パスキーとは？パスワードとの違い、保存場所、作り方と会社で使うときの注意

この記事の内容

1. パスキーの仕組み
2. パスワードとの違い
3. パスキーはどこに保存されるか
4. 機種変更やなくしたとき
5. 機種変更のとき
6. 端末をなくしたとき
7. Microsoft アカウントでパスキーを作る
8. 個人の Microsoft アカウント
9. 会社のアカウント（職場または学校アカウント）
10. Google アカウントでパスキーを作る
11. 会社で使うときに気をつけること

パスキーは、パスワードの代わりに、端末の指紋・顔・PIN で本人を確かめてサインインする仕組みです。FIDO Alliance が定めた規格（FIDO2）にもとづく認証情報で、スマートフォンやパソコンに保存されます。パスワードと違って覚える必要がなく、サイトのサーバーには盗まれて困る秘密が残りません。登録したサイトでしか使えないので、偽サイトにだまされて入力してしまうフィッシングにも強い方式です。Microsoft や Google のアカウントで使え、iPhone や Mac では iCloud キーチェーンに保存できます。IPA（情報処理推進機構）も、パスワードに代わる方法としてパスキーの利用を勧めています。

パスキーの仕組み

パスキーを作ると、端末の中で2つで1組の鍵が作られます。

• 秘密鍵……端末（またはパスワード マネージャー）の中に安全に保存される。サイトには送られない
• 公開鍵……サイトに登録される。これだけではサインインに使えない

サインインするとき、端末は指紋・顔・PIN で秘密鍵のロックを解除し、サイトから送られてきた問いかけに秘密鍵で署名します。サイトは、登録してある公開鍵でその署名を確かめ、本人だと判断します。パスワードのように、秘密の文字列をインターネットに送ることはありません。指紋や顔のデータも端末の中で使われるだけで、サイトや Microsoft・Google には送られません。

パスキーを使うには、パスキーを保存した端末（所持）と、指紋・顔（生体）または PIN（知識）の両方が要ります。そのため Microsoft は、パスキーを多要素認証の一つとして扱っています。多要素認証そのものの説明は、多要素認証とはにまとめています。

パスワードとの違い

Windows のサインインに使う PIN も、パソコンの中だけで使われてサーバーに送られない点はパスキーと似ています。違いはパスワードとPINコードの違いで説明しています。

パスキーはどこに保存されるか

パスキーの保存先は、大きく分けて、複数の端末で同期されるものと、その端末だけに置かれるものがあります。どこに保存したかで、機種変更やなくしたときの対応が変わります。

Microsoft も、Edge の Microsoft パスワード マネージャーにパスキーを同期して保存できるようにしています。順に提供されている機能で、Edge の個人のプロファイルで使う場合に限られます。

スマートフォンに保存したパスキーで、近くにあるパソコンからサインインすることもできます。パソコンの画面に出た QR コードをスマートフォンで読み取ると、Bluetooth で2つの端末が近くにあることを確かめてからサインインします。離れた場所にいる攻撃者には使えない仕組みです。

機種変更やなくしたとき

機種変更のとき

• 同期されるパスキー（iCloud キーチェーン・Google パスワード マネージャーなど）……新しい端末で同じアカウントにサインインすれば、作り直さずに使えます。
• 同期されないパスキー（Windows Hello・Microsoft Authenticator など）……新しい端末でパスキーを作り直します。新しいパスキーでサインインできることを確かめてから、古いパスキーをアカウントから削除します。

Microsoft アカウントでは、パスキーを消す前に、先に新しいサインイン方法を追加しておきます。セキュリティ情報を全部消すと、アカウントが30日間の制限状態になり、その間はセキュリティ情報を変更できなくなります。

端末をなくしたとき

手元に残っている別の端末から、そのアカウントにサインインし、なくした端末のパスキーを削除します。アカウントからパスキーを削除すると、なくした端末に残ったパスキーではサインインできなくなります。

なくしたときに困らないよう、ふだんから予備を用意しておきます。Microsoft は、端末だけに保存する場合は、スマートフォン・タブレット・ノートパソコンなどほかの端末にもパスキーを作り、予備の鍵にすることを勧めています。Apple の iCloud キーチェーンは、すべての端末をなくしても、Apple アカウントでの確認などを経てパスキーを復元できる仕組みになっています。

