社員が認証用スマートフォンを紛失・故障し、Microsoft Authenticatorやパスキーを使えなくなると、通常の本人確認を完了できず、新しい認証方法も登録できない状態になりがちです。
このような場合は、Microsoft Entra IDの**Temporary Access Pass（TAP、一時アクセス パス）**を発行します。TAPは、有効期間と使用回数を制限できる一時的なパスコードです。利用者はTAPでサインインした後、Microsoft Authenticator、パスキー、FIDO2セキュリティキーなどの認証方法を登録し直せます。
ただし、対象者へTAPを作成しただけでは利用できません。事前に認証方法ポリシーでTAPを有効化し、その利用者をポリシーの対象に含めておく必要があります。また、TAPはパスワードを置き換えたり、既存のサインインセッションをすべて失効させたりする機能ではありません。([Microsoft Learn][1])
Temporary Access Passを利用する場面
Temporary Access Passは、主に認証方法の初回登録や、強力な認証方法を失った場合の復旧に使います。
| 状況 | TAPの使い方 |
|---|---|
| 認証用スマートフォンを紛失した | TAPでサインインし、新しい端末へAuthenticatorを登録する |
| スマートフォンが故障した | 別端末からTAPでセキュリティ情報を開き、新しい認証方法を追加する |
| 機種変更後にAuthenticatorを利用できない | 新端末のAuthenticatorへ職場または学校アカウントを登録する |
| パスキーやFIDO2セキュリティキーを初めて登録する | TAPを初期登録用の認証手段として使う |
| Windows Hello for Businessを設定する | デバイス登録や資格情報登録の認証にTAPを使う |
| アカウント侵害が疑われる | TAPによる再登録だけで完了せず、セッションやパスワードの対処も別途行う |
TAPは、単回使用または有効期間内の複数回使用として構成できます。Microsoft Authenticatorでは、職場または学校アカウントを追加してTAPでサインインすることにより、Authenticatorの登録やパスワードレス認証の設定を進められます。([Microsoft Learn][1])
認証方法を再登録するまでの全体像
認証方法の復旧作業は、次の順序で進めます。
| 段階 | 実施者 | 作業内容 |
|---|---|---|
| TAPポリシーの設定 | 認証ポリシー管理者 | TAPを有効化し、対象ユーザーまたはグループを指定する |
| TAPの発行 | 認証管理者または特権認証管理者 | 対象者の認証方法にTAPを追加する |
| コードの受け渡し | 管理者 | 本人確認後、安全な経路でTAPを伝える |
| 認証方法の再登録 | 利用者 | TAPでサインインし、新しいAuthenticatorやパスキーを登録する |
| 動作確認と整理 | 管理者・利用者 | 新しい方法を確認し、紛失した旧認証方法と不要なTAPを削除する |
重要なのは、先に新しい認証方法の動作を確認してから、古い方法を削除することです。登録直後に旧方式を削除すると、新しい方式の設定不備によって再びサインインできなくなる可能性があります。
TAPの設定と発行に必要な管理者ロール
TAPのポリシー設定と、個別ユーザーへの発行では、必要なロールが異なります。
| ロール | TAPに関して実行できる主な操作 |
|---|---|
| 認証ポリシー管理者 | TAPポリシーの有効化、対象ユーザー・グループの設定、認証方法ポリシーの編集 |
| 認証管理者 | 一般ユーザーに対するTAPの作成、表示、削除 |
| 特権認証管理者 | 一般ユーザーと管理者アカウントに対するTAPの作成、表示、削除 |
| グローバル閲覧者 | TAPの詳細を確認できるが、パスコード自体は閲覧できない |
認証管理者が扱えるのは、基本的に管理者ロールを持たないメンバーです。管理者アカウントの復旧では、特権認証管理者が必要になる場合があります。また、認証管理者と特権認証管理者は、自分自身に対してTAPを発行できません。([Microsoft Learn][1])
管理者アカウントの復旧手順を作る場合は、担当者本人がロックアウトされた際にも対応できるよう、複数の担当者と代替手順を用意しておく必要があります。
認証方法ポリシーでTemporary Access Passを有効にする
最初に、Microsoft Entra IDの認証方法ポリシーでTAPを有効にします。この操作には、認証ポリシー管理者以上の権限が必要です。
設定手順
Microsoft Entra管理センターで、次の順に開きます。
- ［Entra ID］を開く
- ［認証方法］を開く
- ［ポリシー］を開く
- ［一時アクセス パス］を選択する
- ポリシーを有効にする
