Microsoft Edgeの「Passkey Sync for Enterprise Users」は、企業ユーザーがEdgeに保存したパスキーを、同じ業務アカウントで利用する複数のデバイスへ同期できるようにする機能です。PCの交換や端末追加のたびにパスキーを登録し直す負担を減らし、パスワードレス認証を導入しやすくなります。
Microsoft 365ロードマップのIDは「561652」です。2026年6月9日の更新では、一般提供予定が2026年6月から7月へ変更されました。一方、Microsoft Edge 149のStableリリースにはすでに機能更新として掲載されており、段階的に有効化されるControlled Feature Rolloutとなっています。そのため、Edgeを最新版に更新しても、すべてのユーザーに同時表示されるわけではありません。(Microsoft 365 Message Center Archive)
Microsoft Edgeのパスキー同期で何が変わるのか
今回の変更点は、企業向けMicrosoft Edgeプロファイルでも、Edgeに保存したパスキーをデバイス間で同期できるようになることです。
| 確認項目 | 内容 |
|---|---|
| ロードマップID | 561652 |
| 機能名 | Passkey Sync for Enterprise Users |
| 対象サービス | Microsoft Edge |
| 対象 | 企業・組織アカウントを利用するユーザー |
| 主な変更 | Edgeで作成・保存したパスキーをデバイス間で同期 |
| 対象クラウド | Worldwide（Standard Multi-Tenant） |
| 2026年6月9日時点の状態 | 開発中 |
| 一般提供予定 | 2026年7月 |
| 配信方法 | 段階的なControlled Feature Rollout |
Microsoftの説明では、Edgeで作成したパスキーをシームレスに同期し、強いセキュリティを維持しながら、複数デバイスでのパスワードレスサインインを使いやすくする機能とされています。(Microsoft 365 Message Center Archive)
これまでとの違い
| 利用場面 | これまで起こりやすかったこと | 変更後 |
|---|---|---|
| PCの追加 | 新しいPCでパスキーを再登録する必要がある | Edge同期を通じて利用できる可能性がある |
| PCの交換 | 旧端末のパスキーを確認し、再発行する作業が発生 | 同期済みのパスキーを新端末で利用しやすくなる |
| 複数端末の利用 | 端末ごとに認証方法が異なる | 同じEdgeプロファイルで認証方法を統一しやすい |
| ヘルプデスク対応 | パスキー再登録や端末紛失時の問い合わせが増える | 再登録や再発行の負担軽減が期待できる |
ただし、パスキー同期が有効になっても、パスワードが自動的に削除されるわけではありません。サインイン先のWebサービスがパスキーに対応していることや、組織側の認証ポリシーで利用を許可していることも必要です。
同期されるのは「保存先がEdgeのパスキー」
注意したいのは、Edgeでパスキーの登録操作を始めただけでは、必ずEdge同期の対象になるとは限らない点です。
パスキーを作成するときは、次のような保存先が表示されることがあります。
- Microsoft Password Manager
- Windows Hello
- AppleのiCloudキーチェーン
- 別のスマートフォン
- FIDO2セキュリティキー
Passkey Sync for Enterprise Usersの対象として確認すべきなのは、Microsoft Edgeの組み込みパスワードマネージャーに保存したパスキーです。
Microsoft Password Managerなどの同期型資格情報マネージャーに保存したパスキーは、同じアカウントでサインインした別のデバイスでも利用できます。一方、Windows Helloのローカルコンテナーに保存したMicrosoft Entraパスキーはデバイス固定型であり、別のデバイスには同期されません。(マイクロソフトサポート)
Windows Hello for Businessが同期されるわけではない
今回の機能は、Windowsへのサインインに使うWindows Hello for Businessの資格情報を、別のPCへコピーする機能ではありません。
Windows Hello for Businessは端末の信頼情報と結び付いたデバイス固定型の仕組みです。Edgeのパスキー同期とは、目的と管理方法が異なります。
たとえば、新しいPCにEdgeのパスキーが同期されても、そのパスキーを使ってWindowsのロック画面からサインインできるとは限りません。Edge上のWebサイトやMicrosoft Entra IDの認証と、Windowsへのデバイスサインインは分けて考える必要があります。(Microsoft Learn)
