Windows Hello for Businessを多要素認証として導入する手順｜前提条件と構成の選び方

Windows Hello for Business（以下WHfB）は、Windowsのサインインをパスワードの入力から、その端末に紐づいた鍵とPIN・生体認証の組み合わせに置き換える仕組みです。「顔で入るだけなのに、なぜ2要素認証になるのか」を先に理解しておかないと、構成を選ぶ段階で判断を誤ります。この記事では、前提条件の確認から構成の選択、展開、確認までを順に整理します。

WHfBで「何が満たせて、何が満たせないのか」という範囲の話は Windows Hello for Businessは2要素認証になるのかで扱っています。本記事は実際に入れるときの手順に絞ります。

なぜPINが2要素目として成立するのか

導入判断の前に、ここだけは押さえてください。WHfBのPINは、パスワードの短い版ではありません。

• PINはネットワークを流れない — サーバーに送られるのはPINそのものではなく、端末内の鍵で作られた署名です
• PINはその端末でしか使えない — 盗み見られても、別のPCでは何の意味も持ちません
• 鍵は端末のTPMに保管される — 取り出して他所で使うことができません

つまり認証は「その端末を持っていること（所持）」と「PINを知っている、あるいは本人の顔・指紋であること（知識／生体）」の2つで成り立ちます。パスワードのように「知っているだけで、どこからでも通過できる」性質がないため、2要素として成立します。要素の考え方そのものは 多要素認証の基礎で整理しています。

逆に言えば、TPMが使えない端末でWHfBをソフトウェア鍵として運用すると、この前提のうち「所持」の強さが落ちます。次の前提条件で必ず確認してください。

手順1：前提条件を確認する

WHfBは、端末とID管理基盤の両方に条件があります。先にここを確認せずに展開を始めると、一部の端末だけ登録できないという中途半端な状態になります。

TPMの状態は、対象PCで次を実行すると確認できます。

tpm.msc

「TPM は使用する準備ができています」と表示されれば有効です。PowerShellで確認する場合は次を使います。

Get-Tpm

TpmPresent と TpmReady がいずれも True であることを確認してください。TpmPresent が False の端末は、BIOS／UEFIでTPMが無効化されているか、そもそも搭載されていません。該当端末が混ざっていると後から個別対応になるため、展開前に洗い出しておきます。

既存のOSログインがID・パスワードだけになっている範囲の確認は Windows OSログインの2要素認証にまとめています。

手順2：構成を選ぶ

WHfBには複数の展開モデルがあります。選択を誤ると、社内のファイルサーバーに繋がらないという形で後から問題が出ます。判断は「社内にActive Directoryがあるか」で分かれます。

Active Directoryがある環境で、社内の共有フォルダや業務サーバーへのアクセスを維持したい場合、ここを「クラウドのみ」で入れるとシングルサインオンが効きません。該当する場合はハイブリッド構成を選びます。ローカル・Active Directory・Entra IDの関係が整理できていない場合は WindowsのID管理の違いを先に確認してください。

手順3：小さく試す

全社に配る前に、必ず数台で試します。WHfBは端末ごとに登録が走るため、問題があると全社同時に問い合わせが発生します。

• 対象は3〜5台 — 機種が複数あるなら、機種ごとに1台ずつ含める
• 実際の業務を1日通す — ログインだけでなく、共有フォルダ・業務システム・VPNまで確認する
• 生体認証が使えない端末での挙動も見る — PINのみで問題なく運用できるかを確認する

利用者側の登録は、対象PCの 設定 > アカウント > サインイン オプション から行います。ポリシーが適用されていれば、初回サインイン後に登録を促す画面が表示されます。

手順4：グループポリシーまたはIntuneで展開する

Active Directory環境（グループポリシー）の場合、次の場所で有効化します。

コンピューターの構成 > ポリシー > 管理用テンプレート > Windows コンポーネント > Windows Hello for Business > 「Windows Hello for Business を使用する」を「有効」