- 対象となるユーザーまたはグループを含める
- 必要に応じて有効期間や使用回数などを設定する
- 設定を保存する
TAPはユーザーに対して作成できても、そのユーザーが認証方法ポリシーの対象外であれば、TAPを使ってサインインできません。TAPが表示されない場合は、発行状況だけでなく、ポリシーの対象範囲も確認してください。([Microsoft Learn][1])
対象範囲の決め方
TAPをテナント全体へ無条件に許可する必要はありません。運用規模に応じて、次のような対象設定が考えられます。
- 認証方法の復旧を行う専用グループを作る
- 新入社員や端末交換対象者だけを一時的に対象にする
- 情報システム部門が本人確認後、対象グループへ追加する
- 復旧完了後に対象グループから外す
対象範囲を絞ると、TAPを利用できるアカウントを限定できます。一方、緊急時にグループ追加からポリシー反映まで待つ可能性があるため、実際の復旧フローを事前に確認しておくことが重要です。
単回使用と複数回使用の選び方
通常の認証方法再登録では、利用者と管理者が連絡を取りながら作業できるなら、単回使用のTAPが分かりやすい選択です。
複数回使用のTAPは、Windowsの初期セットアップなど、複数回のサインインが発生する処理に向いています。ただし、有効期間中は同じコードを繰り返し使用できるため、必要以上に長い有効期間を設定しないことが大切です。
対象ユーザーへTemporary Access Passを発行する
ポリシーを設定したら、対象ユーザーにTAPを発行します。
発行手順
Microsoft Entra管理センターで、次の順に操作します。
- ［Entra ID］を開く
- ［ユーザー］を開く
- 対象ユーザーを選択する
- ［認証方法］を開く
- ［認証方法の追加］を選択する
- ［一時アクセス パス］を選択する
- 必要に応じて開始時刻と有効期間を設定する
- ［追加］を選択する
- 表示されたTAPを安全な場所へ控える
- ［OK］を選択する
TAPの実際のコードは、発行直後の画面で確認します。［OK］を選択して画面を閉じると、同じコードを後から再表示できません。コードを控えずに閉じた場合は、新しいTAPを発行し直す必要があります。([Microsoft Learn][1])
発行前に確認する項目
誤った社員へ発行しないよう、最低限次の項目を確認します。
- 表示名だけでなく、ユーザープリンシパル名も一致しているか
- 同姓同名の別ユーザーではないか
- 対象者がTAPポリシーの範囲に含まれているか
- 開始時刻が利用者の作業時刻と一致しているか
- 単回使用と複数回使用の設定がポリシーと合っているか
- 一般ユーザーか管理者アカウントか
- 既存のTAPが発行されていないか
1人のユーザーが保持できるTAPは1つです。新しいTAPを作成すると、既存のTAPは新しいものに置き換えられます。([Microsoft Learn][1])
TAPは本人確認済みの経路で渡す
TAPは一時的なコードですが、サインインに使用できる認証情報です。本人確認をせず、問い合わせメールに返信する形でそのまま送るのは避けるべきです。
実務では、次のような方法を組み合わせます。
- 登録済みの社内電話番号へ折り返す
- 対面で社員証を確認する
- 所属長や上司を通じて本人確認する
- 既に本人確認済みのオンライン会議中に案内する
- 手順とTAPを別々の経路で伝える
個人メールアドレスや、申告されたばかりの電話番号だけを本人確認手段として使用すると、第三者によるなりすましを見抜けない可能性があります。
また、TAPをチケット管理システムの本文、共有チャネル、閲覧者の多いチャットへ残すと、不要な人がコードを参照できる状態になります。コードの保存場所と保存期間も決めておきましょう。
利用者がTAPでサインインして認証方法を登録する
利用者は、TAPを受け取った後、Microsoftの［セキュリティ情報］ページで新しい認証方法を登録します。
ページを直接案内する場合は、次のアドレスを使用できます。
利用者側の手順
- ブラウザーで［セキュリティ情報］ページを開く
- 会社のユーザープリンシパル名を入力する
- 一時アクセス パスの入力画面でTAPを入力する
- ［サインイン方法の追加］を選択する
- Microsoft Authenticator、パスキー、セキュリティキーなどを選択する
- 画面の案内に従って登録する
- 新しい認証方法でサインインできることを確認する
利用者がTAPポリシーの対象に含まれている場合、サインイン時にTAPを入力する画面が表示されます。サインイン後は、認証方法の追加や更新を行えます。([Microsoft Learn][1])
Microsoft Authenticatorを登録する場合
新しいスマートフォンへMicrosoft Authenticatorをインストールし、職場または学校アカウントを追加します。
