Active Directoryに多要素認証（MFA）を後付けする方法｜Windowsログオン・RDP・VPN・AD FS別の選び方

社内のPCやサーバーをActive Directory（AD）で一元管理している企業では、ログインがID・パスワードだけのまま残っているケースが少なくありません。取引先やサイバー保険から多要素認証（MFA：Multi-Factor Authentication）の導入を求められる場面も増え、既存のAD環境を大きく変えずに認証を強化したいという需要が高まっています。

ただ、ADは標準では多要素認証の仕組みを内蔵していません。そのため「ADにMFAを足す」には、Windows Serverの純正機能を構成する方法と、専用の製品を追加する方法があり、守りたいログイン経路によって適した打ち手が変わります。

本記事では、既存のAD環境に多要素認証を後付けする方法を、Windowsログオン・リモートデスクトップ（RDP）・VPN・AD FS経由の連携アプリ・クラウドサービスといった経路別に整理します。

純正ルート（AD FS／Microsoft Entra ID）と製品ルート（UserLock・Silverfort・ADSelfService Plusなど）を同じ土俵で比べ、どの経路にどの方法が効くか、MFAを入れても守れない経路（盲点）はどこか、自社のケースに合う選び方までを解説します。

Active Directoryに多要素認証をそのまま組み込めない理由

結論から言うと、Active Directoryは標準では多要素認証を内蔵しておらず、認証を強化するには純正機能を構成するか、専用の製品を追加する必要があります。これは、ADのログインが「一度サインオンすれば、その後はパスワードを再提示せずに社内リソースへアクセスできる」仕組みを土台にしているためです。

ADドメインの既定の認証プロトコルはKerberosで、Kerberosが使えない場合にNTLMが使われます。Kerberosはチケットを用いる方式で、Microsoftの公式ドキュメントは次のように説明しています。

TGTは、クライアントがユーザーのパスワードを再度提示することなくサービスへのアクセスを要求できる認証情報です。クライアントはTGTをチケットキャッシュに保存し、チケットの有効期限が切れるまで再利用します。

出典：Windows Server での Kerberos 認証の概要｜Microsoft Learn（https://learn.microsoft.com/ja-jp/windows-server/security/kerberos/kerberos-authentication-overview）

このように、最初にWindowsへサインオンした時点で発行された認証情報が、その後のアクセスでは再利用されます。この仕組みのうえに追加の本人確認を差し込むのが多要素認証なので、ADにMFAを足すときは「どのログインの瞬間に・どの方法で確認を挟むか」を、経路ごとに決めることになります。

だからこそ、同じ「ADに多要素認証」でも、守りたいのがWindowsのデスクトップ・ログオンなのか、AD FS経由のクラウドアプリなのかで、選ぶべき方法が変わります。

守りたい経路 × 実現方法の対応マップ

ここからは、守りたいログイン経路ごとに、どの方法が対応しているかを一覧で整理します。縦軸が守りたい経路、横軸が実現方法で、純正ルートはAD FSとEntra IDを分けて示しました。各製品が「どの経路を守ると公式に示しているか」をもとにしており、詳しい根拠は後の各節で出典とともに解説します。

守りたい経路	AD FS（純正）	Entra ID（純正）	UserLock	Silverfort	ADSelfService Plus	AWS Managed Microsoft AD
Windowsログオン（ドメイン参加PC・サーバー）	×（連携アプリ向け）	△（Windows Hello for Businessなどの追加構成）	○	○	○	×（EC2のWindowsサインインは対象外）
リモートデスクトップ（RDP）	×	―	○	○	―	×
VPN接続	×	―	○	○	―	×
AD FS経由の連携アプリ	○	○（IdPとして）	△（IIS／SAMLアプリ）	○（レガシーアプリ含む）	―	×
クラウド・SaaSの入口（SAML／OIDC）	○（フェデレーション）	○	○（SAML）	―	△（SAML）	△（AWSのアプリのみ）