影響を受けるユーザーと管理者
影響が大きいユーザー
次のような利用者は、パスキー同期のメリットを受けやすくなります。
- 業務用PCとモバイル端末を併用している
- 定期的にPCを交換している
- 複数の業務拠点で異なる端末を利用する
- Microsoft Edgeの業務プロファイルを標準ブラウザとしている
- パスワードと従来型MFAからパスキーへ移行している
特に、端末交換時の再登録作業を減らせる点は、ユーザーだけでなくヘルプデスクにも利点があります。
対応が必要な管理者
Microsoft Edge、Microsoft Intune、グループポリシー、Microsoft Entra IDを管理している担当者は、配信前に次の点を確認する必要があります。
- Microsoft Edgeのクラウド同期を許可しているか
- 対応するMicrosoft 365またはMicrosoft Entra IDライセンスがあるか
- Edgeのパスワードマネージャーを無効にしていないか
- 新しいパスキーの保存を許可するか
- 一般ユーザーと特権ユーザーで認証方式を分ける必要があるか
- Microsoft Entra ID側で同期型パスキーを許可しているか
直接の対象になりにくい環境
ロードマップの対象クラウドはWorldwideのStandard Multi-Tenantです。また、Microsoft Edgeの企業向け同期は、GCC High、Azure Government DoD、21Vianetが運用するMicrosoft Azureではサポートされていません。該当する環境では、今回のロードマップだけを根拠に導入計画を進めず、テナントごとの提供状況を確認してください。(Microsoft Learn)
一般ユーザーが確認する手順
Edgeを最新版に更新する
アドレスバーへ次を入力します。
edge://settings/help更新がある場合は、自動的にダウンロードが始まります。検証時は、Passkey Sync for Enterprise Usersが機能更新として掲載されたMicrosoft Edge 149以降を基準にしてください。
ただし、Edge 149以降でも段階的な配信対象になっていなければ、機能が表示されないことがあります。バージョン番号だけで利用可否を判断しないことが重要です。(Microsoft Learn)
業務用プロファイルでサインインしているか確認する
Edge右上のプロフィールアイコンを開き、会社または学校のアカウントでサインインしているか確認します。
個人用Microsoftアカウントのプロファイルと、会社のMicrosoft Entra IDプロファイルを併用している場合は、パスキーを作成するプロファイルを間違えないようにしてください。
Edge同期の状態を確認する
アドレスバーへ次を入力します。
edge://settings/profiles/sync「同期が有効です」と表示されているか確認します。同期エラーや「アクセス許可がありません」などの表示がある場合、パスキーを登録する前に管理者へ連絡してください。
同期に問題がある場合は、設定画面の再同期や同期のリセットで改善することがあります。ただし、同期リセットはクラウド上のデータへ影響する可能性があるため、業務端末では管理者の手順に従って実施します。(Microsoft Learn)
パスキーの保存先を確認する
パスキーを作成するときは、表示された保存先を確認します。Edge同期を検証する場合は、Windows Helloやセキュリティキーではなく、Microsoft Password ManagerなどEdge側の保存先を選択します。
保存先を確認せずに登録すると、「パスキーは作成できたが別のPCに表示されない」という状態になりやすいため注意してください。
2台目の端末で動作を確認する
次の条件をそろえた別端末で確認します。
- 対応バージョンのMicrosoft Edgeを使用する
- 同じ会社・学校アカウントでEdgeへサインインする
- Edge同期を有効にする
- パスキーに対応した同じWebサービスを開く
- パスキーが候補として表示されるか確認する
重要な管理システムでいきなり試すのではなく、影響の小さいテスト用アカウントや検証サービスから始めるのが安全です。
管理者が確認すべきMicrosoft Edgeポリシー
管理端末では、アドレスバーから次の画面を開くと、実際に適用されているポリシーを確認できます。
edge://policy特に確認したいポリシーは次のとおりです。
| ポリシー | 確認内容 |
|---|---|
PasswordManagerPasskeysEnabled | Edgeの組み込みパスワードマネージャーへ新しいパスキーを保存できるか |
