社内のWindowsパソコンが、IDとパスワードだけでサインインできる状態になっている企業は少なくありません。パスワードが漏れれば第三者でもログインでき、リモートデスクトップ接続が外部からの侵入口になることもあります。こうしたリスクを抑えるために、Windowsのログインを多要素認証（MFA）で強化したいと考える情報システム担当者が増えています。
多要素認証を検討するとき、最初に迷うのが「Windowsの標準機能だけで足りるのか、それとも専用の製品が必要なのか」という点です。Windows Hello for BusinessやMicrosoft Entra IDの多要素認証でどこまでできるのか、専用のログオン製品は何を補うのかが分かれば、自社が取るべき手段を判断できます。
本記事では、Windowsのサインインに多要素認証を足す手段を整理し、標準機能と専用製品の違い、リモートデスクトップやActive Directoryの有無といった環境ごとの導入可否、認証方式や費用の目安までを解説します。自社のWindowsログインをどう強化するか検討している方は、ぜひ参考にしてください。
目次
一括ダウンロードする
Windowsログインの多要素認証とは？まず結論：足す手段は3つ
Windowsログインの多要素認証とは、Windowsのサインイン画面で、パスワードに加えてもう1つの要素（スマートフォンでの承認、生体認証、物理的なキーなど）による本人確認を求める仕組みです。クラウドサービスへのログインにかける多要素認証とは異なり、パソコンのOSへのサインインそのものを保護する点が特徴です。
Windowsのサインインにもう1つの要素を足す手段は、大きく次の3つに整理できます。このうちサインイン画面そのものを二要素化するのはWindows Hello for Businessと専用製品で、Microsoft Entra IDの多要素認証はそのあとのリソースへのアクセスを守る補完的な役割だと押さえると、違いを読み取りやすくなります。
- Windows Hello for Business（標準機能）：パスワードの代わりに、端末に保存した鍵とPINまたは生体認証を組み合わせてサインインします。マイクロソフトは、生体認証またはPINを使ってサインインできる認証技術で、フィッシング耐性のある二要素認証を提供するものと位置づけています。
- Microsoft Entra ID（旧Azure AD）の多要素認証と条件付きアクセス（標準機能）：Microsoft Entra IDに参加した端末では、サインインした本人のIDがクラウドや社内のリソースにアクセスする際に、多要素認証やデバイスの準拠状態を条件として求められます。OSのロック画面で毎回2つ目の要素を追加入力させる機能ではなく、サインイン済みのIDがリソースやアプリにアクセスするときの制御を担います。
- 専用のWindowsログオン製品：Windowsのサインイン画面に、OTPアプリ・物理セキュリティキー・ICカード・顔認証などの要素を後付けする製品です。Active Directoryが無い環境やパソコン1台からの導入、リモートデスクトップへの対応など、標準機能では届きにくい範囲を補います。
このうち、OSへのサインインそのものを二要素化する中心的な役割を担うのはWindows Hello for Businessです。Microsoft Entra IDの多要素認証と条件付きアクセスは、そのIDがリソースやアプリにアクセスする際の制御を受け持ちます。両者は重なり合いながら使うもので、専用製品はそれでも足りない環境を埋める選択肢と捉えると整理しやすくなります。
Windows Hello（for Business）は二要素認証になるのか
Windowsのサインイン強化を調べていると必ず迷うのが、「Windows Helloを設定すれば二要素認証になるのか」という点です。結論は、法人向けのWindows Hello for Businessは二要素認証に該当し、個人向けの簡易なPIN（便利なPIN）は二要素認証にならないという区別が重要になります。
Windows Hello for Businessは、端末に保存された鍵（本人が所有しているもの）と、その鍵のロックを解除するPINまたは生体認証（本人が知っていること・本人自身の特徴）を組み合わせます。マイクロソフトの公式ドキュメントでも、二要素認証として明記されています。
Windows Hello for Businessは、デバイス固有の資格情報と生体認証または PIN ジェスチャを組み合わせた 2 要素認証方法を使用します。 Windows Hello for Business は、これらの認証要素のうち、ユーザーが所有しているもの (デバイスのセキュリティ モジュールによって保護されるユーザーの秘密キー) とユーザーが知っていること (ユーザーの PIN) の 2 つを実装しています。
出典：Windows Hello for Business の概要｜Microsoft Learn
一方で、個人のパソコンで手軽に設定するPIN（マイクロソフトが「便利なPIN」と呼ぶもの）は、サインインを簡単にする手段にすぎません。内部ではパスワードによる認証が引き続き使われるため、二要素認証にはあたりません。