Microsoft アカウントでパスキーを作る

個人の Microsoft アカウント

パスキーを保存したい端末で、次の操作をします。

1. account.live.com/proofs/manage を開き、Microsoft アカウントでサインインします（高度なセキュリティ オプションの画面が開きます）。
2. 「新しいサインイン方法の追加」を選びます。
3. 顔・指紋・PIN・セキュリティ キーの中から、使う方法を選びます。
4. 端末の指示に従って進み、「続行」または「作成」を選ぶと、すすめられた場所にパスキーが保存されます。別の場所に保存したいときは「変更」または「保存」を選んで保存先を選びます。
5. 顔・指紋・PIN で確かめると、保存が終わります。

Microsoft アカウントにサインインする途中で、顔・指紋・PIN で速くサインインする案内が出たときは、「次へ」を選ぶとパスキーを作る手順に進めます。Microsoft は、個人の Microsoft アカウントの認証と回復の方法として SMS を段階的にやめ、パスキーへの切り替えを進めています。

会社のアカウント（職場または学校アカウント）

会社のアカウントのパスキーは、会社が許可している場合だけ作れます。選べる保存先を会社が制限していることもあります。

1. パスキーを保存したい端末で、セキュリティ情報のページ（mysignins.microsoft.com/security-info）にサインインします。
2. 「サインイン方法の追加」を選びます。
3. パソコンやパスワード マネージャーに保存するなら「パスキー」を、スマートフォンの Authenticator に保存するなら Microsoft Authenticator のパスキーを選びます。
4. 端末の指示に従って保存し、顔・指紋・PIN で確かめます。

Windows のパソコンに保存したパスキーは、Windows 11 の「設定」→「アカウント」→「パスキー」で一覧を見たり、削除したりできます。

Google アカウントでパスキーを作る

先に、スマートフォンの画面ロックをオンにしておきます。iPhone・iPad・Mac では iCloud キーチェーンもオンにします。スマートフォンのパスキーで別のパソコンにログインするときは、Bluetooth もオンにします。

1. パスキーを作りたい端末で、myaccount.google.com/signinoptions/passkeys を開きます。
2. 「パスキーを作成する」、「パスキーを作成」の順に選びます。
3. 端末のロックを解除（指紋・顔・PIN）すると、パスキーができます。

パスキーを作ると、Google アカウントはパスキーを先に使うログインに切り替わりますが、パスワードでのログインもそのまま使えます。2 段階認証プロセスを使っている場合、パスキーでログインすると2つ目の手順は省かれます。作ったばかりのパスキーは、ログインに使えるようになるまで7日ほどかかることがあります。

パスキーを消すときは、Google アカウントの「セキュリティとログイン」を開き、「Google にログインする方法」の「パスキーとセキュリティ キー」で、削除するパスキーを選んで削除のアイコンを選びます。

会社で使うときに気をつけること

• 共有の端末ではパスキーを作らない……Google は、パスキーを作った端末では、Google アカウントからログアウトしても、その端末のロックを解除できる人なら誰でもアカウントに入れると説明し、共有の端末ではパスキーを作らないよう案内しています。複数の人で使うパソコンやタブレットでは、自分のアカウントのパスキーを作らないでください。
• 会社の決まりを先に確かめる……会社のアカウントでは、パスキーを使えるかどうかや、使える保存先を管理者が決めています。Google Workspace のアカウントでは、パスキーだけではログインできず、2 段階認証プロセスの2つ目の手順として使う場合もあります。会社で管理しているパソコンでは、一部のパスキーの機能が使えないことがあります。
• 会社のアカウントのパスキーを私物に広げない……同期されるパスワード マネージャーに保存すると、同じアカウントでサインインしている私物の端末にもパスキーが同期されます。会社のアカウントのパスキーをどこに保存してよいかは、管理者の決まりに従ってください。
• 社員が退職するときは、アカウント側で止める……私物のスマートフォンや個人のパスワード マネージャーに保存したパスキーは、本人の端末の中にあります。退職の手続きでは、管理者がそのアカウントのサインインを止め、登録されているパスキーをアカウントから削除します。アカウントから削除されたパスキーは、端末に残っていてもサインインに使えません。
• パソコンを入れ替える前に別の方法を用意する……Windows Hello に保存したパスキーは、パソコンを入れ替えたり初期化したりすると戻せません。入れ替えの前に、新しいパソコンでパスキーを作るか、ほかのサインイン方法を用意しておきます。

インフィニティの会社サイトから

会社のITを任されている方へ

このサポートサイトを書いているインフィニティは、会社のITの決めごとをコラムと解説動画にまとめています。

• インフィニティのコラムなりすましメール対策。DMARCを設定する順番
• インフィニティのコラムSCS評価制度の★3を取引先に求められたら
• 7問で確かめる無料・登録なし7問のIT診断