「スマホがない！」への神対応。管理者が発行する「一時的なアクセスパス」の使い方

2026年3月4日

「すみません！スマホを家に忘れてきてしまって……Microsoft Authenticator が使えなくて Teams にログインできないんですが、どうすれば……」

MFA（多要素認証）が必須の環境では、スマートフォンを忘れただけで業務が完全にストップしてしまいます。
かといって、セキュリティのためにあえて導入した MFA を「今日だけ例外」として無効化するわけにもいきません。

そんな緊急事態に颯爽と対応できる管理者の切り札が、一時アクセスパス（Temporary Access Pass / TAP） です。

一時アクセスパス（TAP）とは？

TAP は、Microsoft Entra ID（旧 Azure AD）が提供する時間制限付きパスコードです。
管理者がユーザーに対して発行し、一定時間（デフォルトは1時間、最大30日）だけ有効な「緊急用ワンタイムパスワード」として機能します。

Microsoft の公式ドキュメント（Configure a Temporary Access Pass in Microsoft Entra ID）によると、TAP には以下の特徴があります。

強力な認証資格情報として扱われる:
TAP は Microsoft Entra ID において「強力な認証方法（Strong Authentication）」として扱われます。
条件付きアクセスや認証強度ポリシーの構成によっては、多要素認証（MFA）要件を満たす認証方法として使用できます。
1回限りの使用と複数回使用の選択が可能:
セキュリティポリシーに応じて設定できます。
有効期間を細かく設定できる:
有効期間はポリシーで定義され、最短10分から最長43,200分（30日）まで設定可能です。
発行時の既定値はテナントのポリシー設定に依存します。
開始日時の予約設定が可能:
翌日入社の新入社員のために事前発行するといった使い方もできます。

参考：一時アクセスパスを構成してパスワードレス認証方法を登録する

Japan Azure Identity Support Blog：一時アクセスパスによるセキュアな認証方式の展開

TAP を使うと、ユーザーは以下のことが可能になります。

緊急アクセス（今回のメインユース）

認証方法の再登録

サインイン後、https://aka.ms/mysecurityinfo にアクセスして、新しい Microsoft Authenticator やパスキー（FIDO2 セキュリティキー）を登録できる

Windows Hello for Business のセットアップ

新入社員のオンボーディング

TAP を使うには、まず組織のポリシーで有効化する必要があります。
この設定は 認証ポリシー管理者 以上のロールが必要です。

注意:
TAP ポリシーを「すべてのユーザー」に適用すると、攻撃リスクが広がります。特定のグループ（例：IT ヘルプデスク対応者）のみを対象にするか、運用フローを整備した上でのポリシー設計を推奨します。

TAP ポリシーが有効化されていれば、
スマホを家に忘れてきてしまったジェニファーさんへの対応は 約 2 分 で完了します。

必要なロール: グローバル管理者、特権認証管理者、または認証管理者