チュートリアル: Microsoft Entra のセルフサービス パスワード リセットを使ってユーザーが自分のアカウントのロック解除またはパスワードのリセットを実行できるようにする

Microsoft Entra セルフサービス パスワード リセット (SSPR) により、ユーザーは、管理者やヘルプ デスクが関与することなく、自分のパスワードを変更またはリセットできるようになります。 Microsoft Entra ID によって自分のアカウントがロックされた場合やパスワードを忘れた場合でも、ユーザーは画面の指示に従って自分自身のブロックを解除して、作業に戻ることができます。 ユーザーがデバイスやアプリケーションにログインできないとき、この機能はヘルプデスクへの問い合わせや生産性の損失を減少させます。 「Microsoft Entra ID の SSPR を有効にして構成する方法」の動画をぜひご覧ください。 また IT 管理者向けに、SSPR に関して最も多く発生する 6 つのエンドユーザー エラー メッセージを解決する方法についてのビデオも用意しています。

このチュートリアルで学習する内容は次のとおりです。

ビデオ チュートリアル

関連ビデオで理解を深めることもできます: Microsoft Entra ID で SSPR を有効化および構成する方法。

前提条件

このチュートリアルを完了するには、以下のリソースと特権が必要です。

• パスワードのリセットには、少なくとも Microsoft Entra ID P1 ライセンスがある稼働中の Microsoft Entra テナントが必要です。 Microsoft Entra IDのパスワード変更とパスワード リセットのライセンス要件については、「Microsoft Entra のセルフサービス パスワード リセットのライセンス要件」を参照してください。
• 少なくとも認証ポリシー管理者ロールを持つアカウント。
• パスワードがわかっている管理者以外のユーザー (testuser など)。 このチュートリアルでは、このアカウントを使用してエンドユーザーの SSPR エクスペリエンスをテストします。
  • ユーザーを作成する必要がある場合、「クイックスタート: Microsoft Entra ID に新しいユーザーの追加」を参照してください。
• 管理者以外のユーザーが所属するグループ (SSPR-Test-Group など)。 このチュートリアルでは、このグループに対して SSPR を有効にします。
  • グループを作成する必要がある場合は、「Microsoft Entra ID を使用して基本グループを作成してメンバーを追加する」を参照してください。

セルフサービス パスワード リセットを有効にする

Microsoft Entra ID では、SSPR を有効にするユーザーを [なし]、[選択済み]、または [すべて] から選択できます。 この詳細な機能により、SSPR の登録プロセスとワークフローのテスト対象となるユーザーのサブセットを選択できます。 このプロセスに慣れ、より広範なユーザーに要求を伝えることができるようになったら、ユーザー グループを選択して、SSPR を有効にすることができます。 または、Microsoft Entra テナント内のすべてのユーザーに対して SSPR を有効にすることもできます。

このチュートリアルでは、テスト グループ内の一連のユーザーに対して SSPR を設定します。 SSPR-Test-Group を使用しますが、必要に応じて独自の Microsoft Entra グループを指定してください。

1. 少なくとも認証ポリシー管理者として Microsoft Entra 管理センターにサインインします。

2. 左側のメニューから [保護]>[パスワードのリセット] の順に進みます。

3. [プロパティ] ページの [セルフ サービスによるパスワードのリセットが有効] オプションの下で、[選択済み] を選択します。

4. グループが表示されない場合は、[グループが選択されていません] を選択し、SSPR-Test-Group などの Microsoft Entra グループを参照して選択してから、[選択] を選択します。

   

5. 選択したユーザーに対して SSPR を有効にするには、 [保存] を選択します。

認証方法と登録オプションを選択する

ユーザーが自分のアカウントのロックを解除したり、パスワードをリセットしたりする必要がある場合は、別の確認方法を求められます。 この追加の認証要素によって、承認された SSPR イベントのみが Microsoft Entra ID により処理されるようになります。 ユーザーが指定する登録情報に基づいて、どの認証方法を許可するかを選択できます。

