Windows Helloを後付けする：指紋リーダーとIRカメラの選び方と、ESSで使えなくなる条件
「パスワード入力をやめたい」という目的は同じでも、顔と指紋では買える条件がまったく違います。Microsoftの設定ページは、顔認証を「PCの赤外線カメラまたは外付けの赤外線カメラ」で設定すると書いており、手持ちの4KウェブカメラをIRカメラの代わりにはできません。指紋側は「デバイスに指紋リーダーが必要で、付いていなければUSB接続の製品を購入できる」と明記されています。さらに購入後に効いてくるのがWindows 11のEnhanced sign-in security（ESS）で、Microsoftは「ESSは外付けカメラモジュールをサポートしていません」と書き、非対応の指紋リーダーを使うにはESSをオフにする必要があり、オフにすると既存のESS登録とパスキーなどの資格情報が削除されると説明しています。この記事は、その条件と精度の読み方、製品ページで見るべき語（ESS・SDCP・赤外線）を、公表資料の記載だけで整理します。
公開 · 更新 · FaultNote 編集方針
この記事が役立つ人・作業前の準備
- ノートPCのような顔認証・指紋サインインを、デスクトップや自作PCに後から足したい人
- 外付けの指紋リーダーやWebカメラを買ったのに、サインインオプションに項目が出てこない人
- 会社や家族と共用するPCで、顔と指紋のどちらを追加するか決めかねている人
用意するもの
- PCのWindowsのバージョン（設定 > システム > バージョン情報で、Windows 11のバージョンが24H2以降か23H2かを確認）
- 現在のサインイン方法（設定 > アカウント > サインインオプションで、顔・指紋・PINのどれが設定済みか）
- 会社・学校支給のPCかどうか（組織のポリシーで生体認証機器の追加が禁止されている場合があります）
1. 顔認証は「赤外線カメラ」でないと始まらない、指紋は後付けできる
Windows Helloのサインイン方法は顔認証・指紋認証・PINの3つです。Microsoftの設定手順ページは、設定 > アカウント > サインインオプションを開き、「顔認証（Windows Hello）を選ぶと、PCの赤外線カメラまたは外付けの赤外線カメラで顔認証サインインを設定できます」と書いています。逆に言えば、赤外線を持たない一般的なWebカメラでは、この項目そのものが選べません。
なぜ赤外線なのかもMicrosoftが説明しています。Microsoft Learnの顔認証の解説は、Windows Helloの顔認証が「近赤外線（IR）イメージング用に特別に構成されたカメラ」を使うと述べ、照明条件が変わっても一貫した画像が得られること、赤外線は波長が違うため写真やLCDの表示には写らず、最も手に入りやすいなりすましを防ぐのに役立つことを挙げています。つまり4KやHDRといった画質の指標は、顔認証が使えるかどうかとは無関係です。
指紋側の条件は単純です。同じMicrosoftの設定ページは「指紋でのサインインにはデバイスに指紋リーダーが必要です。デバイスにどちらも付属していない場合は、USBで接続できる製品を多くの販売店で購入できます」と明記しています。カメラを内蔵しないデスクトップや自作PCでは、こちらのほうが選択肢が広くなります。
買ったあとの使い勝手に関わる挙動も公表されています。顔認証のアルゴリズムは、判定に十分な範囲が見えるようユーザーがデバイスの方を±15度以内で向いていることを確認し、複数のユーザーが登録されている場合は一致と判定するしきい値を上げます。顔の画像そのものは保存されず「表現（representation）」だけが保存され、特定のメガネを使う場合や、屋外の日差しのように近赤外線が強い環境へ移る場合には追加の登録が必要になる、と説明されています。
表は横にスクロールできます →
| サインイン方法 | Microsoftが公表している要件 | 後付けできるか |
|---|---|---|
| 顔認証（Windows Hello） | PCの赤外線カメラまたは外付けの赤外線カメラ。近赤外線イメージング用に構成されたカメラを使う | できる。ただし赤外線対応と明記された製品に限る（次章のESS条件あり） |
| 指紋認証（Windows Hello） | デバイスに指紋リーダーが必要。付属しない場合はUSB接続の製品を購入できると明記 | できる。USB接続の製品が一般的 |
| PIN（Windows Hello） | 追加のハードウェアは不要。PINは1台のデバイスにのみ結び付けられる | そもそもハードウェアの購入が不要 |
| 赤外線を持たないWebカメラ | 顔認証の要件に「赤外線カメラ」と書かれている | 顔認証には使えない。解像度やHDRでは代替できない |
| 複数人が登録されたPC | 複数ユーザーが登録されている場合、一致と判定するしきい値が上がると明記 | 家族共用では認識の厳しさが変わる点を見込んでおく |
2. 買う前に確認する最大の条件：Enhanced sign-in security（ESS）
外付け機器を買ったのにサインインオプションに項目が出ない、という状況の代表的な原因をMicrosoftが1ページで説明しています。「Windows 11 PCでEnhanced sign-in securityが有効になっていると、外付けまたはサードパーティの指紋リーダーやカメラを使ってWindows Helloでサインインできない場合があります」という文がそれです。ESSは仮想化ベースのセキュリティ（VBS）やTPM 2.0といった専用のハードウェアとソフトウェアで生体データを保護する仕組みで、Microsoftは「ESSのエコシステムは厳密に管理されているため、安全でない周辺機器のカメラや指紋リーダーを持ち込むと、生体情報へアクセスされる余地を作りかねない」と説明しています。