登録方法はテナントの構成によって異なりますが、TAPでサインインすることで、Authenticatorアプリからパスキーやパスワードレス電話サインインを登録できる構成もあります。([Microsoft Learn][1])
登録が完了したように見えても、次の確認までは旧認証方法を削除しないでください。
- Authenticatorへ正しい会社アカウントが表示されている
- 通知による承認が届く
- 番号一致など、組織で設定された認証操作を完了できる
- 実際のMicrosoft 365サービスへサインインできる
ブラウザーのプライベートウィンドウを使い、新しい認証方法で改めてサインインすると、既存セッションの影響を受けにくくなります。
単回使用TAPは10分以内の登録完了に注意する
単回使用のTAPを使って、パスキー、FIDO2セキュリティキー、パスワードレス電話サインインなどを登録する場合は、TAPでサインインしてから10分以内に登録を完了する必要があります。
この10分という条件は、TAP自体の表示上の有効期間とは別に、認証方法登録時の多要素認証要件に関係するものです。TAPの有効期間が1時間残っていても、単回使用TAPでサインインしてから登録開始まで時間が空くと、再認証が必要になる場合があります。([Microsoft Learn][2])
そのため、利用者には次の準備を済ませてもらってからTAPを渡すとスムーズです。
- 新しいスマートフォンを手元に用意する
- Authenticatorをインストールする
- パスキーを保存する端末を決める
- セキュリティキーを接続できる状態にする
- ［セキュリティ情報］ページを開く
- 管理者と連絡が取れる状態にする
Windows Hello for Businessの登録など、デバイスセットアップ全体に10分以上かかる場合は、2つ目の単回使用TAPが必要になることがあります。複数回使用のTAPを採用すると同じコードを再利用できますが、有効期間中の利用状況を確認し、想定外の使用がないか管理する必要があります。([Microsoft Learn][1])
新しい認証方法を確認してから旧方式を削除する
新しい認証方法の登録後は、次の順序で整理します。
新しい方法での認証を確認する
まず、利用者に新しい認証方法でサインインしてもらいます。
確認するサービスは、Microsoft 365ポータルなど、組織で通常使用しているもので構いません。既存のサインイン状態が残っている場合は、プライベートウィンドウや別ブラウザーを使用します。
紛失した認証方法を削除する
新しい方法でサインインできることを確認した後、紛失したスマートフォンや使用不能になった認証方法を削除します。
端末を紛失した場合、古いAuthenticator登録を残していると、認証方法の一覧に利用できない端末が表示され続けます。利用者が［セキュリティ情報］ページから削除するか、必要に応じて管理者が対象者の認証方法を整理します。
Microsoftの公式資料でも、資格情報やデバイスの紛失を理由に認証方法を更新した場合は、古い認証方法を削除するよう案内されています。([Microsoft Learn][1])
不要になったTAPを削除する
登録作業が終わったら、TAPが不要か確認します。
利用者は［セキュリティ情報］ページからTAPを削除できます。管理者は、対象ユーザーの［認証方法］に表示されるTAPを削除できます。期限切れまたは削除済みのTAPは、新たな認証には使用できません。([Microsoft Learn][1])
TAPだけではパスワードや既存セッションは無効にならない
TAPは認証方法を登録するための一時的なサインイン手段であり、ユーザーのパスワードを置き換えるものではありません。TAPを発行しても、利用者は引き続きパスワードを使用できる場合があります。([Microsoft Learn][1])
また、TAPが期限切れになったり削除されたりしても、すでに確立されているサインインセッションが過去にさかのぼって自動失効するわけではありません。条件付きアクセスの設定によっては、TAPの有効期限より後まで既存セッションが継続する可能性があります。([Microsoft Learn][1])
端末紛失に加えてアカウント侵害も疑われる場合は、TAPによる再登録とは別に、組織のセキュリティ手順に従って次の対応を検討します。
- 既存セッションの失効
- パスワードの変更またはリセット
- サインインログの確認
- 不審な認証方法や端末登録の確認
- 条件付きアクセスによるアクセス制限
- 端末管理サービスからの紛失端末への対応
TAPを発行したことで、紛失端末や不正アクセスへの対応まで完了したと判断しないことが重要です。
外部ゲストにはリソーステナントからTAPを発行できない
外部組織から招待したB2Bゲストに対して、リソース側のテナントからTAPを発行することはできません。Microsoft Entra管理センターやMicrosoft Graphで外部ゲストへTAPを追加しようとすると、外部ゲストには追加できない旨のエラーになります。([Microsoft Learn][1])
