Windows 11でUSBセキュリティキーを追加・設定する方法を徹底解説

物理的なUSBセキュリティキーは、パソコンのUSBポートに差し込んで使用するデバイスで、Windows 11やMicrosoftアカウントを保護するための追加のセキュリティレイヤーとして機能します。

Windows Helloをサインイン認証として使う場合、多くの人は顔認証や指紋認証を思い浮かべるでしょう。しかし、FIDO2準拠の物理的なUSBセキュリティキーを利用することも可能です。

固有のPINコードと組み合わせたUSBセキュリティキーは、パスワードレスのサインイン手段として利用できます。これにより、Windows 11へのサインインやMicrosoftアカウントへのアクセスがより安全に行えます。

セキュリティキーの使用には、物理的なデバイスの所持と、自分だけが知っている情報(固有のPINなど)の両方が必要となります。そのため、ユーザー名とパスワードだけによる認証よりも、はるかに強力な認証手段であるとされています。

Windows 11でUSBセキュリティキーをセットアップする

残念ながら、USBスタートアップキーのように手持ちのUSBフラッシュドライブを流用してセキュリティキーを作ることはできません。専用のFIDO2対応セキュリティキーを購入する必要があります。

マイクロソフトによると、FIDO2セキュリティキーとは「フィッシング不可能な、標準規格ベースのパスワードレス認証方式」のことです。FIDO2セキュリティキーは一般的に、BluetoothまたはNFCを搭載したUSBデバイスとして提供されています。

FIDO2のUSBセキュリティキーには認証処理を担うハードウェアが内蔵されているため、漏洩や推測のリスクがあるパスワード自体が存在せず、アカウントのセキュリティが大幅に向上します。セキュリティ要件の厳しい企業にとって理想的な選択肢であり、スマートフォンを第二要素とした認証を使いたくない、あるいは使えない従業員にとっても有用です。

筆者は出費を抑えたかったことと、他のYubiKey製品は必要以上の機能が多そうだったことから、Yubico製の「Security Key NFC」を購入しました。

YubicoのSecurity Key NFCは約25ドルという手頃な価格で、FIDO2(Fast IDentification Online)とU2F(Universal 2nd Factor)の両方に対応し、NFC接続に対応したUSB-A端子を備えています。さらにIP68等級の防水防塵性能を持ち、本体はセラミック製なので、キーチェーンにつけて日常的に持ち運んでも濡れや破損を心配する必要がありません。

USBセキュリティキーをどこで購入すればよいかわからない場合は、マイクロソフトがFIDO2セキュリティキーメーカーの詳細なリストを公開しています。以下では、MicrosoftアカウントとWindows 11でUSBセキュリティキーを設定・使用するための手順を順番に解説します。

Windows Hello設定でUSBセキュリティキーのPINを管理する

USBセキュリティキーのPINを変更したい場合や、キーを工場出荷時の状態に戻したい場合は、Windowsの設定画面から操作できます。手順は以下のとおりです。

1. 設定 > アカウント > サインインオプション を開きます。
2. サインイン方法の一覧から「セキュリティキー」を見つけ、管理をクリックします。
   
3. 管理をクリックすると、USBセキュリティキーの挿入を求めるウィンドウが表示されます。セキュリティキーをPCに挿入するか、NFCリーダーにタッチして本人確認を行ってください。
   
4. キーが認証されると、セキュリティキーPINの変更またはセキュリティキーのリセット(工場出荷時状態への初期化)を選択できるようになります。
   
5. 作業が完了したら閉じるをクリックします。

MicrosoftアカウントにUSBセキュリティキーを追加する

続いて、MicrosoftアカウントにUSBセキュリティキーを登録する手順を紹介します。

1. ブラウザでMicrosoftアカウントの「セキュリティ基本設定」ページにサインインします。
2. 高度なセキュリティオプションの下にある「開始する」をクリックします。
   
3. 新しいサインインまたは確認方法を追加をクリックします。
   
4. セキュリティキーを使用するを選択します。
   
5. USBデバイスタブが選択されていることを確認し、セキュリティキーをPCに挿入したら次へをクリックします。
   
6. 次にPINの設定画面が表示されます。PINを設定して確認したらOKをクリックしてください。
   
7. 最後に、後で識別できるようセキュリティキーに名前を付けます。任意の名前を入力して次へをクリックしましょう。筆者は「Security Key NFC by Yubico」という名前を付けました。
   
8. これで設定完了です!次回からは、セキュリティキーとPINを使ってMicrosoftアカウントにサインインできるようになります。
   

この画面から別のセキュリティキーを追加することもできますし、了解しましたをクリックしてMicrosoftアカウントのセキュリティダッシュボードへ戻ることも可能です。

登録が完了すると、本人確認方法の一覧にセキュリティキーがサインイン用の確認オプションとして表示されます。

なお、Microsoftアカウントには最大10個まで物理的なセキュリティキーを登録できます。予備のキーを用意しておくと、万が一紛失した場合でも安心です。

これで、物理的なUSBセキュリティキーとPINを使ってMicrosoftアカウントにサインインできるようになりました。USBキーをPCに挿入してPINを入力するだけで、MicrosoftアカウントとPCにすばやくアクセスできます。

あなたはWindows 11でYubiKeyや他ブランドのセキュリティキーを使ったことはありますか?USBドライブの紛失や故障で困った経験はありますか?ぜひコメント欄でお聞かせください。