ポイントは、Windowsのデスクトップ・ログオンやRDP・VPNといった「社内の端末そのもの」を守りたい場合と、AD FSやクラウドサービスの入口を守りたい場合とで、向いている方法が分かれることです。AWS Managed Microsoft ADのように、クラウド側のアプリは守れてもEC2上のWindowsサインインは対象外、という方法もあります。以降で、それぞれの方法を具体的に見ていきます。

純正ルートで後付けする（AD FS／Entra ID）

ここからは、Microsoft純正の機能で多要素認証を足す2つの道を解説します。いずれも追加の製品を買わずに始められますが、守れる経路はWindowsのデスクトップ・ログオンそのものではなく、主に連携アプリやクラウドの入口が中心になります。

AD FSに認証プロバイダーを足す（証明書認証が既定）

Active Directoryフェデレーションサービス（AD FS）は、社内のADアカウントを使って外部のアプリやクラウドサービスにシングルサインオンするための仕組みです。このAD FSには、追加の認証方法を構成して多要素認証を有効にする機能があります。Microsoftの公式ドキュメントは、既定で証明書認証を選べると説明しています。

多要素認証 (MFA) を有効にするには、追加の認証方法を少なくとも 1 つ選択する必要があります。

既定では、Windows Server の Active Directory フェデレーション サービス (AD FS) で、追加の認証方法として証明書の認証 (スマート カード ベースの認証) を選択できます。

出典：AD FS の追加の認証方法の構成｜Microsoft Learn（https://learn.microsoft.com/ja-jp/windows-server/identity/ad-fs/operations/configure-additional-authentication-methods-for-ad-fs）

証明書認証（スマートカードベースの認証）に加え、外部の認証プロバイダーを登録して使うこともできます。同ドキュメントには、Microsoft自身のAzure MFAをはじめ、Duo・Okta・RSA SecurID・PingID・Thales SafeNet Trusted Accessなど多数の外部プロバイダーが一覧で示されています。

AD FSに組み込めば、グローバルの認証ポリシーやアプリ単位のポリシーとしてMFAを適用できます。このようにAD FSルートは、AD FS経由で使う連携アプリ・クラウドサービスの入口を強化する方法として有効です。

その一方で、AD FSはWindowsのデスクトップ・ログオンやRDP・VPNといった端末そのものへのログインを直接守る仕組みではない点に注意が必要です。これらを守りたい場合は、後述の製品ルートが選択肢になります。

Microsoft Entra ID（旧Azure AD）側のMFAを使う

Microsoft Entra ID（旧Azure AD）は、Microsoftのクラウド側のID基盤です。オンプレミスのADとEntra IDを連携（ハイブリッド構成）していれば、クラウドサービスやEntra IDにサインインする場面で多要素認証をかけられます。

利用できる検証方式は幅広く、公式ドキュメントはMicrosoft Authenticator、Windows Hello for Business、パスキー（FIDO2）、証明書ベースの認証、OATHトークン（ハードウェア／ソフトウェア）、SMS、音声通話などを挙げています（主な方式の抜粋）。

根拠とした公式ドキュメントは次のとおりです。

出典・参考資料（1件）

• 出典：Microsoft Entra 多要素認証の概要｜Microsoft Learn（https://learn.microsoft.com/ja-jp/entra/identity/authentication/concept-mfa-howitworks）

有効化は、テナント全体に既定のセキュリティ設定を適用する方法と、条件付きアクセスポリシーでMFAを求めるアプリや条件を細かく定義する方法があります。Entra IDルートは、クラウドサービスやSaaSの入口を守るのに向いています。

一方で、オンプレミスのWindowsデスクトップ・ログオンそのものにMFAをかけるには、Windows Hello for Businessなどの別の仕組みや追加構成が必要になり、Entra IDのMFA単体では完結しません。

このWindows Hello for Businessは、対応するWindows端末で生体認証やPINを使い、パスワードに頼らずサインインできる純正機能です。Entra IDの検証方式の一つとして公式に挙げられており、デスクトップ・ログオンを製品を追加せずに強化する選択肢になります。ただし、端末やEntra IDへの登録・デバイス要件などの前提があるため、利用できる範囲は構成によって変わります。

