA時点の公式ドキュメントで確認すべきです。既存のEdgeポリシーでも、設定によってはWindows/macOSとAndroid/iOSでサポート状況が異なるため、モバイル展開を前提にする場合は別途検証が必要です。
管理者アカウントにも同期型パスキーを使うべきですか
一律にはおすすめできません。管理者アカウントは攻撃対象になりやすいため、同期型パスキーの利便性よりも、デバイスバインド、FIDO2セキュリティキー、構成証明、条件付きアクセスを重視した設計が向いています。
社内アプリ側で対応は必要ですか
Microsoft 365やEntra IDへのサインインだけを利用している場合、主な確認先は認証方法ポリシーと条件付きアクセスです。一方、自社Webアプリで独自にパスキー認証を実装している場合は、WebAuthnのRP ID、複数パスキー登録、復旧フロー、ログ設計を確認してください。
まず何をすべきか
Microsoft EdgeのPasskey Sync for Enterprise Usersは、企業のパスワードレス認証を進めるうえで大きな追い風です。特に、複数デバイスを使う一般社員にとっては、パスキーの利便性が大きく向上します。
一方で、同期型パスキーは管理対象を広げる機能でもあります。導入前に行うべきことは明確です。
- Edge同期を許可している範囲を確認する
- PasswordManagerPasskeysEnabledとPasswordManagerEnabledを確認する
- 個人アカウントでのEdgeサインインを制御する
- Entra IDで同期型パスキーを許可する対象を決める
- 特権ユーザーは別ポリシーで保護する
- 端末紛失、退職、再登録の手順を整備する
- パイロット展開でユーザー体験と問い合わせを確認する
2026年6月のGAを待つだけでなく、今のうちにEdge同期、Entra ID認証方法、ヘルプデスク手順を棚卸ししておくことが、スムーズな展開への近道です。
コメント