多要素認証で実現するセキュアアクセス｜VPN・クラウド・SSOへの組み込み方と対応製品

多要素認証（MFA）の必要性は理解していても、いざ自社に入れようとすると「社外からつなぐVPN、Microsoft 365やAWSのログイン、社内システムのシングルサインオン（SSO）——どの入口にどう組み込めばいいのか」で手が止まりがちです。入口ごとに仕組みが違い、使える製品もバラバラに見えるためです。

この記事では、アクセス経路（VPN・リモートデスクトップ／Windowsログオン・クラウドSaaS・SSO／IdP連携）ごとに多要素認証をどう挟み込むかを示し、それぞれの経路に対応する製品を横並びで比較します。自社の入口に合う選択肢を突き合わせられる形にまとめました。

あわせて、プッシュ通知・ワンタイムパスワード・パスキーといった認証方式の違いとフィッシングへの耐性、料金の目安、自社に合う製品の絞り方まで扱います。資料請求で比較を進めるための判断材料として活用してください。

アクセス経路ごとの多要素認証の組み込み方

多要素認証は「どの入口に、どの位置で認証を足すか」で組み込み方が変わります。まず、企業でよく守る4つのアクセス経路と、それぞれで多要素認証を挟む位置を一覧で押さえましょう。

アクセス経路	多要素認証を挟む位置	代表的な仕組み
VPN・リモートアクセス	VPN機器が認証をサーバへ委譲し、その判定にMFAを追加	RADIUS連携（MFAサーバ／エージェント）
リモートデスクトップ・Windowsログオン	端末やサーバのログイン画面に認証を追加	Windowsの資格情報プロバイダーへのエージェント、RDゲートウェイ経由
クラウドSaaSのログイン	各SaaSの認証、またはIdP経由の認証に追加	SAML／OpenID Connectでの連携、SaaS標準のMFA
SSO・IdP連携	IdP（認証基盤）側でMFAを一括で課す	SAML 2.0／OpenID ConnectのIdP側ポリシー

VPN・リモートアクセス（RADIUS連携）

社外から社内ネットワークへつなぐVPNでは、VPN機器そのものが利用者を認証するのではなく、認証の判定を外部の認証サーバに任せる構成が一般的です。この「認証を委譲する」仕組みの標準がRADIUS（Remote Authentication Dial In User Service）で、VPN機器がRADIUSクライアントとして資格情報を認証サーバへ転送し、サーバ側で可否を判定します。

この認証サーバを多要素認証に対応したサーバ（またはエージェント）にすることで、VPN接続時にワンタイムパスワードやプッシュ承認を追加できます。VPN機器を入れ替えなくても、認証の判定部分にMFAを足せるのがこの経路の勘所です。

出典・参考資料（1件）

• 参考資料：RFC 2865 Remote Authentication Dial In User Service (RADIUS)｜IETF

リモートデスクトップ・Windowsログオン

社内PCへのログオンやリモートデスクトップ（RDP）接続では、OSのログイン画面に多要素認証を追加します。多くの製品は、Windowsの資格情報プロバイダーに認証エージェントを組み込み、IDとパスワードの入力後にプッシュ承認やワンタイムパスワードを求める方式をとります。

リモートデスクトップをゲートウェイ経由で公開している場合は、そのゲートウェイの認証にMFAを挟む構成もあります。端末の紛失や持ち出しが絡む経路のため、物理セキュリティキーのように端末に紐づく要素と相性がよい場面です。

クラウドSaaSのログイン（Microsoft 365・AWS など）

Microsoft 365やAWS、各種SaaSのログインには、2通りの足し方があります。1つはSaaSが標準で備える多要素認証を各サービスで有効にする方法、もう1つは後述のSSO／IdP連携でまとめて認証を課す方法です。

利用するSaaSが数個であればサービスごとの設定でも回りますが、数が増えるほど設定と運用が分散します。複数のクラウドを使う環境では、IdP側に認証を集約する次の方式が管理しやすくなります。

SSO・IdP連携（SAML／OpenID ConnectでIdP側にMFA）

シングルサインオン（SSO）では、認証基盤であるIdP（Identity Provider）が利用者を認証し、連携する各SaaSはその認証結果を信頼してログインを通します。OpenID Connectの仕様は、この関係を次のように定義しています。

It enables Clients to verify the identity of the End-User based on the authentication performed by an Authorization Server.

