【Windows】FIDO2セキュリティキーを紛失した後に代替認証へ切り替える時の確認事項

FIDO2セキュリティキーは、パスワードレス認証や多要素認証として高い安全性を提供しますが、物理的なキーを紛失するとアカウントにアクセスできなくなるリスクがあります。多くの企業では、キー紛失に備えて代替認証手段(バックアップ認証)が用意されています。本記事では、FIDO2キーを紛失した後に、Windows環境で代替認証へ切り替える際に確認すべき事項を、端末側・アカウント側・管理設定側に分けて解説します。事前に準備しておくことで、復旧までの時間を大幅に短縮できます。

1. FIDO2キー紛失時に最初に確認すべきこと

キーを紛失したと気づいたら、まず以下の3点を確認します。これらが分かっていれば、管理者への報告や代替認証への切り替えがスムーズになります。

1-1. 現在のサインイン方法の把握

現在使用しているPCに、まだキーがない状態でサインインできているかどうかを確認してください。もしサインイン済みであれば、そのまま設定画面を開いて代替認証方法を追加できます。サインインしていない場合は、別の認証方法(パスワードやスマホ認証アプリなど)が使えるか試します。

1-2. 会社のポリシーで認められている代替認証の確認

組織によって使用できる認証方式は異なります。一般的な代替認証には以下のようなものがあります。

認証方式	有効性の確認方法	前提条件
Windows Hello (PIN・顔・指紋)	設定→アカウント→サインインオプションで利用可能か確認	端末にTPM 2.0が必要、グループポリシーで許可されていること
パスワード (クラウドアカウント)	ロック画面で「パスワード」アイコンが表示されるか	管理者がパスワード認証を無効にしていないこと
スマホ認証アプリ (Microsoft Authenticator)	ブラウザでアカウントサインイン時に「承認する」が表示されるか	スマホにアプリがインストール済み、管理者が許可
一時的なアクセスコード	管理者が発行可能か問い合わせ	組織のポリシーで一時コードが許可されていること

1-3. 管理者への連絡準備

キー紛失を管理者に報告する前に、以下の情報をまとめておくとスムーズです。

• キーのメーカー・型番・シリアル番号(購入時のメモやケースに記載)
• 紛失した日時・場所
• キーを登録していたアカウントのユーザー名やメールアドレス
• 希望する代替認証手段(例:Windows Hello PINへの切り替え)

2. 代替認証の有効性を確認する手順

管理者から代替認証の利用許可を得たら、実際に設定できるかどうかを端末側で確認します。以下の手順に従って進めてください。

1. Windowsキーを押して「設定」を開き、「アカウント」→「サインインオプション」を選択します。
2. 「Windows Hello PIN」が表示されているか確認します。表示されている場合は「追加」または「設定」をクリックし、画面の指示に従ってPINを登録します。組織のポリシーでPINの長さや複雑さが指定されている場合があります。
3. PINが設定できない場合、「顔認証」や「指紋認証」が利用可能か確認します。ハードウェアが対応していないとグレーアウトしていることがあります。
4. 次に、「パスワード」の項目を確認します。通常は「変更」ボタンがあり、サインインパスワードを変更できます。ただし、管理者がパスワード認証を無効にしているとこのオプションが表示されない場合があります。
5. 最後に、「セキュリティキー」の管理画面を開き、紛失したキーがまだ登録されていることを確認します。キー登録を自分で削除しないでください。削除すると復旧できなくなる可能性があります。

上記の手順で代替認証が設定できない場合は、次の章を参照してください。

3. 失敗パターンとトラブルシューティング

実際にFIDO2キーを紛失した後に代替認証へ切り替えようとして、うまくいかないケースがいくつかあります。代表的な失敗パターンとその対処法を説明します。

3-1. サインインオプションに何も表示されない

サインインオプションがすべてグレーアウトしている、または「一部の設定は組織によって管理されています」と表示される場合があります。これは、グループポリシーやIntuneで認証方法が制限されている可能性があります。管理者に連絡し、どの認証方法が許可されているかを確認してください。