製品を追加して後付けする（対応範囲・提供形態・料金）

ここからは、専用の製品を追加して多要素認証を足す方法を解説します。Windowsのデスクトップ・ログオンやRDP・VPNといった端末そのものを守りたい場合は、純正ルートよりこちらが現実的な選択肢です。代表的な製品が、どの経路をカバーし、どんな提供形態か、公式情報をもとに整理します。

料金は、実額を公開している製品と、個別見積もり・要問い合わせの製品があります。ここでは公開されている例としてADSelfService Plusの実額を示しますが、横断で比べたいときは各社に資料請求して条件を揃えるのが確実です。

UserLock（Windowsログオン・RDP・VPN・VDIまで幅広く対応）

UserLockは、既存のオンプレミスActive Directoryと連携して、社内のログインに多要素認証を足す製品です。公式の機能ページは、保護できる経路を具体的に示しています。

• ADメンバーシップを持つすべてのPC・デバイス、スタンドアロンのターミナルサーバーでのMFA
• 社外ネットワークからのRDPログイン（RDゲートウェイ接続を含む）でのMFA
• RADIUSチャレンジ対応、またはMicrosoft RRASを使うVPN接続でのMFA
• Outlook Web Access・RDWeb・SharePointなど特定のIISアプリケーション、SAML-2によるSaaS、VDI（Citrix・VMwareなど）での保護

安全なオンプレミスのホスティングによりオフライン時もMFAを有効化でき、企業ネットワークに未接続の端末でも利用できると公式は説明しています。認証方式はTOTP・HOTPのワンタイムパスワードを基盤に、プッシュ通知や各種認証アプリ、YubiKeyなどのハードウェアトークンに対応します。

Windowsログオン・RDP・VPNまで一通り守りたい、社内で完結して運用したい、というケースに向いた製品です。なお料金は公式サイトに実額の掲載がなく、要問い合わせです。

出典は以下のとおりです。

出典・参考資料（1件）

• 出典：UserLockの多要素認証ですべてのActive Directoryユーザーログインを保護｜IS Decisions（https://www.isdecisions.jp/features/ul-features/3748）

Silverfort（AD認証を置き換えず、認証時に判定を追加）

Silverfortは、ADの認証そのものを置き換えるのではなく、認証が発生したときに追加の判定を差し込む方式の製品です。販売代理店である日本ネットワークセキュリティ（NVC）の解説記事は、仕組みと適用範囲を次のように説明しています。

AD認証が発生すると、Silverfortが認証要求を分析し、設定したポリシーに基づいて「許可する」「MFAを要求する」「遮断する」といった追加の判定を行います。（中略）RDPやVPN、Windowsログオン、レガシーアプリケーション、ファイルサーバーなど、従来はMFAを適用しづらかったAD認証にも適用範囲を広げることができます。

出典：AD認証（Active Directory）にMFAを適用する方法｜Silverfortで実現｜日本ネットワークセキュリティ（https://products.nvc.co.jp/blog/how-to-apply-mfa-active-directory-authentication）

業務システムやアプリケーション側を大きく変更せずにMFAを追加できる点が特徴で、Windowsログオン・RDP・VPNに加え、レガシーアプリやファイルサーバーまで広く対象にできるとしています。既存システムを個別に改修せず、AD認証の層でまとめて判定を足したい場合に向いた方式です。

料金や提供形態（導入の仕方）は公開の解説に明示がないため、自社環境での適用範囲とあわせて導入前に個別に確認することをおすすめします。なお上記は販売元による解説である点も踏まえて検討してください。

ADSelfService Plus（Windowsログオンの二要素認証＋セルフサービス）

ManageEngineのADSelfService Plusは、パスワードリセットやアカウントロック解除のセルフサービス機能に加え、Windowsログオンの二要素認証を提供する製品です。公式は、Windowsのローカルおよびリモートログイン時に二要素認証を追加できると説明しています（対応OSはWindows 10以降／Windows Server 2016以降）。

日本語公式で確認できるのはWindowsのローカル・リモートログオンで、RDPやVPNへの対応は明記がないため、対象経路は導入前に確認するとよいでしょう。

認証方式はセキュリティ質問・SMS/メールの認証コード・Google/Microsoft Authenticator・Duo Security・RSA SecurID・RADIUS認証・YubiKey Authenticatorなど幅広く用意されています。