出典：OpenID Connect Core 1.0｜OpenID Foundation

IdP側で一度多要素認証を課せば、連携する各クラウドのログインがその認証結果に乗ります。経路ごとにMFAを設定して回る代わりに、IdPという1か所に認証を集約できるのがこの方式の利点です。SAML 2.0も同じく、IdPが認証して署名付きのアサーションを発行し、各サービスがそれを信頼する標準として広く使われています。

出典・参考資料（2件）

• 参考資料：OpenID Connect Core 1.0｜OpenID Foundation
• 参考資料：Security Assertion Markup Language (SAML) V2.0｜OASIS

経路に対応する多要素認証サービスの比較

ここからは、4つの経路のいずれかに多要素認証を組み込める製品を横並びで比較します。対応するアクセス経路・主な認証方式・提供形態・料金の目安で突き合わせ、自社の入口に合う候補を見つける材料にしてください。

自社が守りたい経路（VPN・リモートデスクトップ／Windowsログオン・クラウドSaaS・SSO）を思い浮かべながら「対応アクセス経路」の列を見ると、経路を起点に候補を絞り込めます。

※料金・仕様は2026年11月時点の各社公式情報に基づきます。最新は各社公式サイトをご確認ください。

認証方式とフィッシング耐性

同じ多要素認証でも、追加する認証方式によってフィッシングへの強さは大きく変わります。方式の種類を押さえたうえで、どれが新しい攻撃に耐えるかを確認しましょう。

主な認証方式（プッシュ通知・OTP・生体・ハードウェアトークン・パスキー）

企業で使われる多要素認証の要素は、おおむね次の5種類に整理できます。いずれもIDとパスワードに加えて要求する「2つ目以降の要素」です。

• プッシュ通知: スマートフォンの専用アプリに届く承認依頼をタップして認証する方式。操作が簡単で導入しやすい
• ワンタイムパスワード（OTP／TOTP）: 認証アプリやトークンが生成する、一定時間で変わる数字を入力する方式
• 生体認証: 指紋・顔などを使う方式。Windows HelloやスマートフォンのTouch ID／Face IDを認証に利用する
• ハードウェアトークン: ワンタイムパスワードを表示する専用端末や、USB／NFC接続の物理セキュリティキーを使う方式
• パスキー（FIDO2／WebAuthn）: 端末内の鍵で署名して認証する方式。パスワード自体を使わないパスワードレス認証に進める

このうち物理セキュリティキー（FIDO2対応のハードウェアの鍵）は、実物を見ないと仕組みや入手方法がつかみにくい方式です。キーの種類や購入の進め方、パスキーとの使い分けまで具体的に知りたい場合は、こちらで整理しています。

フィッシング耐性で分かれる方式（パスキー／FIDO2 と OTP・SMS の違い）

ワンタイムパスワードやSMSのコードは、本物そっくりの偽サイトに入力させて盗む中間者型のフィッシングや、承認依頼を何度も送って押させるMFA疲労攻撃で突破されることがあります。入力した数字や承認操作が、そのまま攻撃者に中継されてしまうためです。

一方、パスキー（FIDO2／WebAuthn）は公開鍵暗号を使い、登録したサイトにのみ応答する設計のため、偽サイトでは有効な署名が得られずフィッシングが成立しません。FIDO Allianceは、パスキーの性質を次のように説明しています。

By design, a passkey is only presented to the site it was registered with.