PasswordManagerEnabled | Edgeのパスワードマネージャー全体が有効か |
SyncDisabled | Edgeのクラウド同期が無効化されていないか |
ForceSync | ユーザーの同意画面を表示せず同期を強制するか |
SyncTypesListDisabled | 特定のEdgeデータを同期対象外にしていないか |
PasswordManagerPasskeysEnabledの動作
PasswordManagerPasskeysEnabledが有効、または未構成の場合、Edgeへサインインしたユーザーは、組み込みパスワードマネージャーへパスキーを保存できます。
無効にすると、新しいパスキーを保存できなくなります。ただし、すでに保存されているパスキーは削除されず、引き続き利用できます。
また、PasswordManagerEnabledが無効な場合は、パスワードマネージャー全体が使えないため、PasswordManagerPasskeysEnabledを有効にしても効果はありません。(Microsoft Learn)
このポリシーの公式サポート表は次のとおりです。
| OS | 対応バージョン |
|---|---|
| Windows | Edge 145以降 |
| macOS | Edge 145以降 |
| iOS | Edge 149以降 |
| Android | 非対応 |
これは管理ポリシーの対応表であり、ロードマップ機能全体の提供範囲とは別に確認する必要があります。
SyncTypesListDisabledに独自の値を追加しない
SyncTypesListDisabledで指定できる公式のデータ種別には、favorites、settings、passwords、historyなどがあります。しかし、2026年5月更新の公式文書には、passkeysという独立した値は掲載されていません。(Microsoft Learn)
そのため、次のような未記載の値を推測で配布するのは避けてください。
passkeysまた、passwordsを同期対象外にした場合にパスキーまで同じ扱いになるかは、最新のADMXと実機で確認する必要があります。文書にない挙動を前提として全社展開すると、端末やバージョンによって結果が変わる可能性があります。
Microsoft Entra ID側の設定も確認する
Microsoft Edgeでパスキーを同期できても、Microsoft Entra ID側でパスキーの登録や利用が許可されていなければ、業務アカウントのパスワードレス認証には利用できません。
管理者はMicrosoft Entra管理センターで、少なくとも次の項目を確認します。
- 認証方法ポリシーでPasskey（FIDO2）が有効か
- 対象ユーザーまたは対象グループが割り当てられているか
- パスキープロファイルで同期型パスキーが許可されているか
- 条件付きアクセスの認証強度と矛盾していないか
- Attestationの強制が有効になっていないか
Microsoft Entra IDでは、Attestationを強制したパスキープロファイルはデバイス固定型のみを許可し、同期型パスキーを除外します。Edge側の設定が正しくても登録できない場合は、Entra ID側のAttestation設定を確認してください。(Microsoft Learn)
高権限アカウントは同期対象にするべきか
同期型パスキーは利便性が高い一方、どのデバイスに資格情報のコピーが存在するかを、管理者が完全に把握できる仕組みではありません。
Microsoftは、一般ユーザーには同期型パスキー、管理者や高い権限を持つユーザーにはデバイス固定型パスキーを推奨しています。厳密なデバイス境界や資格情報の所在管理が必要な場合は、FIDO2セキュリティキーやデバイス固定型のMicrosoft Authenticatorなども含めて選定すべきです。(Microsoft Learn)
全社員を同じ方式へ一括移行するのではなく、次のように分けると運用しやすくなります。
| ユーザー区分 | 推奨する検討方針 |
|---|---|
| 一般社員 | Edgeの同期型パスキーを段階的に検証 |
| 管理職 | アクセス対象やデータ機密性を考慮して判断 |
| Microsoft 365管理者 | デバイス固定型を優先 |
| グローバル管理者 | FIDO2セキュリティキーなど厳格な方式を優先 |
| 共有端末利用者 | パスキーを端末や個人プロファイルへ保存しない運用を検討 |
更新・移行・料金・期限の確認事項
| 項目 | 確認すべき内容 |
|---|---|
| 更新 | 検証端末をEdge 149以降へ更新する |
| 設定 | Edge同期とパスキー保存ポリシーを確認する |