料金の目安として、公式が配布する価格資料では500ユーザーで年額293,000円（約29.3万円）が示されています（2026年10月時点の公式情報）。製品名のとおりセルフサービス（パスワードリセット等）とセットで、Windowsログオンの本人確認を強化したい場合に向いています。

公式の該当ページは次のとおりです。

出典・参考資料（2件）

• 出典：Windowsログオンの二要素認証（TFA）｜ManageEngine ADSelfService Plus（https://www.manageengine.jp/products/ADSelfService_Plus/windows-logon-two-factor-authentication.html）
• 出典：ADSelfService Plus 製品案内・価格（PDF）｜ゾーホージャパン（https://prewww.manageengine.jp/sites/default/files/download/ADSSP/adselfserviceplus.pdf）

AWS Managed Microsoft AD（RADIUS前提・AWSアプリ向け）

この節は、ADをオンプレミスではなくAWS上のManaged Microsoft ADで動かしている場合に関係する話です。この構成では多要素認証を有効化できますが、前提と適用範囲に注意が必要です。AWSの公式ドキュメントは、MFAにはRADIUSサーバーが必要で、ワンタイムパスコードを前提とすると説明しています。

MFA を有効にするには、MFA ソリューションとして Remote Authentication Dial-In User Service (RADIUS) サーバーを使用するか、オンプレミスインフラストラクチャに RADIUS サーバー用の MFA プラグインを実装しておく必要があります。（中略）

RADIUS MFA は、WorkSpaces、AWS マネジメントコンソール、Amazon Quick、Amazon Chime などの Amazon Enterprise アプリケーションおよびサービスへのアクセスを認証する場合にのみ適用されます。

EC2 インスタンスで実行されている Windows ワークロード、または EC2 インスタンスにサインインするための MFA は提供されません。

出典：AWS Managed Microsoft AD の多要素認証の有効化｜AWS Directory Service 管理ガイド（https://docs.aws.amazon.com/ja_jp/directoryservice/latest/admin-guide/ms_ad_mfa.html）

このようにAWS Managed Microsoft ADのMFAは、WorkSpacesやマネジメントコンソールといったAWS側のアプリへのアクセスを守るもので、EC2上で動くWindowsへのサインインは対象外です。

通信はDirectory ServiceからのUDP 1812ポートを許可する必要があり、Simple ADではMFAを使えません（AD Connectorでは有効化可能）。オンプレミスのWindowsログオンを守る用途とは目的が異なる点を押さえておきましょう。

どの認証方式がどの経路に向くか

多要素認証で使う「2つ目の鍵」には複数の方式があり、守りたい経路との相性があります。ここでは、代表的な方式がどの経路に向くかを、純正・製品の両ルートをまたいで整理します。

• 証明書認証（PIV／スマートカード）：前述のとおりAD FSの既定の追加認証方法で、物理的なスマートカードやセキュリティキーをWindows端末の認証に使う場面に向きます。
• FIDO2セキュリティキー（パスキー）：フィッシングに強いパスワードレス認証に使えます。Entra IDの検証方式にもパスキー（FIDO2）が含まれ、クラウド・SaaSの入口や対応端末のログインに向きます。
• 認証アプリのTOTP／HOTP・プッシュ通知：UserLockなどの製品が基盤にする方式で、PCやスマートフォンのアプリで本人確認します。導入の手軽さが利点です。
• RADIUS：VPN装置やAWS Managed Microsoft ADなど、RADIUS経由で認証を中継する経路で使われます。
• SAML：クラウド・SaaSの入口（シングルサインオン）での多要素認証に使われる方式です。

証明書やFIDO2セキュリティキーのような物理的な鍵は、スマートフォンを持ち込めない現場や、端末そのもののログインを固く守りたい場面で選ばれます。一方、クラウドの入口が中心ならSAMLやパスキー、VPNならRADIUS、というように、守りたい経路から逆算して方式を選ぶと迷いにくくなります。

