クラウドを活用し高度なセキュリティを実現するWindows 10の新しい認証テクノロジー：企業ユーザーに贈るWindows 10への乗り換え案内（8）（2/2 ページ）

スマートフォンを使用したサインインと動的ロック

　Windows 10 バージョン1607では、Windows Hello for Businessを展開すると、PINや生体認証の代わりに「スマートフォンサインイン」（「Remote Passport」や「電話によるサインイン」とも呼ばれます）を利用できます（画面4）。この機能は、会社または個人所有のスマートフォンの専用アプリを使用してサインインすることを可能にします。

画面4　スマートフォンサインインを利用可能なWindows Hello for Businessセットアップ済みのWindows 10（バージョン1607以降）

　なお、スマートフォンサインインを利用するには、AndroidまたはiOSのスマートフォンに「Microsoft Authenticator」アプリがインストールされており（現状、Windows Phone向けのMicrosoft Authenticatorアプリは非対応）、そのスマートフォンがWindows Hello for Businessにデバイスとして登録済みであること、そして、スマートフォンがサインイン対象のWindows 10デバイスとBluetoothでペアリングされている必要があります。

　そして、Windows 10 バージョン1703からは「動的ロック」というスマートフォンを用いた自動的なWindowsのロックが可能になりました。動的ロックは、Windows Hello for Businessとは関係なく、Bluetoothでペアリングされたスマートフォンがあれば利用できます（ローカルユーザーでも利用できます）。この機能を有効化すると、Windowsにユーザーがサインインして作業している最中に、ペアリングしたデバイスが近くに見つからなくなると、自動的にWindowsがロックされるようになります（写真1）。

写真1　動的ロックを利用したWindowsのロック。例えば、サインイン中にBluetoothをオフにすると、すぐにWindowsがロックされる

IDの不正使用を防止するAzure MFA

　Azure ADの組織アカウント、およびActive DirectoryドメインとAzure ADのハイブリッド環境におけるドメインユーザーでは「Azure Multi-Factor Authentication（Azure MFA）」を有効化して、追加の認証方法を要求することが可能です。Azure MFAを利用すると、Webアプリやクラウドサービスの認証にショートメールメッセージ（SMS）、個人の電話、会社の電話、スマートフォン（Microsoft Authenticatorアプリで本人確認を要求することができます（画面5）。

画面5　Azure MFAを要求するOffice 365のポータル

　Windows Hello for Businessを展開した場合、Windowsにユーザーがサインインすると、社内外の多くのリソースにSSOでアクセスできるようになります。これは、ユーザーの利便性は高まりますが、ユーザーが離席したときにIDに対するアクセス許可が不正に使用されるリスクがあります。また、IDとパスワードが漏えいした場合、デバイス認証に基づいた条件付きアクセスを要求している場合を除き、Webアプリやクラウドサービスに直接サインインして、不正に利用されるリスクがあります。

　Azure MFAを有効化することで、ユーザーの手間は1つ増えますが（一定期間、Azure MFAの追加認証を省略することは可能）、IDの不正使用リスクを軽減できます。なお、Azure MFAで追加の認証をセットアップするとアプリパスワードが発行されるため、ユーザーが介入できないアプリの認証（メールの送受信など）についてはアプリパスワードで保護できます。

　Azure MFAだけでなく、MicrosoftはAzure ADやオンプレミスのActive Directoryドメイン向けに、IDの不正利用の防止や検知に関連するさまざまなソリューションを用意しています。どのようなソリューションが利用可能なのかについて、次回以降説明します。