| 移行 | Windows Helloや他社パスワードマネージャーからの自動移行を前提にしない |
| 料金 | 本機能単独の追加料金は公表されていない |
| ライセンス | Microsoft Edge企業向け同期を利用できる契約・テナント設定が必要 |
| 一般提供予定 | 2026年7月 |
| 対応期限 | 強制移行や作業期限は公表されていない |
| 配信タイミング | テナントや端末によって異なる可能性がある |
既存パスキーの自動移行は前提にしない
公開情報には、Windows Hello、iCloudキーチェーン、Google Password Manager、物理セキュリティキーなどから、既存のパスキーをEdgeへ一括移行する機能は記載されていません。
特にWindows Helloへ保存したパスキーはデバイス固定型です。Edge同期を有効にしても、自動的に同期型へ変換されるわけではありません。必要に応じて、対象サービスで新しい同期型パスキーを追加登録し、動作確認後に古い資格情報を整理します。(Microsoft Learn)
追加料金よりも企業向け同期の利用条件を確認する
Passkey Sync for Enterprise Users単体の追加ライセンスや追加料金は、公表されていません。ただし、機能の前提となるMicrosoft Edge企業向け同期には、対応するMicrosoft 365またはMicrosoft Entra IDの契約と、テナント側の設定が必要です。
Microsoftの文書では、Microsoft Entra ID P1またはP2、Microsoft 365 Business Premium、Business Standard、Business Basicなどが対応環境として挙げられています。Business BasicまたはBusiness Standardを利用する古いテナントでは、Microsoft Purview Rights Management Serviceが有効になっていないため、同期が正常に動作しない場合があります。(Microsoft Learn)
ライセンス名だけで判断せず、既存のEdge同期が実際に動作しているかを確認してください。
よくある失敗と対処方法
Edge 149へ更新したが機能が表示されない
Controlled Feature Rolloutによる段階配信の可能性があります。端末の再インストールやポリシー変更を繰り返す前に、同一テナント内の複数端末で提供状況を確認してください。
作成したパスキーが別のPCに表示されない
保存先がWindows HelloやiCloudキーチェーンになっている可能性があります。パスキー作成時に選んだ資格情報プロバイダーを確認します。
Edge同期はオンだがデータが同期されない
次を順に確認します。
edge://policyでSyncDisabledが適用されていないか- 業務用プロファイルでサインインしているか
- Microsoft Edge企業向け同期に対応する契約か
- 古いBusiness BasicまたはBusiness StandardテナントでRMSが有効か
- プロキシやファイアウォールがEdge同期通信を妨げていないか
ポリシーを無効にしたのに既存パスキーが使える
PasswordManagerPasskeysEnabledを無効にしても、禁止されるのは新しいパスキーの保存です。既存のパスキーは自動削除されません。
完全に無効化する場合は、Edge側のポリシー変更だけでなく、対象サービスまたはMicrosoft Entra IDの認証方法から、登録済みパスキーを失効・削除する運用が必要です。
Microsoft Entra IDでパスキーを登録できない
Passkey（FIDO2）の対象グループ、パスキーの種類、Attestation、キー制限、条件付きアクセスを確認します。Edge側の問題とは限らないため、ブラウザ設定と認証基盤の設定を分けて調査してください。
管理者が今やるべきこと
いきなり全社で有効化するのではなく、次の順序で進めると安全です。
- Edge企業向け同期のライセンスとテナント設定を確認する
PasswordManagerPasskeysEnabledなどの既存ポリシーを棚卸しする- 一般ユーザーと高権限ユーザーを分ける
- 一般ユーザーの小規模グループでパイロット運用する
- 2台以上の管理端末で作成・同期・サインインを確認する
- 端末紛失、パスキー削除、アカウント復旧をテストする
- 保存先の選び方と問い合わせ先を利用者へ案内する
最初に確認すべき画面は、edge://settings/help、edge://settings/profiles/sync、edge://policyの3つです。そのうえで、影響の小さい一般ユーザーを対象に、Microsoft Password Managerへ保存したパスキーが別端末で利用できるか検証してください。
コメント