FIDO2セキュリティキーやPIV対応のスマートカードといった「物理的な鍵」そのものの仕組みや種類、選び方は、以下の記事で詳しく解説しています。

入れても守れない経路（コマンドライン経路の盲点）

多要素認証を導入する際に見落としやすいのが、MFAを入れても守りきれない経路が残る点です。多要素認証は、対話的なサインイン（ユーザーが画面でログインする瞬間）に本人確認を差し込む仕組みです。ところが、ADの認証はKerberosやNTLMといったプロトコルで行われ、前述のとおり一度サインオンするとチケットや資格情報が再利用されます。

このため、PsExecやリモートPowerShellのように、プロトコルレベルで直接認証するコマンドライン系のツールは、画面のログインに差し込むタイプのMFAを経由しない経路になり得ます。攻撃者が侵入後にこうした経路を使うと、多要素認証をかけていても内部で横移動される余地が残ります。

これは、画面ログインだけにMFAをかける「部分的な導入」の限界として指摘されている論点です。

対策としては、AD認証が発生する層でまとめて判定を差し込む方式や、プロトコルレベルの通信を監視・制御する仕組みが候補になります。いずれにせよ、「画面ログインにMFAを入れたから安心」と考えず、守れていない経路がどこかを把握したうえで導入範囲を決めることが重要です。

出典は以下のとおりです。

出典・参考資料（2件）

• 参考資料：Windows Server での Kerberos 認証の概要｜Microsoft Learn（https://learn.microsoft.com/ja-jp/windows-server/security/kerberos/kerberos-authentication-overview）
• 参考資料：MFA の限界を知ろう：Active Directory との相性の悪さについて深堀りする｜IoT OT Security News（https://iototsecnews.jp/2023/03/10/when-partial-protection-is-zero-protection-the-mfa-blind-spots-no-one-talks-about）

自社のケースに合う方法の選び方

ここまでの整理をもとに、代表的なケースごとに、どの方向で検討すればよいかを読み下します。自社の状況に近いものを手がかりにしてください。

社内のWindowsログオンとRDPを、できるだけ社内完結で守りたい場合。純正ルート（AD FS／Entra ID）はデスクトップ・ログオンそのものを直接守る用途には向かないため、端末ログイン・RDP・VPNまでカバーし、オフラインでも動作する製品ルートが現実的な候補になります。物理的な鍵で固めたいなら、PIV対応のセキュリティキーを組み合わせる方法もあります。

すでにAD FSやクラウドサービスを使っていて、その入口を強化したい場合。追加の製品を買わずに、AD FSの認証プロバイダーやEntra IDの多要素認証を構成する純正ルートから始められます。クラウドの入口が中心なら、SAMLやパスキー（FIDO2）での保護が選択肢です。

既存システムを個別に改修せず、AD認証の層でまとめてMFAを足したい場合。認証要求を分析して判定を差し込む方式の製品が候補になります。レガシーアプリやファイルサーバーまで含めて対象にしたいときに検討する価値があります。

加えて、取引先やサイバー保険の要件、社内稟議の根拠として「どの経路にMFAをかけたか」を説明できる状態にしておくと、導入後の運用もスムーズです。守りたい経路を洗い出し、純正で足りるのか製品が要るのか、オンプレ完結かRADIUS・クラウド前提か、という軸で2〜3の候補に絞り込むとよいでしょう。

経路に合わせた具体的な打ち手

ここからは、資料請求で詳細を確認できるサービスを、守りたい経路に合わせて紹介します。Windowsログオンを物理キー（セキュリティキー）で固めたいならYubiKey as a Service、ADアカウントを活かしてクラウド・SaaSの入口を守りたいならCloudGate UNOが候補です。

いずれも守る経路が特定の打ち手です。Windowsログオン・RDP・VPNまで含めて製品を横並びで比較したい場合は、このあと案内する多要素認証システムの比較記事もあわせてご覧ください。

YubiKey as a Service（株式会社インターナショナルシステムリサーチ）

YubiKey as a Serviceは、Yubico社の物理セキュリティキー「YubiKey」を、株式会社インターナショナルシステムリサーチ（ISR）がサブスクリプション型で提供するサービスです。キー本体の提供だけでなく、導入支援から導入後のサポートまでを一体で含むオールインワン型で、買い切りではなく運用費として導入できる点が特徴です。

