【Windows】FIDO2セキュリティキーがサインイン画面では使えるのに社内サイトで使えない場合の切り分け

FIDO2セキュリティキーがWindowsのサインイン画面では問題なく動作するのに、社内のWebサイトで認証しようとすると認識されない、あるいはエラーが発生するという症状は意外に多く報告されています。サインイン画面で使えるということはキー自体のハードウェアやPINは正常ですが、社内サイトでは別の要素が影響している可能性があります。この記事では、原因を端末側・アカウント側・管理設定側に切り分け、実務で役立つ確認手順を順を追って解説します。

1. 症状を正確に切り分ける

まずは「サインイン画面では使える」という状態を詳しく確認します。FIDO2キーでWindowsにサインインできるということは、キー自体の認証情報(秘密鍵)とPINは正常で、WindowsのFIDO2スタックも動作しています。一方、社内サイトで使えない原因はブラウザ、サイトの設定、あるいはネットワーク経路上の問題がほとんどです。

以下の表を使って、現在の状態を整理してください。

確認項目	サインイン画面	社内サイト
キーのLEDが点滅・点灯するか	通常は点灯する	点灯しない場合、USBポートやブラウザの認識に問題
PIN入力画面が表示されるか	PIN入力後にサインイン	表示されない場合、ブラウザがWebAuthnリクエストを発行していない
エラーメッセージの内容	なし	「セキュリティキーが認識されません」「このサイトはセキュリティキーに対応していません」など

この切り分けにより、問題がブラウザ側かサイト側か、あるいはUSB接続の一時的な問題かがおおよそ特定できます。

サインイン画面と社内サイトの違い

WindowsサインインはOSのFIDO2スタックが直接キーと通信します。一方、社内サイトはブラウザがWebAuthn APIを介してキーと通信します。このため、ブラウザの設定や拡張機能、サイトの証明書要件などが影響します。

2. ブラウザとFIDO2の互換性を確認する

社内サイトを利用するブラウザがFIDO2/WebAuthnに対応しているかどうかは最重要ポイントです。以下の手順で確認してください。

1. ブラウザのバージョンを確認する。Microsoft Edge 80以降、Google Chrome 67以降、Mozilla Firefox 60以降、Safari 13.1以降がWebAuthnをサポートしています。社内で古いブラウザを使用していないか確認してください。
2. ブラウザの設定で「FIDO2」や「セキュリティキー」に関する項目が無効になっていないか確認する。Edgeの場合は「edge://settings/passwords」で「パスワードマネージャー」の設定、Chromeでは「chrome://settings/security」で「セキュリティキーの管理」を開きます。
3. 拡張機能が干渉していないか確認する。特に「パスワードマネージャー」系の拡張機能はWebAuthnリクエストをブロックする場合があります。シークレットモード/InPrivateモードで拡張機能を無効にして試してください。
4. ブラウザのキャッシュとCookieをクリアする。古い認証情報が残っていると正しく動作しないことがあります。「設定」→「プライバシーとセキュリティ」→「閲覧データのクリア」で、期間を「全期間」に設定し、Cookieとキャッシュを削除します。
5. 別のブラウザで同じ社内サイトにアクセスし、FIDO2認証ができるか試す。これで問題がブラウザ固有かどうかがわかります。

失敗パターン:ブラウザの自動入力設定

ブラウザのパスワード自動入力機能が有効だと、FIDO2認証の代わりに保存済みパスワードが使われ、キーの出番が回ってこないことがあります。この場合、サイトのログインフォームで「セキュリティキーでサインイン」といった明示的なボタンをクリックする必要があります。社内サイトがWebAuthnオプションを表示するかどうかも確認してください。

3. Windows HelloとFIDO2の設定を確認する

Windows HelloはFIDO2認証と深く連携しています。Windows Helloの設定でセキュリティキーが正しく登録されているか確認します。

1. 「設定」→「アカウント」→「サインインオプション」→「セキュリティキー」を開きます。
2. 一覧に使用しているFIDO2キーが表示されていることを確認します。表示されない場合はキーが認識されていないか、登録が不完全です。
3. 「管理」をクリックし、キーのPINや指紋が変更可能か確認します。PINを忘れた場合はリセットが必要ですが、自己判断で行わず管理者に相談してください。
4. Windows Helloの顔認証や指紋認証が有効だと、そちらが優先されることがあります。一時的に無効にしてFIDO2キーのみで試すのも有効です。
5. 「設定」→「アカウント」→「サインインオプション」で「Windows Hello とセキュリティキーに関する追加の設定」を開き、すべてのオプションが有効か確認します。

注意点:資格情報の削除は慎重に

Windows Helloの管理画面から「セキュリティキーを削除」するオプションがありますが、これを実行するとそのキーで保護していたすべての認証情報が失われます。社内サイトやAzure ADの登録も解除されるため、再登録が必要になります。会社のアカウントによっては再登録に管理者の承認が必要な場合もあるため、削除は最終手段として管理者に連絡してください。

4. デバイスドライバとUSBポートのトラブルシューティング

サインイン画面では使えるということは、USBポート自体に物理的な問題は少ないですが、ブラウザからキーにアクセスする際のドライバや電力供給に問題がある場合があります。以下の手順で確認してください。

