パスキー・MFA・SSOの違い｜認証の選び方と運用チェック

編集：CyberLens 編集部 · 本文・出典確認：2026年9月9日

対象：認証方式を選ぶ個人・情シス担当者、SSOやSaaSの運用管理者

パスキー・MFA・SSOの違いは？

パスキーは公開鍵暗号を使うフィッシング耐性のある認証資格情報です。MFAは異なる種類の要素を組み合わせる認証の考え方、SSOは一度の認証を複数サービスで利用する仕組みで、同じ分類の代替製品ではありません。導入時はログインの強さに加え、端末紛失時の回復、管理者の緊急アクセス、退職時の無効化まで設計します。

根拠となる公式情報を確認する

Quick start

いま必要な対応から選ぶ

方式を選びたい パスキーとパスワードを比較 フィッシング耐性、復旧、運用負荷の違いを確認します。確認する OAuth・OIDCが曖昧 認可と認証の違いを理解 トークン、同意、ID連携の役割を比較します。確認する不審なMFA通知が来た MFA疲労攻撃を確認 承認せず、サインインとセッションの確認へ進みます。確認する

状況別の判断基準

以下はCyberLensによる一般的な防御・初動判断の整理です。組織の対応手順と、利用製品の公式案内を優先してください。

観測した状況と、次に行う判断
いまの状況	次に確認・判断すること
個人アカウントを保護したい	サービスが対応するパスキーやMFAを設定する。回復手段も確認し、端末を失ったときに正規の方法で戻れるか備える。
企業で認証方式を統一したい	SSOの対象外サービスと管理者経路を洗い出す。対応端末、同期型・端末固定型の要件、例外利用者を整理して段階的に導入する。
端末を紛失した、退職者が出た	端末の回収・無効化だけで完了させない。IdPとSaaS側のアカウント、セッション、回復手段、個別の認証資格情報を確認する。

まず確認するチェックリスト

通常ログイン、管理者ログイン、回復、緊急アクセスを別々に棚卸しする。
対応OS・ブラウザー・端末管理の条件を、利用サービスの公式資料で確認する。
紛失・機種変更・共有端末・退職時の手順と問い合わせ先を用意する。
例外アカウントに責任者と見直し期限を付け、弱い回復経路が残らないか点検する。

実施状況は組織で承認された記録先へ残してください。このページに業務情報を入力・送信する必要はありません。

よくある疑問・誤解

パスキーにすればすべての乗っ取りを防げますか？

いいえ。偽サイトへ認証情報を渡すタイプのフィッシングに強い一方、端末や認証後のセッション、アカウント回復の保護は別に必要です。「ログイン方式を変えたから運用点検は不要」とは考えません。

パスキーとパスワードの比較

OAuthとOpenID Connectはどちらもログインの規格ですか？

OAuthはアクセス権を委譲する認可の枠組みです。OpenID ConnectはOAuth 2.0の上に認証の仕組みを加えます。アプリ連携を許可することと、本人を確認することを区別して設定・同意内容を確認します。

OAuthとOpenID Connectの違い

公式情報・参考情報

FIDO Alliance：Passkeys
パスキーの公開鍵暗号、フィッシング耐性、同期型・端末固定型の基本。
OpenID Foundation：OpenID Connect Core 1.0
OAuth 2.0に認証レイヤーを加える仕様。

本文は出典を参考に編集した解説であり、各機関の認定や個別環境の安全を保証するものではありません。訂正の連絡先と更新方針は編集方針をご覧ください。

まず押さえる用語

パスキー FIDOアライアンスが標準化したパスワードレス認証技術。公開鍵暗号とデバイス生体認証を組み合わせ、フィッシング耐性が極めて高い。… FIDO2 FIDOアライアンスとW3Cが共同策定したパスワードレス認証標準。WebAuthn（ブラウザAPI）とCTAP（デバイスプロトコ… 多要素認証 2種類以上の認証要素（知識・所持・生体）を組み合わせる認証方式。パスワード単体より大幅にセキュリティを向上できる。SMS・TOT… 認証ユーザーやシステムが本人であることを確認するプロセス。知識（パスワード）・所持（スマートフォン）・生体（指紋）の3要素がある。2… 認可認証済みのユーザーが特定のリソースやアクションにアクセスする権限を持つかを判定するプロセス。RBAC・ABAC・最小権限の原則に… SSO 一度の認証で複数のサービスにアクセスできる仕組み。利用者の利便性と認証統制を両立しやすい。パスワードマネージャー各サービスごとに異なる長いランダムパスワードを安全に生成・保存するツール。マスターパスワード1つで全パスワードを管理する。1Pa… OAuth 2.0 サードパーティアプリがユーザーのリソースに限定的にアクセスするための認可フレームワーク。「Googleアカウントでログイン」など… TOTP 時刻とシークレットキーを元に30秒ごとに6桁のワンタイムパスワードを生成するアルゴリズム（RFC 6238）。Google Au… OpenID Connect OAuth 2.0の上に認証レイヤーを追加したプロトコル。IDトークン（JWT）でユーザー情報を伝達する。「Googleアカウン…

違いを理解する（比較）

実務で使う（チェックリスト・対応手順）

理解を確認して、次のテーマへ

このテーマの重要用語をクイズで確認する · 学習ロードマップ · 学習進捗を見る