便利な PIN を使用すると、パスワードよりも簡単に Windows にサインインできますが、認証にはパスワードが引き続き使用されます。 適切な利便性 PIN が Windows に提供されると、パスワード情報がキャッシュから読み込まれ、ユーザーが認証されます。
出典：Windows Hello for Business に関してよく寄せられる質問 (FAQ)｜Microsoft Learn
同じ「Windows Hello」でも、組織で管理するWindows Hello for Businessとして展開すれば二要素認証になり、個人が手元で設定する便利なPINのままでは二要素になりません。自社でパスワード以外の要素を必ず求めたい場合は、Windows Hello for Businessとして組織に展開するか、後述の専用製品を使う必要があります。
標準機能と専用製品はどう違う？
ここからは、標準機能でどこまでできるのかを示したうえで、専用製品との違いを整理します。「標準で足りるのか、専用製品が要るのか」を判断する材料になります。
標準機能（Windows Hello for Business／Entra IDの多要素認証）でどこまでできるか（到達点と限界）
Windows Hello for Businessは、Windows Pro・Enterprise・Educationの各エディションで利用でき、Microsoft Entra IDのアカウントやActive Directoryのアカウントに対して認証できます。端末の鍵とPINや生体認証でOSへのサインインを二要素化できるため、標準機能だけでもWindowsログインの多要素化は実現可能です。
資格情報は端末のセキュリティモジュール（TPMなど）に保存され、どこにも送信されません。PINは端末内で鍵のロックを解除する役割にとどまります。そのため、インターネットに接続していない端末でも、ローカルでのサインインやロック解除は機能します。
ただし、標準機能には環境による限界もあります。リモートデスクトップ接続では、鍵による認証はそのままでは使えず、証明書を配布して利用できるようにする必要があります。
リモート デスクトップ プロトコル (RDP) では、指定された資格情報としてのキーベースの認証の使用はサポートされていません。 ただし、キー信頼モデルに証明書をデプロイして RDP を有効にすることはできます。
出典：Windows Hello for Business に関してよく寄せられる質問 (FAQ)｜Microsoft Learn
また、オフラインでサインインできるのは端末ローカルの範囲に限られ、初回のサインインや、オンプレミスのActive Directoryで保護されたリソースへのアクセス、パスワードの変更などではドメインコントローラーへの接続が必要です。標準機能は便利ですが、こうした前提や、対応エディション・既存のID基盤に合わせた準備が求められます。
出典・参考資料（2件）
専用製品が要るのはどんな場合か（標準では届かない範囲）
専用のWindowsログオン製品が向くのは、標準機能の前提が自社環境に合わない場合です。たとえば、Active Directoryを使っていない、パソコンが数台だけ、スマートフォンを配っていない従業員がいる、といった環境でも、サインイン画面に物理キー・ICカード・顔認証などの要素を後付けできます。
また、離席時の自動ロックと復帰時の再認証、パソコンの前に本人がいることを使用中ずっと確認し続ける継続的な本人確認など、標準機能にはない運用面の機能を備えた製品もあります。既存のWindowsログインを変えずに監視機能だけを追加できる製品もあり、段階的な導入がしやすいのが特徴です。
標準機能と専用製品の主な違いを、オフラインでのサインイン・リモートデスクトップ・Active Directoryの要否・対応OS・認証方式の観点で整理すると、次のようになります。
| 比較の観点 | オフラインでのサインイン | リモートデスクトップ（RDP） | Active Directory（オンプレ）の要否 | 対応OS | 主な認証方式 |
|---|---|---|---|---|---|
| 標準機能（Windows Hello for Business／Entra IDの多要素認証） | 端末ローカルのサインイン・ロック解除は機能。初回サインインやオンプレADリソースへのアクセス、パスワード変更はドメインコントローラーへの接続が必要 | 鍵認証は不可。証明書を配布すれば利用可。Entra参加デバイスへのRDPには条件付きアクセスを適用でき、RDゲートウェイとNPS拡張機能でMFAを課すルートもある | Entra ID参加のクラウド中心構成ならオンプレADは必須でない。既存のAD・ハイブリッド構成にも対応 | Windows Pro・Enterprise・Educationで利用可 | 端末の鍵＋PIN／生体認証。Entra IDの多要素認証ではアプリでの承認やOTPなども利用 |
