パスワード不要認証（Passkeys）とIdP：2025年企業が備えるべき変化

パスワードは数十年にわたり認証の基本でしたが、今ではセキュリティ脆弱性の主要な原因として指摘されています。フィッシング、再利用、流出 — パスワードが引き起こす問題は、IT担当者にとって日常茶飯事です。2025年、この変化に対する現実的な代替手段として、パスキー（Passkeys）が本格的にエンタープライズ環境に進出しています。

この記事では、パスキーとは何か、IdP（Identity Provider）がこの移行でどのような役割を担うのかを解説します。

パスキーとは何か

パスキーはFIDO Allianceが標準化したFIDO2/WebAuthnベースの認証方式です。公開鍵暗号を使用し、パスワードなしでデバイス（生体認証、PIN、パターン）のみで認証を完了します。

主な特徴は以下の通りです。

• サーバーにはパスワードの代わりに公開鍵のみ保存されるため、流出しても危険なし • フィッシングサイトでは機能しない（ドメインバインディング） • デバイスに保存される秘密鍵はユーザーのみアクセス可能 • Apple、Google、Microsoftの主要プラットフォームすべてがサポート

パスワード不要認証が重要な理由

エンタープライズ環境においてパスワードがもたらすコストは思った以上に大きいです。Gartnerによると、企業のサポートセンターチケットの20〜50%がパスワードリセット関連です。またVerizon DBIRによると、侵害インシデントの80%以上がパスワード関連攻撃（フィッシング、クレデンシャルスタッフィング、ブルートフォース）と関連しています。

SSOとはがパスワードを「一箇所に集める」アプローチなら、パスキーはパスワードそのものを「なくす」アプローチです。両方式は排他的ではなく、通常はSSO + IdP → IdPでパスキー認証をサポートする構造で進められます。

IdPにおけるパスキーの動作方式

IdPがパスキーをサポートするということは、以下を意味します。

1. ユーザーがIdPにパスキーを登録します（公開鍵がIdPサーバーに保存されます）
2. ログイン時にIdPがWebAuthnチャレンジを発行します
3. ユーザーのデバイスで秘密鍵で署名して応答します
4. IdPが署名を検証しセッションを発行します

この構造ではIdPがパスキー認証の認証機関となります。SAML、OIDC連携を通じて下位サービスアプリはIdPの認証結果のみ受信するため、各アプリが個別にパスキーを実装する必要はありません。

既存MFAとの関係

TOTPベースMFAはパスワードに追加される「第二の要素」です。一方パスキーはパスワード自体を置き換える「単一要素」でありながら、デバイス所持 + 生体/PINという本質的に多要素な方式です。

そのためパスキー導入時は既存MFAとの関係を明確にする必要があります。

• パスキーのみ使用：最もシンプルな構成、パスワード完全排除 • パスキー + MFA強化：規制要件が厳しい環境での追加セキュリティ層 • 段階的移行：パスワード → パスワード + パスキー → パスキーのみ（漸進的マイグレーション）

IdPレベルでこのポリシーを柔軟に設定できる必要があります。特定グループにのみパスキーを強制したり、特定アプリアクセス時にのみ要求するなどポリシーベースの制御が重要です。

B2B SaaS運営者が考慮すべき点

SaaSプロバイダー視点では、パスキーサポートは顧客のセキュリティ要件に応える重要な要素となっています。エンタープライズ顧客のセキュリティ監査で「パスワード不要認証のサポート有無」項目がますます頻繁に登場しています。

どう対応すればよいか

B2B SaaSが自前でパスキーを実装する必要はありません。IdPがパスキーをサポートしていれば、SAML/OIDC SSO連携を通じて下位サービスアプリは自動的にパスキー認証の恩恵を受けられます。

マルチデバイス同期

エンタープライズ環境で一人のユーザーが複数デバイスを使用することは日常です。パスキーが一つのデバイスにのみ保存されていれば、デバイス紛失時にアクセス不可能になります。クラウド同期機能をサポートしているか確認が必要です。Apple iCloud Keychain、Google Password Manager、Windows Helloなどの同期メカニズムが主に使用されます。

バックアップとリカバリ

パスワードがなくなった環境でのアカウント復旧は新しい課題です。パスキーを紛失したユーザーのためのリカバリパス（バックアップコード、管理者承認、予備パスキーなど）をIdPレベルで設計する必要があります。

導入チェックリスト

パスキーをIdPに導入する前に点検する項目です。

• IdPがWebAuthn/FIDO2の登録および認証をサポートしているか • パスワードとパスキーを併用できるマイグレーション経路があるか • グループ/ポリシー別にパスキー強制設定が可能か • クラウド同期パスキーをサポートしているか（エンタープライズ環境で必須） • パスキー紛失時のリカバリプロセスが定義されているか • SAML/OIDC連携時、下位アプリに影響なくIdPでのみ処理されるか • SCIMプロビジョニングと連携時、パスキー状態がどのように管理されるか

パスワードなしの未来は、IdPから始まる

パスキー導入は数十年のパスワード習慣を変える変化ですが、すべてのアプリを一度に変更する必要はありません。IdPが中央でパスキーをサポートすれば、連携されたすべてのサービスに自動的に適用されます。SSOがパスワードを一箇所に集めたなら、パスキーはそのパスワードさえも排除します。

AxiPassはOIDC/SAML SSO、MFAポリシー、SCIMプロビジョニングを統合提供するB2B SaaS専用IdPです。パスワード不要認証の未来をIdPで備えたいなら、無料で始めるで確認してみてください。