Outlook、Teams、SharePoint、OneDriveなど、業務の中心となるサービスの多くがMicrosoft 365のアカウントにつながっています。そのアカウントが乗っ取られれば、メールや社内ファイルへの不正アクセス、なりすましによる取引先への詐欺メールなど、被害は組織全体に広がります。
Microsoftは、Azureや管理センターへのサインインで多要素認証（MFA）の必須化を進めており、フィッシングに強い認証方法への移行を呼びかけています。この記事では、会社や学校で使うMicrosoft 365のアカウント（Microsoft Entra ID）と、Outlook.comなどの個人のMicrosoftアカウントの両方について、YubiKeyをセキュリティキーとして使うための手順を見ていきます。
Microsoft 365でYubiKeyを使うメリット
- フィッシングに強い：YubiKeyはFIDO2 / パスキーの仕組みで、登録した正規のサイトでしか応答しません。偽のサインイン画面にだまされても、認証は成立しません。
- SMSやプッシュ通知に頼らない：コードの盗み取りや、承認要求を大量に送りつける「MFA疲労攻撃」の影響を受けません。
- スマートフォンが不要：電池も通信も不要なので、社用スマートフォンを配布していない現場スタッフや、端末の持ち込みが制限された環境でも使えます。
- Microsoft製品と幅広く連携：Yubicoによれば、YubiKeyはMicrosoft 365、Entra ID、Windows、Surfaceなどで利用できます。
使える認証方式は2種類
パスキー（FIDO2）
多くの組織にとって、最も導入しやすい方法です。YubiKeyにタッチし、PINを入力するだけでサインインでき、パスワードの入力も不要になります。Microsoftによると、パスキー（FIDO2）はMicrosoft Entra ID Freeを含むすべてのエディションで利用でき、追加のライセンスは必要ありません。
証明書ベース認証（CBA）
YubiKeyをスマートカードとして使い、電子証明書でサインインする方法です。社内の認証基盤（ADFSなど）を使わずにスマートカード認証をクラウドへ移行したい組織や、政府・規制業界向けに適しています。Yubicoによれば、AndroidとiOSで証明書ベース認証に対応した外付けデバイスは、現在YubiKeyのみです。
管理者向け：パスキー（FIDO2）を有効にする
会社や学校のアカウントでは、まず管理者がMicrosoft Entra IDでパスキーを許可する必要があります。
- 認証ポリシー管理者以上の権限で、Microsoft Entra管理センターにサインインします。
- 認証方法のポリシーから「パスキー（FIDO2）」を開き、有効にします。
- 利用を許可するユーザーやグループを指定します。まずはIT部門などで試験運用し、問題がなければ全社に広げるのがおすすめです。
- 必要に応じて、YubiKeyなど特定のセキュリティキーだけを許可するよう制限を設定します（キーの機種を識別するAAGUIDで指定します）。
- 管理者アカウントや機密データにアクセスするユーザーには、条件付きアクセスの「認証強度」で、フィッシング耐性のある認証を必須にします。
※メニューの名前や配置は、Microsoft側の更新によって変わる場合があります。詳しい手順はMicrosoftの公式ドキュメントで確認してください。
ユーザー向け：YubiKeyを登録する
- パソコンのブラウザで、Microsoftの「セキュリティ情報」ページ（mysignins.microsoft.com/security-info）を開き、会社または学校のアカウントでサインインします。
- 「サインイン方法の追加」を選び、「パスキー」または「セキュリティキー」を選びます。
- 本人確認を求められたら、画面の案内に従って多要素認証を完了します。Microsoft Entra IDでは、登録前の5分以内に多要素認証を済ませておく必要があります。
- YubiKeyをUSBポートに挿し、PINの設定または入力を行ってから、金色の部分にタッチします。
- わかりやすい名前（例：「YubiKey メイン」）を付けて登録を完了します。
- 同じ手順で、バックアップ用の2本目のYubiKeyも登録します。
登録が終わると、次回からはサインイン画面で「顔、指紋、PIN、またはセキュリティキー」などの選択肢からYubiKeyを選び、タッチするだけでサインインできます。お使いのパソコンやスマートフォンに合うモデルは、YubiKey製品一覧から確認できます。
個人のMicrosoftアカウントにYubiKeyを追加する
Outlook.com、OneDrive、Xbox、個人向けのMicrosoft 365など、個人で使っているMicrosoftアカウントにもYubiKeyを登録できます。会社や学校のアカウントとは設定する画面が異なるので、ここで手順を分けて確認します。
ブラウザから登録する手順
- パソコンのブラウザでMicrosoftアカウントのページ（account.microsoft.com）を開き、いつもどおりサインインします。