| 専用のWindowsログオン製品 | 製品により対応が分かれる。スマホ近接・顔認証など端末単体で完結する方式もあれば、ネットワーク接続を前提とする方式もある | 製品により対応が分かれる。RDP・VDIのサインオンに対応する製品もあれば、物理PCの前での利用を前提にRDP非対応の製品もある | AD環境に組み込む製品と、ADが無い・スタンドアロンの端末にも導入できる製品がある | 対応するWindowsのバージョンは製品ごとに異なる。Windows Serverに対応する製品もある | OTP・プッシュ通知・FIDO2／パスキー・ICカード・物理セキュリティキー・顔／指紋／指静脈など、製品により幅広い |
※上記は一般的な傾向です。個別の対応可否や提供形態は各社・各公式ドキュメントの最新情報をご確認ください。
自社の環境で導入できるか（Windows Server／リモートデスクトップ／AD無し・PC1台／オフライン）
標準的なドメイン参加のパソコンであれば、Windows Hello for BusinessやMicrosoft Entra IDの多要素認証で比較的素直に多要素化できます。ここでは、それ以外で現場が詰まりやすい条件ごとに、標準機能と専用製品のどちらで対応できるかを整理します。
Windows Server・リモートデスクトップ（RDP）のログオン
リモートデスクトップ接続やサーバーへのサインインを多要素化したい場合、標準機能にもいくつかのルートがあります。先に触れたとおり、Windows Hello for Businessは証明書の配布でRDPに対応でき、Microsoft Entra IDに参加した端末へのRDP接続には条件付きアクセスを適用できます。
マイクロソフトの公式ドキュメントでは、リモートデスクトップのアプリケーションに条件付きアクセスのポリシーを適用できると説明されています。さらに、RDゲートウェイとネットワークポリシーサーバー（NPS）の拡張機能をMicrosoft Entra IDと統合して、多要素認証を課す構成も用意されています。
専用製品では、既存のVPNやRDPへ後付けで多要素認証をかけられる製品があり、リモートデスクトップ接続のサインオンに対応するものもあります。一方で、パソコンの前に本人が物理的にいることを前提とし、リモートデスクトップ経由のログインには対応しない製品もあるため、RDPを守りたい場合は対応可否を個別に確認する必要があります。
出典・参考資料（2件）
ADが無い・パソコンが数台でも始められるか
Active Directoryを運用していない小規模な環境でも、Windowsログインの多要素化は可能です。標準機能では、オンプレミスのADを持たず、Microsoft Entra IDに参加するクラウド中心の構成でもWindows Hello for Businessを利用できます。ただし、パソコン1台からの導入可否や最小構成の具体的な条件は、利用するライセンスや展開方式によって変わります。
専用製品のなかには、ADを必要とせず、パソコン1台から導入できるものもあります。スタンドアロンの端末に直接インストールして使う製品や、既存の社員証ICカードを流用して認証に使える製品もあり、サーバーの準備が難しい環境でも始めやすくなっています。
オフライン端末での扱い
ネットワークに常時接続していない端末では、オフラインでの認証可否が重要になります。Windows Hello for Businessは、資格情報が端末内に保存されるため、インターネットに接続していない状態でもローカルでのサインインやロック解除は機能します。
マイクロソフトは、オンプレミスの展開とインターネット接続を必要としない多要素認証プロバイダーを組み合わせることで、インターネットから切り離された環境でも利用できると説明しています。
ただし前述のとおり、初回のサインインやオンプレミスADのリソースへのアクセス、パスワードの変更などではドメインコントローラーへの接続が必要です。専用製品の場合は、端末単体で認証が完結する方式もあれば、認証サーバーとの通信を前提とする方式もあるため、持ち出し用のパソコンに導入するなら、オフライン時の挙動を確認しておくと安心です。
認証方式と認証頻度の制御
Windowsログインの多要素認証で選べる認証方式には、次のようなものがあります。従業員の働き方や、スマートフォンの貸与状況に合わせて選ぶことが大切です。
- ワンタイムパスワード（OTP）：スマートフォンのアプリや専用のトークンに表示される一度限りのパスワードを入力します。
- プッシュ通知による承認：スマートフォンアプリに届く通知を承認するだけで認証が完了します。操作が数秒で済みます。
- FIDO2／パスキー：端末やセキュリティキーに保存した鍵でパスワードなしに認証します。フィッシングに強い方式です。
- ICカード・物理セキュリティキー：USBやNFCで接続する物理的なキーや、社員証などのICカードをかざして認証します。スマートフォンを業務で使わない従業員にも導入しやすい方式です。
- 生体認証：顔・指紋・指静脈などで本人を確認します。Windows Hello for Businessの生体認証もこの枠に含まれます（PINは本人が知っている要素にあたります）。