1. [認証方法] ページの左側のメニューから、[リセットのために必要な方法の数] を 2 に設定します。

   セキュリティを強化するために、SSPR に必要な認証方法の数を増やすことができます。

2. 組織が許可する [ユーザーが使用できる方法] を選択します。 このチュートリアルでは、次の方法を有効にするためのチェック ボックスをオンにします。

   • [モバイル アプリの通知]
   • モバイル アプリ コード
   • メール
   • 携帯電話

   業務要件に合うよう必要に応じて、他の認証方法 ("会社電話" や "セキュリティの質問" など) を有効にすることができます。

3. 認証方法を適用するには、 [保存] を選択します。

ユーザーが自分のアカウントのロックを解除したり、パスワードをリセットしたりするには、自分の連絡先情報を登録しておく必要があります。 Microsoft Entra ID では、この連絡先情報が、前の手順で設定したさまざまな認証方法に使用されます。

この連絡先情報は、管理者が手動で入力することも、ユーザーが登録ポータルに移動して自分で入力することもできます。 このチュートリアルでは、ユーザーが次回サインインしたときに登録を求められるように Microsoft Entra ID を設定します。

1. [登録] ページの左側にあるメニューから、 [サインイン時にユーザーに登録を求めますか] で [はい] を選択します。

2. [Number of days before users are asked to reconfirm their authentication information](ユーザーが認証情報を再確認するように求められるまでの日数) を 180 に設定します。

   連絡先情報が最新の状態に保たれていることが重要です。 SSPR イベントの開始時に古い連絡先情報が存在すると、ユーザーは自分のアカウントのロックを解除したり、パスワードをリセットしたりできない可能性があります。

3. 登録設定を適用するには、 [保存] を選択します。

通知とカスタマイズを設定する

アカウントのアクティビティについて常にユーザーに通知されるように、SSPR イベントが発生したときに電子メール通知を送信するように Microsoft Entra ID を設定できます。 これらの通知は、通常のユーザー アカウントと管理者アカウントの両方を対象とすることができます。 管理者アカウントの場合は、この通知により、SSPR を使用して特権管理者アカウントのパスワードがリセットされたタイミングをより明確に認識できます。 管理者アカウントで SSPR を使用した場合、Microsoft Entra ID によってすべてのグローバル管理者に通知されます。

1. [通知] ページの左側のメニューから、次のオプションを設定します。

   • [Notify users on password resets?](パスワードのリセットについてユーザーに通知しますか) オプションを [はい] に設定します。
   • [Notify all admins when other admins reset their password?](他の管理者が自分のパスワードをリセットしたときに、すべての管理者に通知しますか?) を [はい] に設定します。

2. 通知設定を適用するには、 [保存] を選択します。

ユーザーが SSPR プロセスについてさらにサポートを必要とする場合は、"管理者に連絡" リンクをカスタマイズできます。 このリンクは、ユーザーが SSPR 登録プロセスで選択できるほか、自分のアカウントのロックを解除したりパスワードをリセットしたりするときに選択できます。 ユーザーが必要なサポートを受けられるようにするには、カスタム ヘルプデスクのメール アドレスまたは URL を指定することをお勧めします。

1. [カスタマイズ] ページの左側のメニューから、 [ヘルプデスク リンクのカスタマイズ] を [はい] に設定します。
2. [カスタム ヘルプデスクのメールまたは URL] フィールドに、ユーザーが組織からさらにサポートを得ることのできるメール アドレスまたは Web ページ URL (https://support.contoso.com/ など) を指定します
3. カスタム リンクを適用するには、 [保存] を選択します。

セルフサービス パスワード リセット をテストする

SSPR を有効にして設定したら、前のセクションで選択したグループ (Test-SSPR-Group など) に属しているユーザーを使用して SSPR プロセスをテストします。 次の例では、testuser アカウントを使用します。 独自のユーザー アカウントを指定してください。このチュートリアルの最初のセクションで SSPR を有効にしたグループに属しているものです。 このチュートリアルの最初のセクションで SSPR を有効にしたグループに属しているものです。

