【Windows】FIDO2セキュリティキーを会社アカウントへ登録できない時に管理ポリシーを調べる手順

FIDO2セキュリティキーを使ったパスワードレス認証は、会社のMicrosoft 365アカウントなどで導入が進んでいます。しかし、いざ登録しようとしたときに「このデバイスでは利用できません」といったエラーが表示され、先に進めないケースがあります。多くの場合、原因はWindowsの管理ポリシーや組織の設定による制限です。本記事では、会社のPCでFIDO2キーを登録できないときに、どのポリシーが影響しているのかを調べる手順を具体的に解説します。管理者へ確認を依頼する前に、自分でできる範囲の切り分けもあわせて紹介します。

FIDO2セキュリティキーの登録に必要な前提条件

FIDO2キーをWindowsに登録するには、以下の条件がすべて満たされている必要があります。1つでも欠けていると登録手続きの途中で失敗します。

• Windows 10 バージョン1903以降、またはWindows 11:それ以前のバージョンではFIDO2認証が標準でサポートされていません。Win+Rで「winver」と入力してバージョンを確認してください。
• Microsoft 365 のライセンスが適切に割り当てられている:Azure AD PremiumやEMSなど、条件付きアクセスを含むライセンスが必要です。管理者に問い合わせてください。
• セキュリティキーの互換性:FIDO2 Certifiedのロゴがある製品かどうか。また、キーがUSB-A/USB-C/NFC/Bluetoothのどの接続方式かにより、PC側の対応ポートが必要です。
• ブラウザの最新版:Microsoft EdgeまたはChromeの最新バージョンが推奨されます。古いブラウザではWebAuthn APIが正しく動作しないことがあります。
• 組織のポリシーでFIDO2認証が許可されている:これが最も多い原因です。Azure ADの認証方法ポリシーやWindows Hello for Businessの設定が有効である必要があります。

管理ポリシーを確認する手順(自分で調べられる範囲)

以下の手順は、管理者権限が必要な操作を含みません。会社PCでも安全に実施できます。該当する項目がないか順に確認してください。

1. 「設定」→「アカウント」→「サインインオプション」を開く:「セキュリティキー」の項目が表示されているか確認します。表示されない場合、Windowsのバージョンが古いか、組織のポリシーで機能が無効化されています。
2. 「セキュリティキーの管理」をクリックする:ここで「キーを追加」ボタンがグレーアウトしている場合、管理者が「Windows Hello for Business」や「FIDO2認証」を許可していない可能性が高いです。
3. ブラウザでサインイン画面を開き、キーを挿入する:実際の登録画面で「セキュリティキー」オプションが表示されるか確認します。表示されない場合、Azure AD側のポリシーが制限されています。
4. グループポリシーの結果レポートを取得する(ドメイン参加PCの場合):管理者でなくても、コマンドプロンプトを管理者として実行できれば「gpresult /H C:\report.html」でレポートを出力できます。ただし会社PCで管理者実行は避けてください。代わりに、「設定」→「アカウント」→「職場または学校」→「組織の管理」でポリシーの一部を確認できる場合があります。
5. イベントビューアーでエラーを確認する:Windowsキー+Rで「eventvwr.msc」と入力し、「Windows ログ」→「システム」を開きます。フィルターで「FIDO」や「Security Key」などのキーワードを検索すると、関連するエラーが見つかることがあります。
6. Microsoft Edgeの設定からWebAuthnの状態を確認する:アドレスバーに「about://settings/privacy」と入力し、「セキュリティ」→「WebAuthnを使用した認証を許可する」が有効になっているか確認してください。オフになっている場合はオンにします。

考えられる原因と切り分け方

原因を端末側・アカウント側・管理設定側に分けて整理します。以下の表を参考に、自分の状況に当てはまるものをチェックしてください。

切り分け軸	症状	確認すべきポイント
端末側	キーを挿入しても認識されない、ドライバーエラー	USBポートの変更、別のPCでキーが動作するか、デバイスマネージャーで「不明なデバイス」がないか
アカウント側	サインイン画面で「セキュリティキー」オプションが表示されない	Microsoft 365管理センターの認証方法ポリシー、ユーザーへのライセンス割り当て
管理設定側	「組織がこの機能を管理しています」というメッセージ	グループポリシー「Windows Hello for Businessの構成」「FIDO2セキュリティキー認証を許可する」の状態

まずは端末側の原因を切り分けるために、別のUSBポートに挿し直すか、別のPCでキーが使えるか試してください。それでも症状が変わらない場合、アカウント側や管理設定側が疑われます。管理設定側のポリシーは自己判断で変更できないため、管理者に以下の情報を伝えて確認を依頼してください。