このうち物理セキュリティキーと生体認証は、仕組みや種類を押さえておくと、自社の従業員に合う方式を選びやすくなります。それぞれの基礎は、以下の記事で詳しく解説しています。
認証方式とあわせて確認しておきたいのが、認証を求める頻度です。毎回のサインインで必ず2つ目の要素を求めると安全性は高まりますが、業務の負担も増えます。Microsoft Entra IDの条件付きアクセスでは、サインインの頻度をポリシーで調整できます。
専用製品でも、離席を検知したときだけ再認証を求めるなど、業務を止めずに安全性を保つ工夫が用意されている場合があります。自社の運用に合わせて、安全性と使い勝手のバランスを取ることが重要です。
導入の進め方と費用の目安
Windowsログインの多要素認証は、全社へ一度に展開するよりも、重要度の高い範囲から段階的に始めるのが現実的です。ここでは導入の進め方と、確認しておきたいポイント、費用の考え方を整理します。
段階導入の順序
まずは被害が大きくなりやすい範囲から保護するのが基本です。多くの場合、サーバーや管理者アカウントから着手し、続いて機密情報を扱う重要端末、最後に一般の業務端末へと広げていきます。小さく始めて実際の操作感を確かめながら対象を広げると、現場の混乱を抑えられます。標準機能で始める場合も専用製品を導入する場合も、この順序で優先度を付ける考え方は共通です。
標準機能で始める場合は、Windows Hello for Businessを有効にする入口が環境によって分かれます。Microsoft Intuneなどのデバイス管理（MDM）で管理する端末では、構成サービスプロバイダー（CSP）のポリシーで設定します。
ドメインに参加した端末では、グループポリシー（コンピューターの構成＞ポリシー＞管理用テンプレート＞Windowsコンポーネント＞Windows Hello for Business）で設定します。
あわせて、クラウド専用・ハイブリッド・オンプレミスの3つの展開方式から、自社の構成に合うものを選びます。多要素認証の2つ目の要素は、クラウド専用・ハイブリッドの構成ではMicrosoft Entraの多要素認証を使うのが基本です。必要に応じて、Microsoft Entra IDの条件付きアクセスで追加のアクセス制御を組み合わせます。
画面ごとの具体的な設定手順は環境やバージョンによって変わるため、本記事では詳細を再掲せず、マイクロソフトの公式ドキュメントで最新の手順を確認しながら進めることをおすすめします。展開方式の選び方や必要なライセンス・対応OSは、以下の計画ガイドにまとまっています。
専用製品を選ぶときに確認するポイント
専用製品を比較するときは、前の章で挙げた観点を自社の環境に当てはめて確認しましょう。具体的には、オフラインでの認証可否、リモートデスクトップへの対応、Active Directoryの要否、対応するWindowsのバージョン、選べる認証方式、そして導入後の運用に必要な体制です。これらが自社の条件に合うかどうかが、製品選びの分かれ目になります。
費用の目安
費用は手段によって考え方が異なります。標準機能を使う場合は、Windows Hello for Businessが利用できるWindows Pro・Enterprise・Educationのライセンスに加え、Microsoft Entra IDの条件付きアクセスを使うなら対応するEntra IDのプラン費用が中心になります。
専用製品の場合は、ライセンス費用に加えて、物理キーやICカードの購入費、導入支援の費用が発生することがあります。
クラウド型のサービスは、1ユーザーあたり月額数百円〜1,000円台から始まるものが中心です。物理キーや専用ソフトは、利用規模や認証方式によって変動するため個別見積もりが基本です。
主要な製品の具体的な料金は、次の章の比較表に一覧化しています。公開されていない製品は、資料請求や問い合わせで費用感を確認するとよいでしょう。
一括ダウンロードする
Windowsログインの多要素認証に使えるサービス
ここからは、Windowsのサインインの多要素化・パスワードレス化に使えるサービスを紹介します。物理キーやWindows向けのパスワードレスソフト、既存環境へ後付けできる製品まで、対応環境や認証方式はさまざまです。まずは全体を見渡せるよう、主なサービスを比較表で整理します。
以下は、Windowsログインの多要素認証に使える主なサービスの比較表です。
| 比較項目 | YubiKey as a Service | DZ Pass | Microsoft Entra ID | Cisco Secure Access by Duo | RSA ID Plus | PassLogic | Soliton OneGate | Okta | JumpCloud | OneLogin | SafeNet Trusted Access | Entrust Identity | SmartSESAME PCログオン | SmartOn ID |
