Microsoftは、Windows Hello for Business(WHfB)またはmacOS Platform Single Sign-On(PSSO)でサインインするユーザーに対するMFAの扱いを変更します。
この展開は2026年10月上旬から世界中のテナントおよびGCCテナントに適用され、2026年11月下旬までに完了する見込みです。
Microsoftによると、この変更は「組織がフィッシング耐性のある認証方式の利用を拡大する」のに役立ち、より脆弱な認証方式への依存を減らすものだといいます。これはMicrosoft 365 Message Center ArchiveでMC1450134として追跡されているアップデートによるものです。
両方式は、プライマリサインイン時点で既にMFA要件を満たすことができます。ただし、特定のステップアップMFAプロンプトやAuthentication Strengthポリシー、サインイン頻度チェックに遭遇した際には、ユーザーが別の認証方式を登録・使用するよう求められることが依然としてあります。今回の展開が完了すれば、WHfBとmacOS PSSOは、追加のパスキーを登録しなくても、こうしたMFA要件を満たせるようになります。
WHfBまたはmacOS PSSOのみを登録済みMFA方式としているユーザーも、MFA対応済みとみなされるようになります。パスワード利用者について、WHfBまたはmacOS PSSOが既にMFA資格情報として登録されている場合、Entra IDは別のMFA方式の登録を促すプロンプトを表示しなくなります。
ただし、注意すべき点が一つあります。WHfBおよびmacOS PSSOの資格情報はデバイスに紐付けられているため、その資格情報が存在しない別のデバイスからMFAチャレンジを完了できない場合があるという点です。
Microsoftは、こうした状況に備えて、同期型パスキーやMicrosoft Authenticatorに保存されたパスキーなど、持ち運び可能なMFA方式を登録しておくことを推奨しています。
この展開に際して設定変更は不要であり、管理者にとっては朗報と言えます。とはいえ、組織は導入前に、オンボーディングやMFA登録のプロセス、およびAuthentication Strengthポリシーを改めて確認しておくべきです。
翻訳元: https://www.helpnetsecurity.com/2026/08/10/entra-id-windows-hello-macos-psso-standalone-mfa/
