動作のしくみ: Microsoft Entra セルフサービス パスワード リセット

Microsoft Entra セルフサービス パスワード リセット (SSPR) を使用すると、管理者やヘルプ デスクが関与することなく、ユーザーが自分でパスワードを変更したり、リセットしたりできます。 ユーザーはアカウントがロックされた場合やパスワードを忘れた場合でも、画面の指示に従って自分自身のブロックを解除して、作業に戻ることができます。 この機能により、ユーザーが自分のデバイスやアプリケーションにサインインできなくなった場合のヘルプ デスクの問い合わせが減り、生産性の喪失も軽減されます。 「Microsoft Entra ID の SSPR を有効にして構成する方法」の動画をぜひご覧ください。

パスワード リセット プロセスのしくみ

ユーザーは、SSPR ポータルを使用してパスワードをリセットまたは変更できます。 最初に、望ましい認証方法を登録する必要があります。 ユーザーが SSPR ポータルにアクセスすると、Microsoft Entra プラットフォームによって次の要素が考慮されます。

• ページはどのようにローカライズする必要があるか?
• ユーザー アカウントは有効か?
• ユーザーが属しているのはどのような組織か?
• ユーザーのパスワードがどこで管理されるか?

ユーザーがアプリケーションまたはページから [アカウントにアクセスできません] というリンクを選択した場合、または https://aka.ms/sspr に直接移動した場合、SSPR ポータルで使用される言語は、次のオプションに基づきます。

• 既定では、SSPR を適切な言語で表示するために、ブラウザーのロケールが使用されます。 パスワード リセットのエクスペリエンスは、Microsoft 365 でサポートされている言語と同じものにローカライズされます。
• 特定のローカライズされた言語で SSPR にリンクする場合は、パスワード リセット URL の末尾に、必要なロケールと共に ?mkt= を追加します。
  • たとえば、スペイン語の es-us ロケールを指定するには、?mkt=es-us - https://passwordreset.microsoftonline.com/?mkt=es-us を使用します。

SSPR ポータルが必要な言語で表示された後、ユーザー ID を入力して CAPTCHA を渡すように求められます。 Microsoft Entra ID によって次のチェックが行われ、ユーザーが SSPR を使用できることが確認されます。

• ユーザーに対して SSPR が有効になっていることを確認します。
  • ユーザーに対して SSPR が有効になっていない場合、そのユーザーは管理者に連絡してパスワードをリセットするように求められます。
• ユーザーのアカウントで、適切な認証方法が管理者ポリシーに従って定義されていることを確認します。
  • ポリシーで要求される方法が 1 つのみの場合は、管理者ポリシーで有効になっている 1 つ以上の認証方法に対して、ユーザーに適切なデータが定義されていることを確認します。
    • 認証方法が構成されていない場合、ユーザーは管理者に連絡してパスワードをリセットするように求められます。
  • ポリシーで要求される方法が 2 つの場合は、管理者ポリシーで有効になっている 2 つ以上の認証方法に対して、ユーザーに適切なデータが定義されていることを確認します。
    • 認証方法が構成されていない場合、ユーザーは管理者に連絡してパスワードをリセットするように求められます。
  • Azure 管理者ロールがユーザーに割り当てられている場合、強力な 2 ゲート パスワード ポリシーが適用されます。 詳細については、「管理者リセット ポリシーの相違点」を参照してください。
• ユーザーのパスワードがオンプレミスで管理されているかどうか (Microsoft Entra ID テナントでフェデレーション、パススルー認証、またはパスワード ハッシュ同期が使用されているかどうかなど) を確認します。
  • SSPR ライトバックが構成されていて、ユーザーのパスワードがオンプレミスで管理されている場合、ユーザーは自分のパスワードを認証してリセットできます。
  • SSPR ライトバックがデプロイされておらず、ユーザーのパスワードがオンプレミスで管理されている場合、ユーザーは管理者に連絡してパスワードをリセットするように求められます。

上記のすべてのチェックが正常に完了した場合、パスワードをリセットまたは変更するプロセスがユーザーに案内されます。

SSPR の使用を開始するには、次のチュートリアルをご覧ください。

サインイン時にユーザーに登録を求める

Microsoft Entra ID を使用して任意のアプリケーションにサインインするために最新の認証または Web ブラウザーを使用する場合は、SSPR 登録を完了するようにユーザーに要求するオプションを有効にすることができます。 このワークフローには、次のアプリケーションが含まれます。