提供ティアはベース・アドバンスド・コンプライアンスの3段階です。公式によれば、FIDO規格に対応したSaaS認証にはベースが、オンプレミス環境やWindows端末の認証などマルチプロトコルが必要な場合には主力モデルのアドバンスド（YubiKey 5シリーズ）が選ばれるとしています。

YubiKey 5シリーズはFIDO2／WebAuthnに加え、PIV（スマートカード）にも対応するため、既存AD環境のWindowsログオンを物理キーで守りたいケースに向きます。ただしYubiKeyは認証に使う「鍵」そのものなので、Windowsログオンに効かせるにはAD側でスマートカード（PIV）ログオンの構成が前提になる点は押さえておきましょう。

料金はティアや配布条件に応じた個別見積もりが基本で、200ライセンスから、契約期間は3年または5年です。

スマートフォンを使う認証ではなく物理キーが選ばれるのは、どのような現場なのでしょうか。提供元のインターナショナルシステムリサーチは、独自インタビューで相談の多いケースを次のように説明しています。

CloudGate UNO（株式会社インターナショナルシステムリサーチ）

CloudGate UNOは、シングルサインオン（SSO）・多要素認証・アクセス制限・ID管理を統合したIDaaSプラットフォームです。パスキー（FIDO2）によるパスワードレス認証を全プラン・全ユーザーで無制限に利用でき、フィッシングに強い認証をクラウドサービスの入口に適用できます。

ADアカウントを活かしてクラウドの入口を守りたい場合は、Active Directory連携に対応するEnterprise Plus以上のプランが選択肢になります。料金は税抜でStandard Plusが月額400円／ユーザー、Enterprise Plusが500円／ユーザー、Smart Packが600円／ユーザーで、新規は100IDから導入できます（2026年10月時点の公式情報）。

守る対象はWindowsのデスクトップ・ログオンそのものではなく、クラウド・SaaSの入口です。既存のAD環境を維持したまま、クラウドサービスのログインに多要素認証とSSOをまとめて適用したいケースに向いています。

こうしたクラウド入口の一元管理を必要とするのはどのような企業か、提供元のインターナショナルシステムリサーチは独自インタビューで次のように述べています。

ここで紹介した2つは、特定の経路に向いた打ち手です。認証方式や料金、タイプ別の選び方を含めて多要素認証システム全体を広く比較したい場合は、以下の記事もあわせてご覧ください。

まとめ

Active Directoryは標準で多要素認証を内蔵していないため、認証を強化するには純正機能の構成か製品の追加で「足す」必要があります。最後に、自社に合う方法を絞り込むための手順を整理します。

1. 守りたい経路を洗い出す：Windowsログオン・RDP・VPN・AD FS経由のアプリ・クラウドの入口のうち、どこを守りたいかを先に決める。対応マップが出発点になる。
2. 純正で足りるか、製品が要るかを見極める：連携アプリやクラウドの入口が中心なら純正ルートから、端末そのもののログイン（Windowsログオン・RDP・VPN）まで守るなら製品ルートを軸に検討する。
3. 残る盲点を踏まえて導入範囲を決める：コマンドライン経路など画面ログインのMFAでは守れない部分を把握し、「入れたつもりで穴が残る」事態を避ける。

この手順で候補を2〜3に絞り込めば、あとは各サービスの料金や機能を資料請求で見比べて決められます。

よくある質問（FAQ）

Q. Active Directoryの多要素認証（MFA）とは何ですか？

A. Active Directoryの多要素認証（MFA）とは、ID・パスワードによるログインに、認証アプリやセキュリティキーなどの2つ目の本人確認を加えて、ADで管理する社内のログインを強化する仕組みです。ADは標準ではMFAを内蔵していないため、Windows Serverの純正機能を構成するか、専用製品を追加して後付けする形になります。

