Updated September 14, 2026: We have updated the content. Thank you for your patience.

[What and why]

Microsoft Entra ID will support passkey registration and sign-in for B2B users, including internal guest users and external users. Eligible B2B users will be able to register and use passkeys issued by the resource tenant to satisfy that tenant’s multifactor authentication (MFA) requirements.

Passkeys are already supported for member users in their home tenant. Until now, B2B users could not use a resource tenant passkey when that tenant required MFA and did not trust the home tenant’s MFA. This update closes that gap and gives guest and external users a phishing-resistant way to satisfy MFA requirements in the resource tenant.

B2B users can register a resource tenant passkey from the resource tenant’s My Security Info page, during a proof-up prompt, or through a passkey registration campaign. Once registered, the passkey can satisfy the resource tenant’s MFA requirements during sign-in.

Microsoft Authenticator app passkeys will be supported for internal guest users but not for external users.

Important: This rollout intersects with the previously announced retirement of SMS and voice authentication. As described in Message Center posts MC1426371 and MC1434201, any user enabled for SMS or voice in the Authentication methods policy or legacy MFA policies will be automatically enabled for all passkey types. This will include eligible B2B users when B2B passkey support becomes available.

[Rollout schedule]

General Availability (GCC, Worldwide): Beginning in early October 2026 and expected to complete by late February 2027

• Internal guest users: Beginning in early October 2026 and is expected to complete by late October 2026
• External users (excluding Microsoft Authenticator app passkeys): Rollout timing will be communicated in a future Message center post update.

[Impact on your organization]

Who is affected

• Microsoft Entra administrators managing Authentication methods policies
• Organizations that use Microsoft Entra B2B collaboration
• Internal guest users and external users who are in scope for passkey authentication
• Internal guest users and external users who are enabled for SMS or voice in the Authentication methods policy or legacy MFA policies

Platforms and services

• Microsoft Entra ID
• My Security Info
• Authentication methods policy
• Conditional Access

What will happen

• The feature will be enabled by default.
• B2B users who are already in scope for passkeys in your Authentication methods policy will automatically be able to register and sign in with resource tenant passkeys.
• Eligible B2B users may receive prompts to register a passkey during sign-in through proof-up experiences or passkey registration campaigns, if those experiences are configured in your tenant.
• Users can also register a passkey from the resource tenant’s My Security Info page.
• If your organization has excluded B2B users from passkeys in the Authentication methods policy, and those users are not separately subject to automatic passkey enablement through the SMS and voice retirement changes, they will not be prompted and will not be able to register or sign in with a resource tenant passkey.
• Under the SMS and voice retirement changes described in MC1426371 and MC1434201, B2B users who are enabled for SMS or voice in the Authentication methods policy or legacy MFA policies will be automatically enabled for all passkey types. Excluding these users from the passkey policy alone will not prevent this automatic enablement if they remain enabled for SMS or voice.
• This change gives guest and external users a phishing-resistant sign-in option and helps organizations extend strong authentication requirements to their B2B population.

[Action required and recommendations]

No action is required.

We recommend that administrators review current passkey and MFA configurations before rollout:

• Review your Authentication methods policy. Confirm which users are in scope for passkeys, including guest and external users. B2B users who are in scope will be enabled automatically. Exclude them from the policy if that is not the intended behavior.
• Review Message Center posts MC1426371 and MC1434201 for details about the SMS and voice retirement changes.
• Review SMS and voice assignments in both the Authentication methods policy and legacy MFA policies. If you do not want specific B2B users to be automatically enabled for all passkey types, move those users off SMS and voice in all applicable policies. Excluding them only from the passkey policy is not sufficient while they remain enabled for SMS or voice.
• Review your passkey registration campaign. Confirm that the campaign’s user scope includes the intended users.
• Review your Conditional Access policies. Confirm that MFA and authentication strength requirements will apply as intended for B2B users when resource tenant passkeys become available.
• Confirm user scoping across authentication-related policies. Make sure the groups and user types targeted by each policy align with your organization’s requirements for guest and external users.

Consider notifying your help desk and identity support teams that eligible B2B users may begin receiving passkey registration prompts after rollout.

[Compliance considerations]

2026年9月14日更新:内容を更新しました。ご辛抱いただきありがとうございます。

[何となぜ]

Microsoft Entra IDは、 内部ゲストユーザーおよび外部ユーザーを含むB2Bユーザーに対してパスキー登録およびサインインをサポートします。対象となるB2Bユーザーは、リソーステナントが発行したパスキーを登録し、そのテナントの多要素認証(MFA)要件を満たすために使用できます。

パスキーはすでにホームテナントのメンバーユーザーに対してサポートされています。これまで、B2Bユーザーはリソーステナントのパスキーを使えなかった。テナントがMFAを必要とし、ホームテナントのMFAを信用していなかった場合です。このアップデートによりそのギャップは埋められ、ゲストおよび外部ユーザーがリソーステナントのMFA要件を満たすためのフィッシングに強い手段が提供されます。