外部ゲストは、条件を満たしていれば、ホームテナントから発行されたTAPを使ってリソーステナントへサインインできる場合があります。ただし、ホームテナント側の認証要件や、テナント間アクセス設定でのMFA信頼構成が関係します。([Microsoft Learn][1])
社内アカウントと外部ゲストを同じ復旧手順で扱わず、ユーザー種別を最初に確認してください。
TAPを使えないときの確認ポイント
| 症状 | 確認する内容 |
|---|---|
| TAPの入力画面が表示されない | 利用者が認証方法ポリシーの対象に含まれているか |
| 発行したTAPでサインインできない | 有効期間、開始時刻、単回使用済みかどうかを確認する |
| ポリシー変更直後に利用できない | 設定の反映に数分かかる可能性を考慮する |
| 単回使用TAPで登録途中に止まった | サインインから10分を超えていないか確認する |
| 複数回使用TAPが拒否される | ポリシーが単回使用を強制していないか確認する |
| 外部ゲストへの追加でエラーになる | リソーステナントから発行しようとしていないか確認する |
| 再発行した旧TAPが使えない | 新しいTAPによって既存TAPが置き換えられていないか確認する |
TAPを追加した直後やポリシーを変更した直後は、設定のレプリケーションに時間がかかる場合があります。入力画面がすぐに表示されない場合は、設定内容を確認したうえで、少し時間を置いて再試行します。([Microsoft Learn][1])
社員へ送る案内文の例
TAPのコード自体は別経路で伝え、手順だけをメールや社内チャットで案内すると管理しやすくなります。
認証方法の再登録を行います。
1. 新しいスマートフォンまたは登録する端末を準備してください。
2. ブラウザーで次のページを開いてください。
https://mysignins.microsoft.com/security-info
3. 会社のメールアドレスを入力してください。
4. 一時アクセス パスの入力画面が表示されたら、別途お伝えするコードを入力してください。
5. 「サインイン方法の追加」から、Microsoft Authenticatorまたはパスキーを登録してください。
6. 登録後、新しい認証方法でサインインできることを確認してください。
7. 完了したら情報システム担当へ連絡してください。
一時アクセス パスは本人確認後に別の経路でお伝えします。単回使用TAPを利用する場合は、案内文を送ってから時間を空けて発行するのではなく、利用者が作業を開始できる状態になってからコードを発行すると、10分制限による失敗を減らせます。
Temporary Access Pass運用の確認リスト
認証方法の再登録を終える前に、次の項目を確認します。
- TAPポリシーが有効になっている
- 対象ユーザーがポリシーの範囲に含まれている
- 対象者のユーザープリンシパル名を確認した
- 一般ユーザーと管理者アカウントの権限区分を確認した
- 本人確認を行った
- TAPを安全な経路で本人へ渡した
- 単回使用TAPの10分制限を案内した
- 新しいAuthenticatorまたはパスキーを登録した
- 新しい方法で実際にサインインできた
- 紛失した旧認証方法を削除した
- 不要になったTAPを削除した
- 端末紛失や侵害の可能性がある場合は、セッションやパスワードも別途確認した
Temporary Access Passを使えば、Authenticatorやパスキーを利用できない社員にも、管理者が一時的なサインイン手段を提供できます。ただし、成功の条件は「TAPを発行すること」だけではありません。
認証方法ポリシーの対象設定、適切な管理者ロール、本人確認済みの受け渡し、新しい認証方法の動作確認、旧方式とTAPの削除までを一つの復旧手順として運用することが重要です。
[1]: https://learn.microsoft.com/ja-jp/entra/identity/authentication/howto-authentication-temporary-access-pass “パスワードレス認証方法を登録するようにMicrosoft Entra IDで一時アクセス パスを構成する – Microsoft Entra ID | Microsoft Learn”
[2]: https://learn.microsoft.com/en-us/entra/identity/authentication/howto-authentication-temporary-access-pass “Configure a Temporary Access Pass in Microsoft Entra ID to register passwordless authentication methods – Microsoft Entra ID | Microsoft Learn”
コメント