3-2. PINの設定を試みるとエラーが表示される

PINの設定時に「このデバイスではWindows Hello PINを設定できません」と表示される場合、端末がTPM 2.0を搭載していない、またはBIOSでTPMが無効になっている可能性があります。デバイスマネージャーで「セキュリティデバイス」→「トラステッドプラットフォームモジュール 2.0」が有効か確認してください。TPMが無効の場合は、管理者またはIT部門が有効化する必要があります。

3-3. スマホ認証アプリのQRコードが表示されない

Microsoft Authenticatorなどのアプリを使う場合、会社のポータルサイトやMicrosoft 365のセキュリティ情報ページでQRコードをスキャンする必要があります。しかし、管理者が「レガシ認証」をブロックしていたり、アプリでの認証を許可していないとQRコードが発行されないことがあります。この場合も管理者に問い合わせて、代わりの認証手段を用意してもらってください。

3-4. FIDO2キーの登録を自分で削除してしまった

サインインオプションで「セキュリティキーの管理」を開き、紛失したキーを削除してしまうと、そのキーによる認証は完全に無効になりますが、代替認証が設定されていない状態で削除すると詰みます。キーを削除する前に、必ず代替認証(PINやパスワード)が設定されていることを確認してください。もし削除してしまったら、管理者に連絡してアカウントの復旧を依頼しましょう。

4. 管理者に伝えるべき情報と事前準備

管理者がFIDO2キー紛失の対応をスムーズに行うために、以下の情報を事前にまとめて報告します。これにより、代替認証の有効化やキーの再発行を迅速に進められます。

• キー情報: メーカー、型番、シリアル番号(購入記録などから探す)。
• 紛失日時と状況: いつ、どこで紛失した可能性があるか。
• アカウント情報: キーを登録していたユーザー名、メールアドレス、テナント名。
• 現在のサインイン状態: 現在PCにサインインできているか、どの認証方法を使っているか。
• 希望する代替認証: 例:「Windows Hello PINを設定したい」「スマホ認証アプリを使いたい」など。

管理者は、これらの情報をもとにMicrosoft 365管理センターやIntuneで該当ユーザーの認証方法を変更したり、一時的なアクセスコードを発行したりできます。キーの紛失届が出ていないと、不正利用のリスクがあるため、必ず報告するようにしましょう。

5. よくある質問(FAQ)

Q1. FIDO2キーを再発行してもらえますか?

A. 一般には、新しいキーを購入し、管理者がアカウントに再登録することで再利用できます。ただし、組織のポリシーによっては、キーの再発行手続きが異なる場合があります。まずは管理者に問い合わせてください。

Q2. 代替認証に切り替えた後、元のFIDO2キーが見つかった場合はどうすればよいですか?

A. 見つかったキーはそのまま使用できる場合と、セキュリティ上の理由から再登録が必要な場合があります。管理者に確認し、指示に従ってください。自己判断で再登録すると、新旧のキーが競合する可能性があります。

Q3. Windows Hello PINは生体認証と同じ安全性ですか?

A. PINはデバイスに紐づいたローカル認証であり、FIDO2キーほどの耐フィッシング性はありませんが、パスワードよりは安全です。社内ポリシーでPINが認められている場合が多いです。ただし、PINはブルートフォース攻撃に弱いため、複雑なPINを設定するよう推奨します。

Q4. キー紛失時に、自分でアカウントからキー登録を削除しても問題ありませんか?

A. 絶対にしないでください。代替認証が設定されていない状態でキー登録を削除すると、アカウントにアクセスできなくなる可能性が高いです。まずは代替認証を設定してから、管理者の指示に従って削除してください。

6. まとめ

FIDO2セキュリティキーを紛失しても、落ち着いて代替認証の有無を確認することで、アカウントへのアクセスを回復できます。最初にWindowsのサインインオプションを確認し、PINやパスワードが利用可能かを調べてください。管理者への連絡は迅速に行い、キー情報や希望する代替手段を伝えましょう。自己判断でキー登録を削除することだけは避け、組織のポリシーに従って手続きを進めてください。事前にバックアップ認証を設定しておくことが、紛失時のダメージを最小限に抑える最善の方法です。

💻

Windowsトラブル完全解決データベース 起動不能、更新の不具合、動作が重い、設定の消失など、Windows 10/11のあらゆるトラブル解決手順を網羅しています。