• Microsoft 365
• Microsoft Entra 管理センター
• アクセス パネル
• フェデレーション アプリケーション
• Microsoft Entra ID を使用したカスタム アプリケーション

登録を必須としない場合、ユーザーはサインイン時には要求されませんが、手動で登録することができます。 ユーザーは https://aka.ms/ssprsetup にアクセスするか、アクセス パネルの [プロファイル] タブの下にある [パスワード リセットの登録] リンクを選択することができます。

認証情報を再確認する

パスワードのリセットまたは変更が必要になったときに認証方法が正しいことを確実にするために、一定期間後にユーザーに登録情報を確認するように要求できます。 このオプションは、 [Require users to register when signing in](サインイン時にユーザーに登録を要求する) オプションを有効にした場合にのみ使用できます。

登録されている方法の確認をユーザーに求める有効な値は、0 から 730 日までです。 この値を 0 に設定すると、ユーザーが認証情報の確認を求められることはありません。 統合された登録エクスペリエンスを使用する場合、ユーザーは情報を再確認する前に自身の ID を確認する必要があります。

認証方法

ユーザーは、SSPR が有効になっている場合には、少なくとも 1 つの認証方法を登録する必要があります。 2 つ以上の認証方法を選択することを強くお勧めします。そうすれば、一方の認証方法を利用できない場合でも、必要があれば、ユーザーはもう一方の認証方法を利用できます。 詳細については、「認証方法とは」を参照してください。

SSPR で使用できる認証方法は次のとおりです。

• モバイル アプリの通知
• モバイル アプリ コード
• Email
• 携帯電話
• 会社電話 (有料サブスクリプションを使用するテナントでのみ使用可能)
• セキュリティの質問

ユーザーが自分のパスワードをリセットできるのは、管理者が有効にした認証方法を自分で登録している場合のみです。

必要な認証方法の数

ユーザーがパスワードをリセットまたはロック解除するために指定する必要がある、使用可能な認証方法の数を構成できます。 この値は 1 または 2 に設定できます。

ユーザーは、1 つの方法にアクセスできない場合に別の方法でサインインできるように、複数の認証方法を登録する必要があります。

ユーザーは、必要な方法の最小数を登録していない場合、SSPR を使おうとするとエラー ページが表示されます。 ユーザーは、管理者にパスワードのリセットを要求する必要があります。 詳しくは、「認証方法を変更する」をご覧ください。

モバイル アプリおよび SSPR

パスワード リセットの方法として Microsoft Authenticator などのモバイル アプリを使っている場合、組織が一元化された認証方法ポリシーに移行していない場合は、次のことを考慮する必要があります。

• 管理者がパスワードのリセットに 1 つの方法の使用を必須にすると、使用できる選択肢は確認コードのみになります。
• 管理者がパスワードのリセットに 2 つの方法の使用を必須にすると、ユーザーは通知または確認コードを、他の有効な方法に加えて使用できます。

ユーザーは、https://aka.ms/mfasetup で、または統合されたセキュリティ情報の登録 (https://aka.ms/setupsecurityinfo) でモバイル アプリを登録できます。

認証方法を変更する

リセットまたはロック解除に必要な認証方法が 1 つしか登録されていないポリシーで開始し、それを 2 つの方法に変更した場合、どうなるでしょうか。

使用可能な認証方法を変更した場合も、ユーザーに問題が発生する可能性があります。 使用できる認証方法を変更した場合、使用可能な最小限のデータ量を持たないユーザーは SSPR を使用できません。

次のシナリオ例について考えてみます。

1. 元のポリシーには、必要な 2 つの認証方法が構成されています。 会社電話番号とセキュリティの質問のみを使います。
2. 管理者は、今後セキュリティの質問を使用せず、携帯電話および連絡用メール アドレスを使用できるようにポリシーを変更します。
3. 携帯電話または連絡用メール アドレスのフィールドに入力していないユーザーは、パスワードをリセットできなくなります。

通知

パスワード イベントを認識しやすくするために、SSPR を使用して、ユーザーと ID 管理者の両方に対して通知を構成できます。

[パスワードのリセットについてユーザーに通知しますか]

このオプションが [はい] に設定されている場合、パスワードをリセットするユーザーは、パスワードが変更されたことを通知するメールを受け取ります。 メールは、SSPR ポータル経由で、Microsoft Entra ID に格納されているプライマリおよび連絡用メール アドレス宛に送られます。 プライマリまたは代替のメール アドレスが定義されていない場合、SSPR はユーザーのユーザー プリンシパル名 (UPN) を介してメール通知を試行します。 このリセット イベントは他の誰にも通知されません。