出典：How Passkeys Work｜FIDO Alliance（Passkey Central）

公的な指針もこの方向を後押ししています。米国国立標準技術研究所（NIST）のデジタルID指針（SP 800-63B）改訂版では、認証保証レベルAAL2で、検証者が少なくとも1つのフィッシング耐性のある認証オプションを提供することを求めています。社外からのアクセスやフィッシング被害を強く警戒するなら、パスキーに対応した製品を軸に検討する価値があります。

出典・参考資料（2件）

• 参考資料：How Passkeys Work｜FIDO Alliance（Passkey Central）
• 参考資料：NIST Special Publication 800-63B（Digital Identity Guidelines）Revision 4｜NIST

自社のアクセス経路に合う多要素認証の選び方

製品を絞り込むときは、守りたい経路に対応しているかを起点に、導入の手間と運用のしやすさをあわせて見ます。ここでは判断に効く2つの観点を挙げます。

まず、自社の経路がどこに広がっているかで、比較表のどの製品から見るかの当たりをつけられます。

• VPNやWindowsログオンまで一台で広く守りたい: 複数の経路に対応する Cisco Secure Access by Duo・RSA ID Plus・Entrust Identity などが候補になります。
• クラウドSaaSとSSOを中心に守りたい: CloudGate UNO・Okta・Microsoft Entra ID・HENNGE One などのID基盤（IDaaS）が扱いやすい選択肢です。
• スマートフォンを使えない現場やフィッシング耐性を最優先したい: 物理セキュリティキーの YubiKey as a Service を軸に、対応する認証基盤と組み合わせます。

加えて、利用者の場所やデバイスのリスクに応じて追加の認証を求める条件付きアクセス（アダプティブ認証）に対応する製品もあり、利便性と安全性のバランスを取りやすくなります。

既存のVPN・SSO・クラウド環境を作り替えずに足せるか

すでに使っているVPN機器やIdP、クラウドサービスをそのまま活かせるかは、導入の手間を大きく左右します。VPNならRADIUS連携に対応しているか、SSOならSAMLやOpenID Connectで既存のIdPとつながるかを、製品の対応仕様で確認しましょう。

あわせて、利用者側の負担も運用に響きます。アプリのインストールや初期設定を利用者自身で進められるか、端末を紛失したときの再登録はどう行うかまで見ておくと、導入後の問い合わせ対応の見込みが立ちます。利便性を下げすぎると現場で使われなくなるため、業務の実態に合う方式かどうかが判断の分かれ目です。

経路ごとにバラバラに入れず、まとめて守るID基盤という選択肢

経路ごとに別々の製品を入れると、設定も運用窓口も分散します。クラウドSaaSとSSOを中心に守るなら、SSO・多要素認証・アクセス制限を1つにまとめたID基盤（IDaaS）を軸にする選び方があります。IdPに認証を集約できるため、連携する複数のクラウドのログインをまとめて強化できます。

VPNやWindowsログオンまで含めて守りたい場合は、ID基盤に加えて、その経路に対応する認証サーバや物理セキュリティキーを組み合わせます。自社の入口が1つに寄っているのか、複数にまたがるのかで、単機能の製品で足すか、基盤でまとめるかの判断が変わります。

経路をまとめて守るID基盤とフィッシングに強い物理キー

ここでは、クラウドSaaSとSSOを軸に認証を集約したい読者と、フィッシング耐性の高い物理キーを求める読者に向けて、カタログ掲載の2サービスを個別に紹介します。いずれも株式会社インターナショナルシステムリサーチが提供し、資料請求で詳しい仕様や料金を確認できます。

VPNやリモートデスクトップまで一台で広く守りたい場合は、前掲の比較表で複数の経路に対応する製品（Cisco Secure Access by Duo・RSA ID Plus・Entrust Identity など）を候補にしてください。

この2製品以外も含めて多要素認証システムを認証方式・料金・タイプ別に横断で見比べたい場合は、以下の比較記事もあわせてご覧ください。自社に合う製品を絞り込める選定診断ツールも用意しています。