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| Windowsサインインへの対応方式 | 物理セキュリティキー（FIDO2／PIVスマートカード）でWindows端末認証。公式アドバンスドtierが「オンプレミス環境・Windows端末認証」を明示 | スマホ近接＋顔認証でWindowsへパスワードレス自動ログイン。「Windows標準モード」で既存ログインに監視だけ追加も可 | Windows Hello for Business／Entra参加デバイスのサインインにMFA・パスワードレス（パスキー・生体・PIN）を適用 | Duo Authentication for Windows Logonでサインインに後付けMFA | RSA MFA Agent for Microsoft WindowsでWindowsログオンにMFA付加 | Windows OSのサインイン時の認証をPassLogic認証にして強化（公式案内） | スマホ多要素認証（所持＋生体）でPCログオン時の認証も強化（公式テーマページ）。PCログオン認証は同社SmartOn IDとの連携が前提 | Okta Device Access（Desktop MFA for Windows）でサインイン画面にMFA付加。Windows 11／10 21H2以降・AD／Entra参加・MDM配布が前提 | エージェント型でWindowsデバイスログインにMFA（TOTP等）を適用 | Desktop MFA（Businessプラン以上）でWindowsデスクトップログインに多要素認証 | VDI（Windowsセッション）のサインオンを保護（物理PCのWindowsログオンの可否は公式情報を確認） | スマートカードによるWindowsスマートカードログオン（証明書信頼チェーンのエクスポート・UPN自動設定。PIN／生体ログインも可） | Windowsログオン／スクリーンロック解除にICカード・顔・指紋・指静脈の多要素／二要素認証を付加 | Windowsサインインに顔・指紋・指静脈・ICカードの多要素認証を付加（顔＋ICのパスワードレスも可） |
| リモートデスクトップ(RDP) | △VPN／RDPは別製品MAS（CloudGate MURO＋YaaS）で対応 | ×リモートデスクトップ非対応（物理PC前提） | ●Entra参加デバイスへのRDPに条件付きアクセス適用可。RDゲートウェイ＋NPS拡張でMFAも可 | ●Windowsログオン・RDPに対応 | △VDI・RADIUS連携で対応（RADIUSはE1プラン以上） | △VDI対応（RADIUS／SAML連携） | 要問い合わせ（保護対象はクラウド／社内システム／VPN／Wi-Fi中心） | ×RDPアクセスは非対応（公式明記） | 要問い合わせ（公式情報を確認） | 要問い合わせ（公式情報を確認） | △VDI対応（RADIUS／エージェント／アプリゲートウェイ） | 要問い合わせ（公式情報を確認） | △VDI認証への導入事例あり（RDP対応可否は公式情報を確認） | △顔・指静脈はRDP対応／指紋・指ハイブリッドは非対応 |
| 主な認証方式 | FIDO2／WebAuthn・PIV・OATH（物理キー所持要素） | 顔認証＋スマートフォン認証（バックグラウンド認証®）／顔認証のみ／既存認証＋監視 | Authenticator（プッシュ／番号一致）・パスキー(FIDO2)・Windows Hello・証明書・OTP・SMS／音声 | Duo Push／Verified Push・FIDO2／パスキー・生体・OTP・電話／SMS・ハードウェアトークン | ハード／ソフトトークン・プッシュ・生体・FIDO2／パスキー・OTP(SMS／音声)・QRコード | マトリックス認証（ブラウザ完結OTP）ほか全9種（知識／所有物／生体） | デジタル証明書＋FIDO2／顔認証／ICカード／スマホ認証／パスワード | Okta Verify Push／TOTP・FIDO2セキュリティキー・RSA SecurID（オフラインはWindows Hello等） | プッシュ（JumpCloud Protect）・TOTP・WebAuthn／パスキー・JumpCloud Go | OneLogin Protect（プッシュ／OTP）・WebAuthn(FIDO2)・生体(Windows Hello等)・SMS／メール／音声 | OTP(ソフト／ハード)・プッシュ・FIDO・PKI証明書／スマートカード・パターン／グリッド・SMS／メール／音声 | OTP・プッシュ・FIDO2／パスキー・PKI証明書・スマートカード／USBトークン・AI顔認証・グリッドカード | ICカード・顔認証・指紋・指静脈（＋ID／パスワード） | 顔認証・指紋・指静脈・指ハイブリッド・ICカード |
| 提供形態 | 物理セキュリティキーのサブスクリプション（法人向け） | Windows PCインストール型（オンプレミス）＋スマホアプリ | クラウド（IDaaS） | クラウド（SaaS） | クラウド／ハイブリッド／オンプレミス | クラウド／オンプレミス／専用サーバー型クラウド | クラウド型認証基盤（IDaaS） | クラウド（IDaaS） | クラウド型ディレクトリ（IDaaS＋MDM） | クラウド（IDaaS） | クラウド（IDaaS） | クラウド（IDaaS）／オンプレ（Identity Enterprise） | オンプレミス（スタンドアロン版／Active Directory版） | オンプレミス版／クラウド版 |
