FIDO2 で Windows に サインインする（Entra Join 編）

# はじめに
本記事では、FIDO2 セキュリティキー を使用して Microsoft Entra ID アカウント で Windows にサインイン する方法を紹介します。

本件を検証する前に、色々と 下調べしたのですが、ローカルアカウント しかサポートしていない等の情報が多く引っ掛かって、成功例は 見当たらず、そもそも 無理なんじゃないかと諦めかけていました。

ですが、以下の公開情報を見つけて、頑張れば なんとかできるんじゃないかと思い、トライしてみました。

**公開情報：FIDO2 セキュリティ キーを使用して Microsoft Entra ID による Windows 10 および 11 デバイスへのサインインを有効にする**
https://learn.microsoft.com/ja-jp/entra/identity/authentication/howto-authentication-passwordless-security-key-windows?wt.mc_id=mvp_407731

:::note info
**宣伝**
私が執筆した FIDO2 に関する記事は、他にも 以下の ストックリスト で公開していますので、こちらも 参考にしてみてください。 

**＠carol0226 による FIDO2 の公開ストックリスト**
https://qiita.com/carol0226/stocks/3670cb8678daed11b191
:::


---

# 本記事のターゲット
「FIDO2 セキュリティキー を使用して Windows にサインイン」を有効化する方法は、いくつか用意されていますが、本記事では ① の Intune を使った手順を紹介します。
① **Microsoft Intune で有効にする**
② ターゲットとなる Microsoft Intune のデプロイ
③ プロビジョニング パッケージを使用して有効にする
④ グループ ポリシーで有効にする (Microsoft Entra ハイブリッド参加済みデバイスのみ)

※① は、Intune に登録された全デバイスを対象。② では、グループに割り当てられたデバイスのみを、FIDO2 サインイン の対象とすることができます。

**公開情報：Windows サインインのセキュリティ キーを有効にする**
https://learn.microsoft.com/ja-jp/entra/identity/authentication/howto-authentication-passwordless-security-key-windows?wt.mc_id=mvp_407731#enable-security-keys-for-windows-sign-in

:::note info
**お知らせ**
④ のパターンを使うと、"FIDO2 で Active Directory ドメイン への ログオン" が可能になります。
別途 記事を投稿してありますので、併せて参照ください。
**FIDO2 で Windows にサインインする（ADドメイン編）**
https://qiita.com/carol0226/items/87dbd1f57f80f6da3968
:::

---

# 前提事項
本記事では、Microsoft Entra 参加済み デバイス が対象になります。
以下の 公開情報 の 要件 の表で、左側の列です。

**公開情報：要件**
https://learn.microsoft.com/ja-jp/entra/identity/authentication/howto-authentication-passwordless-security-key-windows?wt.mc_id=mvp_407731#requirements

上記の 公開情報 の 要件 を元にした結果、以下の ①～③ を全て満たしておく必要があることが判りました。

## ① Intune の構成
FIDO2 セキュリティ キー でのサインインを有効化するために、本記事では Intune を使います。
以下の記事を参考に、テナント の構成と Intune ライセンス の手配が必要です。

**Windows デバイス を Intune に自動登録する**
https://qiita.com/carol0226/items/e75b04f2a6a99fa6bcf7

---

## ② Microsoft Entra 多要素認証
以下の記事を参考に Microsoft Entra 参加済み（Microsoft Entra Joined）となったデバイスがあれば、要件が満たされます。

**Microsoft Entra Join の手順 (Windows 11)**
https://qiita.com/carol0226/items/74efd0c2cce7fc42e110

**Microsoft Entra Join の 手順 (Windows 10)**
https://qiita.com/carol0226/items/eba166a0a4b2e7df3a92
※Windows 10 バージョン 1909 以降が実行されている必要があります。

## ③ 統合されたセキュリティ情報の登録（FIDO2 セキュリティー キー）
以下の記事で紹介している内容で テナントで FIDO2 セキュリティー キー が利用できるように構成され、ユーザーに FIDO2 セキュリティ キー が割り当てられている必要があります。

**Microsoft Entra ID の認証を FIDO2 で出来るようにする**
https://qiita.com/carol0226/private/8586291079d941f62f7b

:::note info
**ポイント**
つまり、③ で Microsoft Entra ID を使った Web サービスに対して FIDO2 で認証ができるようになっていれば、あとは Intune を使って OS 側で FIDO2 でのサインインを有効すれば、OK ということです。
:::