守りたいログイン経路（Windowsログオン・RDP・VPN・AD FS経由のアプリ・クラウド）に応じて適した方法が変わります。

Q. Active DirectoryはMFAを標準機能だけで使えますか？

A. Active Directoryは、標準機能だけではMFAを使えず、純正機能を構成するか専用製品を追加して後付けする必要があります。これは、ADのログインがKerberos（使えない場合はNTLM）を土台にしており、一度サインオンすると以降はパスワードを再提示せずに社内リソースへアクセスできる仕組みのためです。

この仕組みに追加の本人確認を差し込むのがMFAなので、どのログインの瞬間に・どの方法で確認を挟むかを経路ごとに決めることになります。

Q. Windowsのデスクトップ・ログオンそのものにMFAをかけられますか？

A. Windowsのデスクトップ・ログオンにMFAをかけることはできますが、純正ルート（AD FS／Entra ID）だけでは直接守りにくく、UserLock・Silverfort・ADSelfService Plusといった製品が現実的な選択肢になります。AD FSは連携アプリ向け、Entra IDのMFAはクラウドの入口が中心で、端末そのもののログインを直接守る用途には向きません。

リモートデスクトップ（RDP）やVPNまで含めて守りたい場合も、同様に製品ルートが有力です。

Q. ADにMFAを足すのは純正ルート（AD FS・Entra ID）だけで足りますか、製品が必要ですか？

A. 守りたい経路によって分かれます。AD FS経由の連携アプリやクラウド・SaaSの入口を守るなら純正ルートで始められ、Windowsログオン・RDP・VPNそのものを守るなら専用製品が現実的です。純正ルートは追加の製品を買わずに構成でき、すでにAD FSやクラウドサービスを使っている場合に向きます。

一方、社内端末のログインまで固めたい場合は、対応経路・オンプレ可否・料金で製品を比較して選びます。

Q. MFAを入れてもActive Directory環境で守りきれない経路はありますか？

A. あります。PsExecやリモートPowerShellのようなコマンドライン系の経路は、画面のログインに差し込むタイプのMFAを経由しにくく、守りきれずに残ることがあります。これらはNTLMやKerberosのプロトコルで直接認証するため、MFAが働く層より手前で処理されるからです。

攻撃者が侵入後にこうした経路を使うと内部で横移動される余地が残るので、「画面ログインにMFAを入れたから安心」と考えず、守れていない経路を把握したうえで導入範囲を決めることが重要です。

Q. クラウドへ移行すればActive DirectoryのMFAの穴は解消しますか？

A. クラウド移行だけでは解消しません。多くの組織はオンプレミスADとクラウドを併用するハイブリッドID構成を維持するため、オンプレ側の弱点がSaaS側にも波及します。移行の有無にかかわらず、守りたい経路を洗い出し、残る穴（コマンドライン経路など）を踏まえて対策の範囲を決める必要があります。

Q. ADにMFAを後付けする費用の目安はどのくらいですか？

A. ADのMFA後付けの費用は、製品や提供形態によって幅があり、公開されている例ではADSelfService Plusが500ユーザーで年額約29.3万円、CloudGate UNOが月額400〜600円／ユーザーといった水準です。物理セキュリティキーを使うYubiKey as a Serviceのように、ティアや配布条件に応じた個別見積もり（200ライセンスから）で提示される製品もあります。

純正ルート（AD FS／Entra ID）は、追加の製品費用なしで構成を始められます。

Q. Active DirectoryのMFAを追加製品なしで始める方法はありますか？

A. 純正ルートなら、追加の製品を買わずに始められます。具体的には、AD FSに認証プロバイダー（証明書認証や外部プロバイダー）を構成する方法と、Microsoft Entra ID側のMFAを使う方法です。

ただし守れるのはAD FS経由の連携アプリやクラウド・SaaSの入口が中心で、Windowsのデスクトップ・ログオンそのものにはWindows Hello for Businessなどの別の仕組みや追加構成が必要になります。

利用できる範囲や条件は構成やライセンスによって異なるため、導入前に公式ドキュメントで確認してください。

多要素認証（MFA）システムの料金・資料を一括チェック

MCB FinTechカタログでは、Active Directory環境に多要素認証を後付けできるサービスの最新資料を無料で一括請求できます。対応する認証方式や守れるログイン経路、料金・サポート体制を比べて選べます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。