同じ階層でPINの要件（最小文字数、英字・記号の要否）も設定できます。ここを厳しくしすぎると、利用者がPINを忘れて問い合わせが増えます。PINは端末外では使えないため、パスワードと同じ感覚で長さを要求する必要はありません。

Intuneの場合は、デバイス > 登録 > Windows Hello for Business でテナント全体の既定を設定するか、構成プロファイルで対象を絞って配布します。

グループポリシーで設定できるアカウント保護の範囲は グループポリシーでのアカウント保護設定にまとめています。

手順5：適用されたかを確認する

配布しただけでは確認になりません。対象PCで次を実行します。

dsregcmd /status

出力の中で次を見ます。

• AzureAdJoined / DomainJoined — 想定した参加状態になっているか
• NgcSet — YES であれば、そのユーザーのWHfBの鍵が作成済みです
• WamDefaultSet — シングルサインオンの前提が整っているか

NgcSet が NO のままの端末は、ポリシーは届いていても登録が完了していません。利用者が登録画面をスキップしている場合が多く、その場合はサインイン オプションから手動で登録してもらいます。

導入後に残る穴

WHfBを入れても、パスワードそのものは消えていません。ここが最も見落とされる点です。

• パスワードでのサインインが併存する — 別の端末やWeb経由では、従来どおりパスワードで入れる状態が残ります
• リモートデスクトップ接続 — 構成によってはWHfBが効かず、パスワードでの接続が通ります（リモートデスクトップの多要素認証）
• 共有アカウント — 1つのIDを複数人で使う運用では、そもそも本人であることを確認できません（共有アカウントの廃止）
• サービスアカウント — 人が使わないアカウントはWHfBの対象外です（サービスアカウントの管理）

「端末のログインは強くしたが、同じIDとパスワードで外から入れる経路が残っている」という状態では、対策として完結しません。経路ごとの穴の残り方は 多要素認証をすり抜ける経路で整理しています。

よくある質問

Windows Hello for Businessは多要素認証として認められますか

端末に紐づいた鍵（所持）と、PINまたは生体（知識／生体）の組み合わせで成立するため、多要素認証として扱われます。ただし審査や取引先の要件で問われる場合は、どの経路に適用されているかまで示せる必要があります。

TPMがない端末でも使えますか

ポリシーによってはソフトウェアで鍵を保持する形で動作しますが、鍵の保護強度は下がります。多要素認証として運用する前提なら、TPM 2.0 が有効な端末に揃えることをおすすめします。

PINを忘れた場合はどうなりますか

その端末の鍵を作り直すことになります。Entra ID側の本人確認を経てPINをリセットする流れになるため、事前にリセット手段を用意しておかないと現地対応が必要になります。

導入後もパスワードは残りますか

残ります。WHfBは端末のサインイン方法を置き換えるもので、アカウント自体のパスワードが消えるわけではありません。パスワード自体をなくす構成にするには、別途設定が必要です。

自社の対応状況を確認するには

WHfBは端末のログインを強くする手段ですが、守るべき経路は端末だけではありません。サーバー、リモートアクセス、パスワード管理、アカウント管理まで含めて、どこが弱いかを把握しておく必要があります。applippliの無料診断では、約3分の質問に回答するだけで、ID・パスワードに関連する対応状況を5段階で判定し、結果をPDFレポートでお届けします。個人情報の入力は不要で、会員登録もありません。

参考・出典

• Microsoft Learn「Windows Hello for Business」
• Microsoft Learn「Windows Hello for Business の展開」
• 情報処理推進機構（IPA）情報セキュリティ

※ 本記事は2026年9月時点の一般的な解説です。画面の名称・設定項目の場所は、Windowsおよび管理ツールのバージョンによって異なる場合があります。設定の変更は、影響範囲を確認のうえ実施してください。