他の管理者が自分のパスワードをリセットしたときに、すべての管理者に通知する

このオプションが [はい] に設定されている場合は、全体管理者が、Microsoft Entra ID に格納されているプライマリ メール アドレスにメールを受け取ります。 メールでは、別の管理者が SSPR を使ってパスワードを変更したことが通知されます。

カスタム管理者が通知メールを受信できるようにするには、SSPR のカスタマイズを使い、カスタム ヘルプデスク リンクまたはメールを設定します。

オンプレミスの統合

ハイブリッド環境では、パスワード変更イベントを Microsoft Entra ID からオンプレミスのディレクトリに書き戻すように、Microsoft Entra Connect クラウド同期を構成できます。

Microsoft Entra ID によって現在のハイブリッド接続が確認され、Microsoft Entra 管理センターにメッセージが表示されます。 可能性のあるエラーの解決については、Microsoft Entra Connect のトラブルシューティングに関する記事をご覧ください。

SSPR 書き戻しの使用を開始するには、次のチュートリアルをご覧ください。

オンプレミス ディレクトリへのパスワード ライトバック

パスワード ライトバックは、Microsoft Entra 管理センターを使用して有効にすることができます。 また、Microsoft Entra Connect を再構成する必要なくパスワード ライトバックを一時的に無効にすることもできます。

• このオプションが [はい] に設定されている場合、書き戻しが有効になります。 フェデレーション、パススルー認証、またはパスワード ハッシュ同期されたユーザーは、自分のパスワードをリセットできます。
• このオプションが [いいえ] に設定されている場合、書き戻しは無効になります。 フェデレーション、パススルー認証、またはパスワード ハッシュ同期されたユーザーは、自分のパスワードをリセットできません。

パスワードをリセットせずにアカウントのロックを解除することをユーザーに許可する

既定では、Microsoft Entra ID はパスワード リセットを実行するときにアカウントをロック解除します。 柔軟性を確保するために、ユーザーが自分のパスワードをリセットする必要なくオンプレミスのアカウントのロックを解除できるようにすることを選択できます。 これら 2 つの操作を分離するには、以下の設定を使います。

• [はい] に設定すると、ユーザーは、パスワードをリセットしてアカウントのロックを解除するか、パスワードをリセットする必要なくアカウントのロックを解除するかを選択できます。
• [いいえ] に設定すると、ユーザーはパスワードのリセットとアカウントのロック解除を組み合わせた操作しか実行できません。

オンプレミスの Active Directory のパスワード フィルター

SSPR を使用すると、管理者によって開始されたパスワードのリセットと同等の動作が Active Directory で実行されます。 カスタムのパスワード ルールを提供するためにサードパーティのパスワード フィルターを使用していて、Microsoft Entra のセルフサービス パスワード リセット中にこのパスワード フィルターを確認する必要がある場合、サードパーティのパスワード フィルターのソリューションが確実に管理者のパスワード リセット シナリオで適用されるように構成します。 Active Directory Domain Services での Microsoft Entra パスワード保護は、既定でサポートされます。

B2B ユーザーのパスワードのリセット

パスワードのリセットと変更は、すべての企業間 (B2B) 構成で完全にサポートされています。 B2B ユーザーのパスワード リセットは、次の 3 つの場合にサポートされます。

• 既存の Microsoft Entra テナントがあるパートナー組織のユーザー: パートナーに Microsoft Entra テナントがある場合は、そのテナントで有効になっているパスワード リセット ポリシーが常に優先されます。 パスワード リセットが機能するためにパートナー組織で必要なのは、Microsoft Entra SSPR を有効にすることだけです。 Microsoft 365 のお客様に他の料金は発生しません。
• セルフ サービス サインアップを使ってサインアップしたユーザー: パートナーがセルフサービス サインアップ機能を使ってテナントに参加した場合は、登録されたメール アドレスを使ってパスワードをリセットできます。
• B2B ユーザー: 新しい Microsoft Entra B2B 機能を使って作成された B2B ユーザーも、招待プロセス中に登録した電子メールを使って自分のパスワードをリセットできます。

このシナリオをテストするには、これらのパートナー ユーザーのいずれかで https://passwordreset.microsoftonline.com に移動します。 ユーザーが連絡用メール アドレスまたは認証用メール アドレスを定義した場合、パスワードのリセットは想定どおりに機能します。

次のステップ

SSPR の使用を開始するには、次のチュートリアルをご覧ください。