| 費用 | 要問い合わせ（200ユーザーから、3年または5年契約） | 非公開・要問い合わせ | 初期費用0円／P1 ¥1,049・P2 ¥1,499（ユーザー／月、年払い）。Freeプランあり | Free $0（10ユーザーまで）／Essentials $3・Advantage $6・Premier $9（いずれも／ユーザー月、USD） | 要問い合わせ（目安 $3〜$7／月・ユーザー、プラン別。日本価格は代理店見積もり） | クラウド版 月額480円／ID（初期10,000円・最小10ID）／パッケージ版 月額最大408円／ID | 月額150〜600円／ユーザー（PKI150・ベーシック300・スタンダード600）。初期は要問い合わせ | 940円〜／ユーザー月（Starter、年契約・最低24万円／年）。Device AccessはProfessional以上またはアドオン（要問い合わせ） | 要問い合わせ（Device Management $9〜・MFA $3〜／ユーザー月、USD・年払い） | 初期費用 ¥20,000（税抜、代理店により異なる）／月額 要問い合わせ（公式 Basic $3・Essentials $6・Business $10） | 要問い合わせ（トークン・サポート込みのall-inclusiveライセンスを訴求） | 要問い合わせ（個別見積もり） | 要問い合わせ（PC台数ライセンス・最低10ライセンス） | クラウド版 月額〜300円／ユーザー（初期15万円・最低300ライセンス）／オンプレ版 要問い合わせ |
| 詳細情報 | 公式資料を見る | ミーティングを予約する | 公式資料を見る | 公式資料を見る | 公式資料を見る | 公式資料を見る | 公式資料を見る | 公式資料を見る | 公式資料を見る | 公式資料を見る | 公式資料を見る | 公式資料を見る | 公式サイト | 公式サイト |
※表の記号は ●対応／△条件付き・一部対応／×非対応 を表します。VDIは仮想デスクトップ基盤を指します。費用は各社の公開情報にもとづく目安（2026年11月時点）で、通貨（円・ドル）・課金単位・契約条件は製品により異なります。対応状況・料金は変動するため、導入前に各社の公式情報・最新資料をご確認ください。
続いて、上記のうち、物理セキュリティキーとWindows向けのパスワードレスソフトという異なる方式の代表として、2つのサービスを個別に紹介します。他の製品の対応状況は、上の比較表で確認できます。
1. YubiKey as a Service（株式会社インターナショナルシステムリサーチ）
YubiKey as a Serviceは、物理セキュリティキー「YubiKey」を法人向けにサブスクリプション型で提供するサービスです。株式会社インターナショナルシステムリサーチが、開発元のYubico社との提携にもとづき日本で提供しています。キー本体の提供だけでなく、導入前のキー選定から導入後のサポートまでを一体で受けられる点が特徴です。
YubiKeyはFIDO2／WebAuthn、スマートカード（PIV）、OATHのワンタイムパスワードなど複数の規格に対応し、デバイス内に秘密鍵を保持するフィッシング耐性の高い認証を実現します。オンプレミス環境やWindows端末の認証など、複数のプロトコルが必要な場面で選ばれるモデルも用意されています。スマートフォンを業務で使わない従業員にも配りやすい、物理キーならではの方式です。
どのような環境でこの物理キー方式が選ばれているのかについて、提供元である株式会社インターナショナルシステムリサーチの内田氏は、次のように述べています。
派遣社員や外部委託先が多い企業、または屋外の建設現場やメンテナンス現場など、スマートフォンの使用が困難な環境を有する企業に適しています。YubiKeyは、水に落としても泥が付いても壊れないため、過酷な環境下でも安定して動作します。
契約期間は3年または5年で、200ユーザーからの提供です。料金は選択するティアや配布条件、サポート内容に応じて変動するため、個別見積もりが基本となります。
2. DZ Pass（株式会社AnchorZ）
株式会社AnchorZが提供するDZ Passは、Windowsパソコン向けのパスワードレス認証・情報漏えい対策ソフトウェアです。スマートフォンをセキュリティトークンとして使い、顔認証と組み合わせた継続的な本人確認によって、パスワードを入力せずにサインインできます。サインイン後も本人確認を続け、離席や覗き見、なりすましを検知して画面をロックする機能を備えています。
この継続的な本人確認について、株式会社AnchorZ代表取締役CEOの徳山氏は、従来のログイン認証との違いを次のように説明しています。