---

# 構成手順

## Microsoft Intune で有効にする
Intune で行う構成は、１か所のみです。たったこれだけです。

0. Intune 管理センター にサインインします。
https://intune.microsoft.com
　<br>
0. 以下の画面のとおり、操作を進めて、最後に **保存** を押します。
左ペインの **デバイス** から **登録** を選択し、**Windows Hello for Business** を開きます。
開かれた右側ウィンドウを 一番下までスクロールして **Use security keys for sign-in** の設定を **Enabled** に変更します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/2690ee9e-29cf-dfbd-fd59-c264e51074c2.png)

**公開情報：Microsoft Intune で有効にする**
https://learn.microsoft.com/ja-jp/entra/identity/authentication/howto-authentication-passwordless-security-key-windows?wt.mc_id=mvp_407731#enable-with-microsoft-intune

---

# 動作確認
## FIDO2 セキュリティ キーを使用してサインインする
0. 前章で Intune 側の構成を変更したあと、Intune に登録されたデバイスを再起動します。
　<br>
0. 設定が PC にうまく反映されると、緑下線の **サインイン オプション** を押した際に、以下の通り 赤枠（セキュリティキー）のアイコンが追加されます。
※設定の反映にタイムラグがありえますが、私は 10 分後くらいに反映されてました。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/ddeaf7df-5250-9f54-7fce-0697a86a629d.png)
　<br>
0. 以下の画面が FIDO2 で OS にサインインできる画面です。
ここで、FIDO2 セキュリティ キー を挿入して PIN を入力します。
※アカウント名を入力しなくても良いんですね・・・（キー内に ID も保存されている）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/efd27c2a-c424-48bf-bf42-eea645a2aa1a.png)
　<br>
0. 正しい PIN が入力されたら、以下の画面が表示されます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/63078058-b9ff-bcd9-b638-6323c089cce1.png)
　<br>
0. FIDO2 セキュリティ キー に 指タッチします。
下図は、私が検証した YubiKey です。この時に ランプが点灯しています。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/1cb74b86-47e4-ac1c-33d5-f45c1ec44d6d.png)
　<br>
0. これで 以下の画面に遷移されて サインイン が完了します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/d7af1a87-2a35-30fe-c3c4-27b0cce21865.png)

以上のように、あらかじめ FIDO2 セキュリティ キー に Microsoft Entra アカウント が登録されていれば、OS の初回ログオンから、パスワードレス で サインイン することが出来ました。

**公開情報：FIDO2 セキュリティ キーを使用してサインインする**
https://learn.microsoft.com/ja-jp/entra/identity/authentication/howto-authentication-passwordless-security-key-windows?wt.mc_id=mvp_407731#sign-in-with-fido2-security-key

---

# さいごに
成功してみると、非常に簡単に構成出来ることが判りました。
現在は、テナント側も PC 側も 初期設定を行わないと FIDO2 が利用できませんが、将来的には 既定の構成のままで 利用できるようになっても良いんじゃないかと 個人的に思います。

これをやりたいと思っても、巷の情報で、中々 成功事例を見つけられなかったのですが、本記事を参考にチャレンジしてみていただければ幸いです。

# Next Step
公開情報には、以下の通り **オンプレミスのリソースへの SSO** という記事が記載されています。

**公開情報：オンプレミスのリソースへの SSO**
https://learn.microsoft.com/ja-jp/entra/identity/authentication/howto-authentication-passwordless-security-key-on-premises?wt.mc_id=mvp_407731

これについては、私の記事でも紹介していますので、合わせて構成しておくと良いと思います。
Microsoft Entra 参加済み デバイスを、社内LAN に持ち込んだ際に、ファイルサーバーなどの ドメイン環境のリソースに アクセスできるようになります。

https://qiita.com/carol0226/items/a52a54ff63c19fa957e6

# 参考
以下の公開情報で、FAQ や トラブルシューティング が掲載されています。
これは、構築後に動作確認した後のタイミングで良いので、目を通しておくと その後の運用時に無駄にハマらずに済むかもしれません。

https://learn.microsoft.com/ja-jp/entra/identity/authentication/howto-authentication-passwordless-faqs?wt.mc_id=mvp_407731

https://learn.microsoft.com/ja-jp/entra/identity/authentication/howto-authentication-passwordless-troubleshoot?wt.mc_id=mvp_407731

# 関連情報

**Yubico : Phishing-Resistant Authentication for cloud native environments with Microsoft Entra ID using FIDO2**
Microsoft Entra Join 環境で Yubikey を扱う為のドキュメントです。
https://support.yubico.com/hc/en-us/articles/8315912789660-Phishing-Resistant-Authentication-for-cloud-native-environments-with-Microsoft-Entra-ID-using-FIDO2