SSOプロンプトの管理者制御

どちらかと言えば今回ご紹介する機能は、法人向けの機能ではありますが、Windows 11 にて、SSOプロンプトの管理者制御の機能が更新されているので、ご紹介させていただきます。

US時間7月15日に公開された Windows IT Pro Blog「Now available: Admin control for SSO prompts in Windows」 によれば、今回 Microsoft は、Windows における SSO（シングルサインオン）許可プロンプトを管理者側で制御、自動的に承諾できる新しいポリシーを公開。これによりユーザーの許可操作を減らして、SSO の導入・運用が簡素化されるようになるとのことです。

【その目的と利点】

今回　管理者が SSO の許可プロンプトを自動承諾する設定を適用できるポリシーが利用可能になることで...

• ユーザー体験の改善：頻繁な許可ダイアログを減らしてサインオンをスムーズにする
• 運用の一元化：IT 管理者が組織全体で一貫した挙動を設定できる

といったメリットがあるとのことです。

【公開に至った背景】

今回の機能は、欧州経済領域（EEA）での同意重視のサインイン変更が企業の管理下にある端末で運用上の摩擦を生んだため、管理者がその同意プロンプトを組織側で自動承諾できるようにするために提供されたものとのことです。

-- 背景:

• EEAでの設計変更：
  ユーザーがWindowsサインイン後に他のMicrosoftアプリへ自動でサインインされないよう、ユーザーに「同じ認証情報を使うか」を確認する挙動に変更。これはユーザーの制御を強めるための措置とのことです。
• 企業運用での摩擦：
  一方で、企業が管理するデバイスでは既にデバイス・アカウント・ポリシーの信頼関係が成立しており、毎回ユーザーにプロンプトを出すと業務上の手間やユーザー体験の低下を招ことになる。そのためこれが管理者からの要望につながったようです。
• 技術的対応：
  今回、Microsoftは2026年7月の月次セキュリティ更新（KB5101650）で、管理者がレジストリポリシー HKLM\SOFTWARE\Policies\Microsoft\Windows\AAD\AutoAcceptSsoPermission (DWORD)=1 を配布、管理対象のEntra IDデバイスでSSO許可を自動承諾できるようにしました。適用は管理されたEntra ID端末に限定され、個人MSAや未管理端末には影響しません。

-- 意味と今後:

• バランスの調整：
  Microsoftは「ユーザーのプライバシー保護」と「企業の運用効率」を両立させるために、個人向けの同意は維持しつつ、管理下の端末には管理者が選べる制御を提供。
• 追加の管理機能を評価中：
  さらに認証体験の管理や透明性機能を検討しているようです。

【公開されたポリシー】

ブログの中では、今回公開されたポリシーが具体的に表示されております。

詳細は、ブログ「Now available: Admin control for SSO prompts in Windows」をご参照ください。

今回の機能は、あくまでも企業などの管理者制御下で活用されている Windows 11 24H2 および 25H2 がその対象となります。

＜参照＞

・Now available: Admin control for SSO prompts in Windows