ここで重要なのは、カメラと指紋で扱いが非対称だという点です。Microsoftは「Enhanced sign-in securityは外付けカメラモジュールをサポートしていません」と明記しています。つまりESSを有効にしたまま外付けIRカメラでサインインする、という選択肢は用意されていません。指紋リーダーについては「Windows Hello対応と表示されている外付け指紋リーダーの一部はESSに対応していますが、対応していない場合は、カメラや指紋リーダーでサインインできるようにするためにESSを無効にする必要があります」と書かれています。
無効にする側にも代償があります。Microsoftは「無効化すると、既存のEnhanced sign-in securityの登録と、パスキーなどの関連する資格情報が削除されます。これらはセットアップ後に再設定できます」と説明しています。再登録は可能ですが、パスキーを業務で使っている場合は影響範囲を先に把握しておく必要があります。なお、ESSが有効なままでも、Teamsのようなアプリの中では外付け機器を使えるとも書かれています（サインインに使えないだけです）。
設定の場所と名前がWindowsのバージョンで変わる点にも注意します。Windows 11 24H2以降は、設定 > アカウント > サインインオプション > その他の設定にある「Enhanced sign-in security」というトグルで、オンならESSが有効で非ESS機器は使えず、オフなら使えます。Windows 11 23H2では「外部カメラまたは指紋リーダーでサインインする」という別名のトグルで、オフがESS有効、オンがESS無効と、読み方が逆になります。トグルが表示されない場合についてMicrosoftは、ESSに対応しないセンサーが検出されていない場合か、組織が非ESSのWindows Hello機器を禁止している場合だと説明し、トグルが無く「セットアップ可能」と表示される機種では、最初に登録したセンサーでESSの状態が決まると書いています。
表は横にスクロールできます →
| Windowsのバージョン・状態 | 設定の場所と名称（Microsoftの記載） | 外付け・サードパーティ機器への影響 |
|---|---|---|
| Windows 11 24H2以降（ESS対応機） | 設定 > アカウント > サインインオプション > その他の設定 >「Enhanced sign-in security」 | オンのままでは非ESS機器でサインインできない。ESS対応機器を選ぶか、オフにする |
| Windows 11 24H2以降（非ESS機） | 同じ場所のトグル | オフにすると、ESS非対応の機器を使えるようになる |
| Windows 11 23H2 | 「外部カメラまたは指紋リーダーでサインインする」 | オフ＝ESS有効で外付けが使えない、オン＝ESS無効で使える（24H2と意味が逆） |
| トグルが表示されない | ESS非対応のセンサーが検出されていないか、組織が非ESS機器を禁止していると説明 | 会社支給PCでは設定変更自体ができないことがある |
| 外付けカメラモジュール | 「ESSは外付けカメラモジュールをサポートしていません」 | ESSを使い続けるなら、外付けIRカメラでのサインインという選択肢は無い |
| ESSをオフにしたとき | 既存のESS登録と、パスキーなどの関連する資格情報が削除される | 再設定が必要。パスキーの再登録を見込んでおく |
3. 精度の数字をどう読むか：Microsoftの要件とメーカーの公表値
Microsoft LearnのWindows Hello生体認証要件は、指紋センサーを面積で3つに分け、それぞれに他人受入率（FAR）の上限を定めています。大面積センサー（320dpi以上で160×160ピクセル以上のセンサーマトリクス）はFARが0.001%未満、小面積センサー（320dpi以上で160×160未満）はFARが0.002%未満、スワイプ式センサーもFARが0.002%未満です。いずれの区分でも「なりすまし対策またはライブネス検出を含む実使用の本人拒否率（FRR）が10%未満」であることと、提示攻撃への防御策（スワイプ式はなりすまし対策）が要件として挙げられています。
顔認証側の要件はFARが0.001%未満、真正受入率（TAR）が95%超です。顔認証の解説ページはさらに具体的で、Windows 11のアルゴリズムについて偽陽性「0.001%未満、つまり1/100,000のFAR」、真陽性「登録ユーザーが1人の場合に95%超」、偽陰性「登録ユーザーが1人の場合に5%未満」と書いています。「登録ユーザーが1人の場合」という条件が付いている点が重要で、前章のとおり複数人が登録されるとしきい値は上がります。
製品側の数字はこれと並べて読みます。KensingtonはVeriMark IT 2.0とVeriMark Desktop 2.0の双方について、FRR 2.2%、FAR 0.0001%と公表しています。Microsoftの小面積センサー要件（FAR 0.002%未満）より小さく、FRRの要件（10%未満）より低い値です。ただしこれはメーカー自身の公表値で、測定条件や試験方法は製品ページに書かれていません。当サイトで実機を測定した数字ではありません。