1. 手動の登録プロセスを確認するには、InPrivate またはシークレット モードで新しいブラウザー ウィンドウを開き、https://aka.ms/ssprsetup を参照します。 ユーザーは次回サインインしたときに、Microsoft Entra ID によってこの登録ポータルに誘導されます。

2. 管理者以外のテスト ユーザー (testuser など) としてサインインし、認証方法の連絡先情報を登録します。

3. 完了したら、 [問題ありません] ボタンを選択し、ブラウザー ウィンドウを閉じます。

4. InPrivate または incognito モードで新しいブラウザー ウィンドウを開き、https://aka.ms/sspr を参照します。

5. 管理者以外のテスト ユーザーのアカウント情報 (testuser など) と CAPTCHA の文字を入力し、 [次へ] を選択します。

   

6. 検証の手順に従って、パスワードをリセットします。 完了すると、パスワードがリセットされたことを通知する電子メールが届きます。

リソースをクリーンアップする

このシリーズの次のチュートリアルでは、パスワード ライトバックを設定します。 この機能により、パスワードの変更が Microsoft Entra SSPR からオンプレミス AD 環境に書き戻されます。 このチュートリアル シリーズを続行してパスワード ライトバックを設定する場合は、ここでは SSPR を無効にしないでください。

このチュートリアルの一環として設定した SSPR 機能を使用する必要がなくなった場合は、次の手順を使用して SSPR の状態を [なし] に設定します。

1. 少なくとも認証ポリシー管理者として Microsoft Entra 管理センターにサインインします。
2. [保護]>[パスワードのリセット] の順に進みます。
3. [プロパティ] ページの [パスワード リセットのセルフサービスが有効] オプションの下で、 [なし] を選択します。
4. SSPR の変更を適用するには、 [保存] を選択します。

よくあるご質問

このセクションでは、SSPR を試す管理者とエンドユーザーからの一般的な質問について説明します。

• SSPR 中にオンプレミスのパスワード ポリシーが表示されないのはなぜですか。

  現時点で、Microsoft Entra Connect とクラウド同期では、クラウドとのパスワード ポリシーの詳細の共有はサポートされていません。 SSPR はクラウド パスワード ポリシーの詳細のみを表示し、オンプレミス ポリシーは表示できません。

• フェデレーション ユーザーが、オンプレミスから同期されたパスワードを使用できるようになる前に、"パスワードがリセットされました" と表示されてから最大 2 分待つのはなぜですか。

  パスワードが同期されているフェデレーション ユーザーの場合、パスワードの権限のソースはオンプレミスです。 その結果、SSPR は、オンプレミスのパスワードのみを更新します。 Microsoft Entra ID へのパスワード ハッシュの同期は、2 分ごとにスケジュールされています。

• 電話やメールなどの SSPR データが事前に設定されている新しく作成されたユーザーが SSPR 登録ページにアクセスしたとき、"アカウントへのアクセス権を失わないでください" がページのタイトルとして表示されます。 SSPR データが事前に設定されている他のユーザーにこのメッセージが表示されないのはなぜですか。

  "アカウントへのアクセス権を失わないでください" が表示されるユーザーは、テナントに構成されている SSPR または結合された登録グループのメンバーです。 "アカウントへのアクセス権を失わないでください" が表示されないユーザーは、SSPR または結合された登録グループのメンバーではありませんでした。

• SSPR プロセスを実行してパスワードをリセットするときに、ユーザーによってパスワード強度インジケーターが表示されない場合があるのはなぜですか。

  脆弱または堅牢パスワード強度が表示されないユーザーでは、同期パスワード ライトバックが有効になっています。 SSPR では、顧客のオンプレミス環境のパスワード ポリシーを判断できないため、パスワードの強度または脆弱性を検証できません。

次のステップ

このチュートリアルでは、選択したユーザー グループに対して Microsoft Entra のセルフサービス パスワード リセットを有効にしました。 以下の方法を学習しました。