1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）

CloudGate UNOは、1993年創業のインターナショナルシステムリサーチが自社で開発・提供する、クラウド型のID基盤（IDaaS）です。シングルサインオン・多要素認証・パスキーによるパスワードレス認証・アクセス制限・ID管理を1つにまとめ、クラウドSaaSのログインとSSO／IdP連携の経路をカバーします。

認証方式は、FIDO2準拠のパスキーをはじめ、Windows HelloやTouch ID／Face IDなどの端末側生体認証、自社認証アプリ、ワンタイムパスワードに対応します。パスキーによるパスワードレス認証は全プランで無制限に使えるため、フィッシング耐性の高い方式を軸に据えやすい設計です。

アクセス制限は、端末・場所・時間の3つの軸で細かく設定できます。私用端末からのアクセス禁止や特定拠点のみ許可、時間帯による制御まで指定でき、労務管理や情報漏洩対策の観点でも使えます。また、VPNやリモートデスクトップへの多要素認証は、同社の別サービス（CloudGate MUROとYubiKeyを組み合わせたMAS）で提供されます。

料金は、2026年11月時点の公式料金ページで、Standard Plusが月額440円（税込）、Enterprise Plusが550円（税込）、Smart Packが660円（税込）のいずれも1ユーザーあたりの金額です（別途初期費用）。無料トライアルも用意されています。

出典・参考資料（2件）

• 出典：料金プラン｜CloudGate UNO
• 出典：CloudGate UNO 公式サイト

2. YubiKey as a Service（株式会社インターナショナルシステムリサーチ）

YubiKey as a Serviceは、Yubico社の物理セキュリティキー「YubiKey」を法人向けにサブスクリプションで提供するサービスです。買い切りではなく運用費として導入でき、契約期間中の予備キーや導入運用支援が付帯します。

キー本体はFIDO2／WebAuthnに対応し、端末内に秘密鍵を保持してフィッシングに強い認証を実現します。機種によってはスマートカード（PIV）やOATHのワンタイムパスワードにも対応し、ティアはFIDOのみのベース、マルチプロトコルのアドバンスド、FIPS認定のコンプライアンスから選べます。アドバンスドではWindows端末の認証にも使えます。

スマートフォンを業務で使えない現場や、フィッシング耐性の高い物理キーをそろえたい組織に向きます。VPNやリモートデスクトップの認証は、同社のID基盤と組み合わせたMASとして提供されます。最低200ユーザーからの3年または5年契約で、料金は選ぶキーに応じた個別見積もりです。

出典・参考資料（1件）

• 出典：YubiKey as a Service｜CloudGate

多要素認証・二要素認証・二段階認証の違い

最後に、用語を簡単に整理しておきます。多要素認証（MFA）は、知識情報（パスワードなど）・所持情報（スマートフォンやトークンなど）・生体情報（指紋や顔など）という3つの要素のうち、2つ以上の異なる種類を組み合わせる認証です。

二要素認証は、このうち2つの要素を使う方式で、多要素認証の一種です。一方、二段階認証は要素の種類を問わず認証を2回行う方式を指し、パスワードを2回入力するような同じ種類の繰り返しも含みます。種類の異なる要素を組み合わせる多要素認証のほうが、1つの要素が破られても突破されにくくなります。

まとめ

多要素認証をセキュアアクセスに活かす鍵は、守りたい入口を先に決めることです。VPNはRADIUS連携、クラウドSaaSとSSOはIdP側への集約、Windowsログオンやリモートデスクトップは端末側への追加——と経路ごとに組み込み方が異なり、対応する製品も変わります。

フィッシングを強く警戒するならパスキー（FIDO2）対応を軸に、複数の経路をまとめて守るならSSO・多要素認証・アクセス制限を一体にしたID基盤を軸に検討すると、候補を絞り込みやすくなります。気になる製品は資料を取り寄せ、対応経路と料金を実際に突き合わせてみてください。