1. キーを別のUSBポート(できればPC本体のポート)に挿し直します。ハブや延長ケーブルを使用している場合は外して直接接続してください。
2. 「デバイスマネージャー」を開き、「ユニバーサル シリアル バス コントローラー」の配下に「不明なデバイス」や黄色い警告マークがないか確認します。あればドライバを更新します。
3. 「セキュリティ デバイス」または「生体認証デバイス」のカテゴリにFIDO2キーが表示されているか確認します。表示されない場合はドライバの再インストールが必要です。メーカーの公式ドライバがある場合は適用します。
4. USBセレクティブサスペンドの設定をオフにしてみます。電源管理でUSBポートが省電力モードに入るとキーが認識されなくなることがあります。「コントロールパネル」→「電源オプション」→「プラン設定の変更」→「詳細な電源設定の変更」→「USB設定」→「USB セレクティブ サスペンドの設定」を「無効」にします。
5. PCを再起動し、BIOS/UEFIレベルでUSBコントローラーが正しく認識されているか確認します。特にセキュアブートやTPMの設定が影響する場合もあるため、管理者に確認してください。

比較表:一般的なUSBトラブルシューティング

対処法	効果が期待できるケース	注意点
別のUSBポートに挿す	ポートの接触不良や電力不足	フロントUSBよりリアUSBが安定
USBハブを外す	ハブが認識を妨げている場合	ハブに電源供給がある場合は接続可
ドライバの再インストール	デバイスマネージャーでエラーが出ている	ドライバはOS標準またはメーカーサイトから

5. 管理者に確認すべき制限ポリシー

会社のPCではグループポリシーやIntuneなどでFIDO2キーの使用が制限されているケースがあります。サインイン画面では使えても、社内サイトでは追加の認証要件や証明書が必要な場合があります。

• グループポリシー: 管理者は「コンピューターの構成」→「管理用テンプレート」→「Windowsコンポーネント」→「Windows Hello for Business」などでFIDO2キーの利用を制御できます。特に「セキュリティキーの使用を許可する」が無効になっていると、WebAuthnによる認証がブロックされます。
• 証明書要件: 社内サイトがクライアント証明書を要求している場合、FIDO2キーだけでは認証できません。キーに証明書が格納されているか、または別途証明書をインストールする必要があります。管理者にサイトの認証方式を確認してください。
• Azure AD / Entra IDの条件付きアクセス: テナントの条件付きアクセスポリシーで、FIDO2キー以外の認証方法が強制されている可能性があります。アクセスログを確認してもらうと原因がわかります。
• ブラウザの管理ポリシー: 社内ブラウザが拡張機能や設定を強制されている場合、WebAuthnが無効化されていることがあります。管理者にブラウザポリシーを確認依頼してください。

管理者へ伝える情報

切り分けを依頼する際は、以下の情報をまとめて伝えるとスムーズです。

• FIDO2キーのメーカー・型番・ファームウェアバージョン
• 使用しているブラウザの種類とバージョン
• 社内サイトのURLと、エラーメッセージのスクリーンショット
• Windowsのバージョンとエディション(例:Windows 11 Pro 22H2)
• サインイン画面では使えることの確認

6. よくある質問とまとめ

よくある質問

Q. サインイン画面では使えるのに、なぜ社内サイトだけ使えないのですか?
A. 最も多い原因はブラウザの互換性か、サイト側がWebAuthnリクエストを正しく発行していないことです。また、会社のセキュリティポリシーでWebAuthnが許可されていないケースもあります。

Q. キーを別のPCで試すことはできますか?
A. 可能です。ただし、キーに登録されている認証情報はPCごとに独立している場合があります。社内サイトで使うにはそのPCでもキーを登録する必要があります。管理者に相談の上、テスト用PCで試してください。

Q. エラーメッセージが出ない場合はどうすればいいですか?
A. ブラウザのデベロッパーツール(F12)を開き、「コンソール」タブでエラーログを確認します。特に「WebAuthn」や「security key」関連のエラーがないか確認してください。

Q. 会社から支給されたFIDO2キーですが、自分でPINをリセットしても大丈夫ですか?
A. メーカーのツールでPINリセットが可能な場合もありますが、キーが会社の管理下にある場合は管理者の指示に従ってください。自己判断でリセットすると、キーとの紐付けが切れて復旧できなくなる恐れがあります。

まとめ

FIDO2セキュリティキーがサインイン画面では動作するのに社内サイトで使えない問題は、多くの場合ブラウザ設定、サイト互換性、または会社のポリシーが原因です。まずはブラウザの変更やキャッシュクリアを試し、次にWindows HelloとUSBドライバを確認します。それでも解決しない場合は、管理者にポリシーや証明書要件を問い合わせてください。自己判断でキーのデータを消去する前に、必ず管理者の指示を仰ぐことを推奨します。

💻

Windowsトラブル完全解決データベース 起動不能、更新の不具合、動作が重い、設定の消失など、Windows 10/11のあらゆるトラブル解決手順を網羅しています。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。