端末側のトラブルシューティング

• USBポートの変更:背面のポートに直接挿す、USBハブを介さない、他のUSB機器を取り外す。
• ドライバーの更新:デバイスマネージャーで「ユニバーサル シリアル バス コントローラー」を展開し、不明なデバイスがあれば右クリック→「ドライバーの更新」。ただし、会社PCでは自動更新が制限されている場合があるため、管理者に連絡を。
• Bluetooth接続のキーの場合:Bluetoothがオンになっているか、ペアリングが正しく行われているか確認。設定→Bluetoothとデバイスから再ペアリングを試す。
• NFC接続のキーの場合:NFCリーダーが内蔵されているか、またNFCが有効になっているか確認(タスクバーのクイック設定にNFCボタンがある場合)。

アカウント側の確認項目

• サインイン方法のポリシー:管理者がAzure ADポータルで「認証方法」→「FIDO2セキュリティキー」を有効にしているか。ユーザーごとに適用範囲が制限されている場合があります。
• 多要素認証(MFA)の設定:FIDO2キーは強力な認証ですが、MFAの登録状況によっては追加の手順が必要。管理者に確認を。

管理設定側のポリシー調査(管理者向け情報)

以下のポリシーは通常、ユーザーが変更できません。管理者が確認すべき項目として、自分で調べられる範囲でレポートを取得する方法もありますが、基本的には管理者に以下の情報を伝えてください。

• グループポリシー: コンピューターの構成→管理用テンプレート→Windowsコンポーネント→Windows Hello for Business→「FIDO2セキュリティキー認証を許可する」が「有効」になっているか。
• モバイルデバイス管理(MDM): Intuneなどで「Authentication」→「FIDO2 security key」が許可されているか。
• 条件付きアクセス: サインイン時のセッションコントロールで「認証強度」が要求されている場合、キーがその要件を満たしているか。

失敗パターンとその対処

実際によくある失敗例を挙げます。

• 「このデバイスでは利用できません」と表示される:Windowsのバージョンが古い、または組織のポリシーで無効化されています。管理者にポリシーの確認を依頼してください。
• キーを認識してもPIN入力で進めない:セキュリティキー自体にPINが設定されていない、またはPINの長さや複雑さがポリシーに適合していない可能性があります。キーの管理ソフトでPINを再設定してください。
• ブラウザで「セキュリティキー」オプションがグレーアウト:WebAuthnが無効になっているか、ブラウザの設定でブロックされています。Edgeの設定でWebAuthnを許可し、拡張機能を一時的に無効にしてみてください。
• 「組織がこの機能を管理しています」と表示される:これはポリシーによる制限です。ユーザー側で変更できないため、管理者に連絡し、該当のポリシーを有効にしてもらう必要があります。

管理者へ伝えるべき情報

問題を管理者に報告する際は、以下の情報を添えるとスムーズです。

• 登録しようとした日時と、表示されたエラーメッセージのスクリーンショット
• Windowsのバージョン(winverの結果)
• セキュリティキーのメーカーと型番
• 使用したブラウザの種類とバージョン
• 「設定」→「アカウント」→「サインインオプション」の「セキュリティキー」の状態(表示されるかどうか)
• イベントビューアーで確認したエラーID(あれば)

管理者はこれらの情報をもとに、Azure ADの認証方法ポリシーやグループポリシーを確認し、必要なら修正できます。ユーザー側でレジストリやGPEDITを変更すると、セキュリティポリシー違反になる可能性があるため、絶対に行わないでください。

よくある質問

Q1. FIDO2キーはどのブラウザでも使えますか?
A. 最新のEdge、Chrome、Firefox、Safariなど主要ブラウザはWebAuthnに対応しています。ただし、組織のポリシーで特定のブラウザのみ許可されている場合があるため、管理者にご確認ください。

Q2. キーを購入する際の注意点は?
A. FIDO2 Certifiedのロゴがある製品を選んでください。また、USB-A/NFC/Bluetoothなど接続方式がPCに対応しているか確認しましょう。会社が推奨する機種があればそれに従うのが安全です。

Q3. 登録後にキーを紛失した場合はどうすれば?
A. すぐに管理者に連絡し、該当キーをアカウントから削除してもらってください。他の認証方法があればそれを使用し、復旧手順に従います。自己判断でキーを削除しようとすると、そのキーでしかサインインできなくなるリスクがあります。

まとめ

FIDO2セキュリティキーが会社アカウントに登録できない場合、多くの原因は管理ポリシーにあります。まずは端末側の接続やWindowsのバージョンを確認し、問題がなければ管理者にポリシーの調査を依頼しましょう。自己判断でレジストリやグループポリシーを変更することは避け、必ず管理者の指示を仰いでください。適切な情報を伝えることで、スムーズな解決につながります。

💻

Windowsトラブル完全解決データベース 起動不能、更新の不具合、動作が重い、設定の消失など、Windows 10/11のあらゆるトラブル解決手順を網羅しています。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。