よくある質問（FAQ）

Q. 多要素認証（MFA）とは何ですか？

A. 多要素認証（MFA）とは、知識情報（パスワードなど）・所持情報（スマートフォンやトークンなど）・生体情報（指紋や顔など）という異なる種類の要素を2つ以上組み合わせて本人を確認する認証方式です。1つの要素が盗まれても、種類の違う別の要素がそろわなければログインできないため、ID・パスワードだけの認証よりも不正ログインやフィッシングに強くなります。

Q. VPNに多要素認証を追加するにはどうすればよいですか？

A. VPNへの多要素認証の追加は、VPN機器が認証判定を委譲するRADIUSサーバを、多要素認証に対応したサーバ（またはエージェント）に置き換える方法が一般的です。VPN機器はRADIUSクライアントとして資格情報を認証サーバへ転送するため、その判定部分にワンタイムパスワードやプッシュ承認を足せば、VPN機器自体を入れ替えなくてもMFAを組み込めます。

製品選びでは、既存のVPNとのRADIUS連携に対応しているかを対応仕様で確認しましょう。

Q. 既存のSSO（IdP）に多要素認証をまとめて課せますか？

A. 既存のSSOでは、認証基盤であるIdP側で一度多要素認証を課せば、連携する各クラウドのログインにまとめて適用できます。SAML 2.0やOpenID Connectで連携する各SaaSは、IdPの認証結果を信頼してログインを通すため、経路ごとにMFAを設定して回る必要がなく、IdPという1か所に認証を集約できます。自社のIdPと製品がこれらの標準でつながるかを確認してください。

Q. フィッシングに強い多要素認証の方式はどれですか？

A. 多要素認証のうちフィッシングに最も強いのは、パスキー（FIDO2／WebAuthn）による認証です。公開鍵暗号を使い、登録したサイトにのみ応答する設計のため、偽サイトでは有効な署名が得られずフィッシングが成立しません。

一方、ワンタイムパスワードやSMSのコードは、本物そっくりの偽サイトに入力させて盗む中間者型攻撃や、承認依頼を連打して押させるMFA疲労攻撃で突破されることがあります。NISTのデジタルID指針（SP 800-63B）も、認証保証レベルAAL2でフィッシング耐性のある認証オプションの提供を求めています。

Q. スマートフォンを使わない環境でも多要素認証は導入できますか？

A. スマートフォンがなくても、USBやNFCで接続する物理セキュリティキーや、ワンタイムパスワードを表示する専用のハードウェアトークンを使えば多要素認証を導入できます。製造現場やコールセンターなど私物スマホの持ち込みを制限する環境では、FIDO2対応の物理セキュリティキーが有力な選択肢です。

端末に紐づくため紛失・持ち出しの管理と相性がよく、機種によってはWindowsログオンやリモートデスクトップの認証にも使えます。

Q. Microsoft 365やAWSなどのクラウドサービスに多要素認証を導入するには？

A. クラウドSaaSへの多要素認証は、各SaaSが標準で備えるMFAを個別に有効にする方法と、SSO／IdP経由でまとめて課す方法の2通りがあります。利用するSaaSが数個であればサービスごとの設定でも回りますが、数が増えるほど設定と運用が分散します。複数のクラウドを使う環境では、IdP側に認証を集約するほうが管理しやすくなります。

Q. 多要素認証の導入にかかる費用の目安はどのくらいですか？

A. 多要素認証の費用は製品の提供形態で分かれ、クラウド型のID基盤（IDaaS）は1ユーザーあたり月額数百円程度のサブスクリプション型が中心です。製品ごとの具体的な金額（初期費用の有無を含む）は、本記事の比較表の「料金目安」で確認できます。

物理セキュリティキーを使う場合は、キー本体の費用や契約期間・最低ユーザー数が加わり、個別見積もりで決まることが多くなります。対応する経路とあわせて料金を確認しましょう。

多要素認証（MFA）システムの料金・資料を一括チェック

MCB FinTechカタログでは、VPN・クラウド・SSOの多要素認証に対応するサービスの最新資料を無料で一括請求できます。対応するアクセス経路・認証方式・料金をまとめて比較できます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。