このデータをもとに、ご本人がスマートフォンを操作していることを利用中ずっと継続して保証し続けます。従来のように使い始める前に一度だけ確認する「ログイン認証」ではなく、使っている間ずっと本人性を担保し続ける「継続認証」である点が、この技術の一番の特徴です。DZ Passは、この継続認証をパソコンの世界に持ち込んだ製品です。
動作モードは、顔認証とスマートフォン認証を組み合わせるスタンダードモード、顔認証のみのライトモード、既存のWindowsログインを変えずに監視機能だけを追加するWindows標準モードの3つから選べます。
Active Directoryが無い環境やパソコン1台からでも始められる一方、リモートデスクトップ経由のログインには対応せず、パソコンの前での利用が前提となります。料金はオープンプライスで、ミーティング予約を通じて確認できます。
ここではWindowsログインの保護に直接使えるサービスを取り上げました。認証方式や料金、タイプ別の選び方まで含めて多要素認証システム全般を比較したい場合は、以下の記事で17のサービスを徹底比較しています。
多要素認証（MFA）システムおすすめ17選を徹底比較｜認証方式・料金・タイプ別の選び方
ID とパスワードだけのログインは、もはや「鍵をかけていない」のと同じ状態に近づいています。攻撃者は流出したパスワードのリストを使い回し、本物そっくりの偽サイトで認証情報を抜き取り、正規利用者になりすまして社内システムやクラウドサービスへ侵…
まとめ
Windowsのログインを多要素認証で強化する手段は、Windows Hello for Business、Microsoft Entra IDの多要素認証と条件付きアクセス、そして専用のWindowsログオン製品の3つに整理できます。
OSへのサインインそのものを二要素化する中心は、法人向けのWindows Hello for Businessです。個人向けの便利なPINは二要素認証にならない点に注意が必要です。
標準機能でも多くの環境で多要素化できますが、リモートデスクトップやActive Directoryが無い環境、オフライン端末などでは前提や準備が必要になります。専用製品は、こうした標準機能では届きにくい範囲や、継続的な本人確認といった運用面を補う選択肢です。
まずは自社の環境を、オフライン・リモートデスクトップ・ADの有無・対応OS・認証方式の観点で確認し、標準機能で足りるか、専用製品が必要かを見極めることが、最初の一歩になります。
一括ダウンロードする
よくある質問（FAQ）
Q. Windowsログインの多要素認証とは何ですか？
A. Windowsログインの多要素認証とは、Windowsのサインイン画面で、パスワードに加えてスマートフォンでの承認・生体認証・物理的なキーなどによる本人確認を求める仕組みです。クラウドサービスへのログインにかける多要素認証とは異なり、パソコンのOSへのサインインそのものを保護する点が特徴で、万一パスワードが漏れても第三者だけではサインインできない状態をつくれます。
Q. Windows Helloを設定すればWindowsログインは二要素認証になりますか？
A. Windows Helloは、法人向けのWindows Hello for Businessとして組織に展開すれば二要素認証になり、個人向けの便利なPINのままでは二要素認証になりません。
Windows Hello for Businessは、端末に保存した鍵（所有している要素）とPINまたは生体認証（本人が知っている・本人自身の要素）を組み合わせるため二要素認証に該当します。一方、個人のパソコンで手軽に設定する便利なPINは、内部でパスワード認証が使われ続けるため、二要素にはあたりません。
パスワード以外の要素を必ず求めたい場合は、Windows Hello for Businessとして組織に展開するか専用製品を使う必要があります。
Q. Windowsログインを多要素認証にするには、必ず専用製品を購入する必要がありますか？
A. 必ずしも専用製品は必要なく、Windows Hello for BusinessやMicrosoft Entra IDの多要素認証といった標準機能だけでもWindowsログインの多要素化は可能です。
ただし、Active Directoryを使っていない、パソコンが数台だけ、リモートデスクトップを守りたい、スマートフォンを配っていないといった標準機能の前提に合わない環境では、サインイン画面に物理キー・ICカード・顔認証などの要素を後付けする専用のログオン製品が有力な選択肢になります。
Q. Windows Serverやリモートデスクトップ（RDP）のログインも多要素認証にできますか？
A. Windows Serverやリモートデスクトップのサインインも多要素認証にできますが、標準機能では証明書の配布や条件付きアクセスなどの準備が必要です。Windows Hello for Businessはそのままでは鍵による認証をRDPに使えず証明書の配布が要り、Microsoft Entra IDに参加した端末へのRDP接続には条件付きアクセスを適用できます。
専用製品にもRDP・VDIのサインオンに対応するものがありますが、パソコンの前での利用を前提にRDP非対応の製品もあるため、RDPを守りたい場合は対応可否を個別に確認してください。