B2Bユーザーは、リソーステナントの「My Security Info」ページ、校正プロンプト中、またはパスキー登録キャンペーンを通じてリソーステナントのパスキーを登録できます。登録後、パスキーはサインイン時にリソーステナントのMFA要件を満たすことができます。

Microsoft Authenticatorアプリのパスキーは内部ゲストユーザーにはサポートされますが、外部ユーザーにはサポートされません。

重要:この展開は、以前発表されたSMSおよび音声認証の廃止と重なります。メッセージセンターの投稿MC1426371およびMC1434201で説明されている通り、認証方法ポリシーまたはレガシーMFAポリシーでSMSまたは音声が有効化されたユーザーは、すべてのパスキータイプで自動的に有効化されます。これは、B2Bパスキーサポートが利用可能になった際に対象となるB2Bユーザーも含まれます。

[展開スケジュール]

一般稼働(GCC、世界): 2026年10月初旬から開始され、2027年2月下旬までに完了予定です

• 内部ゲストユーザー:2026年10月初旬から開始され、2026年10月下旬までに完了予定です
• 外部ユーザー(Microsoft Authenticatorアプリのパスキーを除く): 展開時期は今後のメッセージセンターのアップデートでお知らせします。

[組織への影響]

影響を受ける人物

• Microsoft Entra管理者が認証方法ポリシーを管理する
• Microsoft Entra B2Bコラボレーションを利用する組織
• パスキー認証の対象となる内部ゲストユーザーおよび外部ユーザー
• 認証方法ポリシーやレガシーMFAポリシーでSMSや音声が有効になっている内部ゲストユーザーおよび外部ユーザー

ホームとサービス

• Microsoft Entra ID
• 私のセキュリティ情報
• 認証方法ポリシー
• 条件付きアクセス

何が起こるのか

• この機能はデフォルトで有効化されます。
• 認証方法ポリシーでパスキーの対象となるB2Bユーザーは、自動的にリソーステナントパスキーで登録・サインインできます。
• 対象となるB2Bユーザーは、テナント内で設定されているプルーフアップ体験やパスキー登録キャンペーンを通じてサインイン時にパスキー登録のプロンプトを受け取ることがあります。
• ユーザーはリソーステナントの「My Security Info」ページからパスキーを登録することもできます。
• もし組織が認証方法ポリシーでB2Bユーザーをパスキーから除外し、そのユーザーがSMSや音声のリタイアメント変更による自動パスキー有効化の対象外であれば、彼らはリソーステナントパスキーで登録やサインインを行えなくなります。
• MC1426371およびMC1434201で説明されたSMSおよび音声のリタイアメント変更により、認証方法ポリシーやレガシーMFAポリシーでSMSまたは音声が有効化されたB2Bユーザーは、すべてのパスキータイプで自動的に有効化されます。これらのユーザーをパスキーポリシーから除外しても、SMSや音声で有効化が維持されている限り、この自動有効化は妨げられません。
• この変更により、ゲストおよび外部ユーザーにフィッシング耐性のサインインオプションが提供され、組織がB2B集団に対して強力な認証要件を拡張するのを支援します。

[行動が必要と提言]

何の対応も必要ありません。

導入前に管理者に現在のパスキーおよびMFA設定を確認することをお勧めします。

• 認証方法ポリシーを確認してください。パスキーの対象となるユーザー(ゲストユーザーや外部ユーザーを含む)を確認してください。範囲内のB2Bユーザーは自動的に有効化されます。意図された動作でない場合はポリシーから除外してください。
• Review Message Centerは、SMSおよび音声の退職変更に関する詳細を掲載MC1426371とMC1434201で掲載しています。
• 認証方法ポリシーおよびレガシーMFAポリシーの両方でSMSおよび音声の割り当てを確認してください。特定のB2Bユーザーがすべてのパスキータイプで自動的に有効化されるのを望まない場合は、該当するすべてのポリシーでそのユーザーをSMSや音声から外してください。パスキーポリシーからのみ除外するだけでは、SMSや音声で有効化されたままでは不十分です。
• パスキー登録キャンペーンを見直しましょう。キャンペーンのユーザー範囲に意図されたユーザーが含まれているか確認してください。
• 条件付きアクセスポリシーを確認してください。リソーステナントのパスキーが利用可能になった際に、MFAおよび認証強度要件がB2Bユーザーに本来の通り適用されることを確認してください。
• 認証関連ポリシー間のユーザースコーピングを確認してください。各ポリシーで対象となるグループやユーザータイプが、ゲストおよび外部ユーザーに対する組織の要件に合致していることを確認してください。

対象となるB2Bユーザーが展開後にパスキー登録の提示を受け始める可能性があることを、ヘルプデスクやアイデンティティサポートチームに通知することを検討してください。

[コンプライアンスの考慮事項]