■回答

Microsoft では、認証基盤の障害や条件付きアクセス ポリシーの誤設定などにより、管理者がテナントへアクセスできなくなる事態に備えて、緊急アクセス アカウント（Break Glass アカウント）の準備を推奨しています。

Microsoft が案内している主な要件は以下のとおりです。

・オンプレミス環境からフェデレーションまたは同期されていない、クラウド専用（*.onmicrosoft.com ドメイン）のアカウントを最低 2 つ作成すること。

・条件付きアクセス ポリシーの対象から除外すること。

・パスキー（FIDO2）や証明書ベース認証など、フィッシング耐性のある認証方式を利用すること。

・資格情報を厳重に保護し、利用を許可された担当者のみがアクセスできるよう管理すること。

・グローバル管理者ロールの割り当てを永続的にアクティブにすること。

・緊急アクセス アカウントのサインインや利用時にアラートを発報できるよう監視を構成すること。

■パスキー（FIDO2）や証明書ベース認証を推奨する理由

パスキー（FIDO2）などのパスワードレス認証を利用することで、パスワード入力や SMS、Microsoft Authenticator による確認に依存しない認証手段を確保できます。

これにより、モバイル端末の紛失や通信障害、認証アプリの利用不可といった状況でも、緊急アクセス アカウントを利用できる可能性が高まります。

なお、これらの認証方式は MFA（多要素認証）要件を回避するものではありません。

ユーザーからは 1 回の操作でサインインが完了しているように見えますが、バックグラウンドでは FIDO2 や証明書ベース認証を MFA 要件を満たす認証として評価します。

そのため、必須の MFA 要件をクリアしたものとして追加の MFA 要求が発生しない動作となります。

■参考情報

Microsoft Learn: 緊急アクセス アカウントの管理

https://learn.microsoft.com/ja-jp/entra/identity/role-based-access-control/security-emergency-access