- 「セキュリティ」を選び、高度なセキュリティオプション（その他のセキュリティオプション）を開きます。
- 新しいサインイン方法や確認方法を追加する項目を選び、「セキュリティキー」を選びます。
- お使いのYubiKeyの種類（USBまたはNFC）を選びます。
- 案内が表示されたら、YubiKeyをUSBポートに挿すか、NFCリーダーにかざします。
- YubiKeyのPINを作成します。すでにPINを設定している場合は、そのPINを入力します。
- YubiKeyの金色の部分にタッチします。
- 「YubiKey メイン」など、ほかのキーと区別しやすい名前を付けて登録を完了します。
- 同じ手順で、バックアップ用の2本目のYubiKeyも登録します。
登録が終わったら一度サインアウトし、サインイン画面でセキュリティキーを使う方法を選んで、YubiKeyでサインインできるか確認しておきましょう。
パスキーとしてYubiKeyに保存する
Microsoftアカウントでは、パスキーを作成するときに保存先を選べます。スマートフォンやパスワードマネージャーのほかに「セキュリティキー」を選ぶと、パスキーはYubiKeyの中に保存されます。クラウドに同期されず、YubiKeyを持っている人だけがサインインできるため、より慎重にアカウントを守りたい方に向いています。
Windowsの設定から管理する
Windowsパソコンでは、「設定」→「アカウント」→「サインイン オプション」の「セキュリティキー」から、YubiKeyのPINの変更などを行えます。
登録したYubiKeyの確認・削除
登録済みのYubiKeyは、Microsoftアカウントの「セキュリティ」→高度なセキュリティオプションの画面で確認できます。紛失したキーは、ここから削除しておきましょう。
個人で使うときの注意点
- 2本登録しておく：1本をなくしても、もう1本ですぐにサインインできます。
- ほかの確認方法も残しておく：回復用のメールアドレスなど、YubiKey以外の確認方法も最新の状態にしておくと、万一のときにアカウントを取り戻しやすくなります。
- PINを忘れない：PINを何度も間違えるとYubiKeyがロックされ、リセットが必要になります。リセットするとキーに保存された情報は消え、各サービスで登録し直す必要があります。
※画面の名前や配置は、Microsoft側の更新によって変わる場合があります。
Windows・スマートフォンでのサインイン
- Windows：Microsoft Entra IDに参加しているWindowsパソコンでは、YubiKeyを使ってWindows自体にサインインすることもできます。Microsoftは、Windows 10 バージョン1903以降を推奨しています。
- Surface：Yubicoによれば、NFCリーダーを内蔵したSurface Pro for Businessでは、YubiKey 5 NFCやYubiKey 5C NFCをかざしてパスワードなしでサインインできます。
- スマートフォン：NFC対応のYubiKeyはスマートフォンにかざして、USB-C対応のYubiKeyは端子に挿して使えます。
組織で導入するときのポイント
- 1人2本を基本にする：紛失や故障に備えて、メイン用とバックアップ用を登録しておけば、ヘルプデスクへの問い合わせも減らせます。
- 弱い認証方法を段階的に止める：YubiKeyを登録しても、SMSなどの方法が使えるままだと攻撃者はそちらを狙います。展開が進んだら、条件付きアクセスでフィッシング耐性のある認証を必須にしましょう。
- 優先度の高いユーザーから始める：管理者、経営層、経理・財務など、狙われたときの影響が大きいユーザーから展開すると、効果を早く得られます。
- 紛失時の手順を決めておく：キーをなくしたときの連絡先、一時的なサインイン方法、キーの無効化と再発行の流れを、あらかじめ社内で共有しておきます。
よくある質問
- Microsoft 365でYubiKeyを使うのに追加のライセンスは必要ですか？
Microsoftによると、パスキー（FIDO2）はMicrosoft Entra ID Freeを含むすべてのエディションで使え、追加のライセンスは不要です。条件付きアクセスでパスキーの使用を必須にするなど、一部の高度な設定には上位のライセンスが必要になる場合があります。
- セキュリティキーを登録しようとすると、もう一度サインインを求められるのはなぜですか？
Microsoft Entra IDでは、パスキー（FIDO2）を登録する前の5分以内に多要素認証を完了している必要があります。画面の案内に従って本人確認を済ませると、登録に進めます。
- 個人のMicrosoftアカウント（Outlook.comなど）でもYubiKeyは使えますか？
使えます。Microsoftアカウントのページで「セキュリティ」から高度なセキュリティオプションを開き、新しいサインイン方法として「セキュリティキー」を追加します。詳しい手順は、この記事の「個人のMicrosoftアカウントにYubiKeyを追加する」をご覧ください。