Q. Active Directoryが無い・パソコンが数台だけの環境でもWindowsログインの多要素認証を導入できますか？
A. Active Directoryが無い小規模な環境でも、Windowsログインの多要素化は可能です。標準機能では、オンプレミスのADを持たずMicrosoft Entra IDに参加するクラウド中心の構成でもWindows Hello for Businessを利用できます。
専用製品にも、ADを必要とせずパソコン1台から導入できるものや、既存の社員証ICカードを流用して認証に使えるものがあり、サーバーの準備が難しい環境でも始めやすくなっています。
Q. Windowsログインの多要素認証はオフライン環境でも使えますか？
A. オフラインでも端末ローカルのサインインやロック解除は機能しますが、操作や方式によってはネットワーク接続が必要です。Windows Hello for Businessは資格情報が端末内に保存されるため、インターネットに接続していない状態でもローカルのサインインは機能します。
ただし、初回のサインインやオンプレミスADのリソースへのアクセス、パスワードの変更ではドメインコントローラーへの接続が必要です。専用製品も端末単体で認証が完結する方式と認証サーバーとの通信を前提とする方式があるため、持ち出し用のパソコンに導入するならオフライン時の挙動を確認しておくと安心です。
Q. スマートフォンを業務で使わない従業員にもWindowsログインの多要素認証を導入できますか？
A. スマートフォンを使わない従業員には、ICカードや物理セキュリティキーなど、スマートフォン以外の方式を選べます。全員に同じ方式を適用する必要はなく、既存の社員証のICカードを流用したり、USBやNFCで接続する物理キーをかざしたりする方式であれば、スマートフォンを配っていない現場でもパスワード以外の本人確認を追加できます。
Q. 物理セキュリティキー（ハードウェアキー）とは何ですか？
A. 物理セキュリティキーとは、USBやNFCでパソコンに接続する物理的な認証デバイスで、差し込むかかざすだけで本人確認ができます。デバイスを物理的に所持していない限り認証できないため、リモートからの攻撃やフィッシングに強い方式です。スマートフォンを持たない・業務で使わない従業員にも配りやすく、FIDO2／パスキーやICカードと並んで、Windowsログインの多要素化で選ばれています。
Q. Windowsログインの多要素認証を入れると、毎回のログインが面倒になりませんか？
A. 認証を求める頻度や方式を調整すれば、業務の負担を抑えられます。スマートフォンアプリに届く通知を承認するだけのプッシュ通知方式なら操作は数秒で済み、Microsoft Entra IDの条件付きアクセスではサインインを求める頻度をポリシーで調整できます。専用製品にも、離席を検知したときだけ再認証を求めるなど、業務を止めずに安全性を保つ工夫が用意されているものがあります。
Q. クラウドサービスに多要素認証を導入していれば、Windowsログインの多要素認証は不要ですか？
A. クラウド側の多要素認証だけでは、社内のパソコンやサーバーへのOSログインは保護されず、リスクが残ります。Windowsのサインインがパスワードだけのままだと、端末を直接操作されたときや、リモートデスクトップ接続を経由した外部からの侵入を防ぎきれません。OSへのサインインそのものを多要素化することで、クラウドと端末の両面からの保護につながります。
Q. Windowsログインの多要素認証の導入に、既存システムの改修は必要ですか？
A. 標準機能は既存のWindows・ID基盤の範囲で設定でき、専用製品も多くは既存環境へ後付けで導入できます。Windows Hello for BusinessやMicrosoft Entra IDの多要素認証は、対応するエディション・ライセンスの範囲で有効化できます。
専用製品にも、既存のWindowsログインを変えずに監視機能だけを追加できるものなど、段階的に導入しやすい製品があります。改修の要否は構成によって変わるため、導入前に対応範囲を確認しておくと安心です。
Q. Windowsログインの多要素認証の導入にはどのくらいの期間がかかりますか？
A. 導入期間は、対象範囲・認証方式・既存環境によって変わるため一概には言えません。全社へ一度に展開するよりも、サーバーや管理者アカウントなど被害が大きくなりやすい範囲から段階的に始め、操作感を確かめながら対象を広げるのが現実的です。専用製品では対象環境や要件のヒアリングを経て構成とスケジュールが決まるため、具体的な期間は各社への問い合わせで確認するのが確実です。
多要素認証（MFA）システムの料金・資料を一括チェック
MCB FinTechカタログでは、Windowsログインの多要素認証に使えるサービスの最新資料を無料で一括請求できます。対応環境や認証方式、料金を比べて、自社に合う製品を検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