参照している文書の日付にも触れておきます。生体認証要件のページには「Last updated on 2020-11-09」、顔認証の解説には「Last updated on 2021-07-15」と表示されます。数値はその時点の記載であり、現在のWindowsの実装と一致する保証はありません。購入の直前に同じページを開いて確認するのが確実です。
表は横にスクロールできます →
| 指標 | 公表されている数値 | 読み方 |
|---|---|---|
| 大面積の指紋センサー（320dpi以上・160×160ピクセル以上） | FAR < 0.001%（Microsoft） | 面積が大きい区分ほど基準が厳しい |
| 小面積の指紋センサー（160×160未満） | FAR < 0.002%（Microsoft） | USBドングル型の小さなセンサーはこの区分に当たると考えられる |
| スワイプ式センサー | FAR < 0.002%、なりすまし対策が要件（Microsoft） | 指を滑らせるタイプ。据え置き型の面センサーとは別区分 |
| 指紋のFRR | なりすまし対策・ライブネス検出込みの実使用FRRが10%未満（Microsoft） | 「10回に1回弾かれても要件内」という水準であることが分かる |
| 顔認証 | FAR < 0.001%、TAR > 95%（Microsoft）。Windows 11のアルゴリズムは1/100,000 FAR、偽陰性5%未満 | いずれも登録ユーザーが1人の場合の数字 |
| 製品の公表値（Kensington VeriMark IT 2.0／Desktop 2.0） | FRR 2.2%、FAR 0.0001% | メーカー公表値。測定条件は製品ページに記載が無い |
4. 製品ページで確認する語：ESS・SDCP・赤外線
ESSを有効のまま使いたいなら、製品ページに「ESS」と「SDCP」が書かれているかを探します。KensingtonはVeriMark IT 2.0とVeriMark Desktop 2.0について「MicrosoftのSecure Device Connection Protocol（SDCP）とWindows Hello Enhanced Sign-in Security（ESS）に準拠し、指紋認証に追加の保護層を与え、生体データをシステムレベルの脅威から隔離する」と説明し、注記として「Windows Hello Enhanced Sign-in Securityには、最新の更新を適用したWindows 11のPCが必要です」と添えています。この2語が見当たらない製品は、ESSをオフにして使う前提で検討することになります。
同じブランドの中でも役割が違う点にも注意します。KensingtonのVeriMark Guardは FIDO2／WebAuthn（CTAP2）／FIDO U2Fのセキュリティキーで、同社の製品説明には「Windows HelloについてはVeriMarkまたはVeriMark ITを参照してください」と書かれています。指紋センサーが付いていて上位に見える製品でも、Windowsのサインイン用とは限らないということです。目的が「Windowsへのサインイン」なのか「Webサービスのパスワードレス認証」なのかを先に決めてから型番を見ます。なお2026年9月19日に取得したVeriMark IT 2.0の製品ページは「この製品は販売終了です。後継SKUをご確認ください」と表示し、SKU K64705WWをDiscontinuedと記載していました。仕様の記載は残っていますが、購入できるかどうかは販売店で確認してください。
設置の条件は見落としやすい部分です。Desktop 2.0はUSB-CとUSB-Aの双方に対応し、3.9フィート（1.2m）のケーブルによってPCが机の下にあってもセンサーを手元に置ける、と説明されています。一方、本体に直挿しするドングル型は、タワーPCが足元にある環境では毎回かがむことになります。ARMのWindows機を使うなら、IT 2.0が「x86とARMのWindows 11に対応」と明記している点のような、アーキテクチャの記載も確認しておきます。
カメラ側の判断材料は「赤外線」または「Windows Hello」の明記です。LogitechはBrio 4Kについて「光学センサーと赤外線センサーを内蔵し、Windows Helloに対応することで、Windowsのログインに高速で安全な顔認証を可能にします」と書いています。一方、2026年9月19日に取得したBrio 100・Brio 500・MX Brioの仕様表示には「Windows Hello」も「infrared」も現れませんでした（取得できたページの範囲での観察です）。同じシリーズ名でも顔認証に使えるとは限らないため、型番単位で確認してください。Webカメラそのものの選び方は、当サイトの解像度・画角・オートフォーカスの記事で扱っています。
表は横にスクロールできます →
| 確認する項目 | 製品ページで探す記載の例 | 書かれていなかったときの判断 |
|---|---|---|
| ESS対応 | 「Windows Hello Enhanced Sign-in Security（ESS）に準拠」 | ESSをオフにして使う前提で検討する |
| SDCP対応 | 「Secure Device Connection Protocol（SDCP）」 | ESSと併記されることが多い。両方無ければ非ESS機器と考える |
| 製品の役割 | 「Windows Hello対応」か「FIDO2セキュリティキー」か | VeriMark GuardはWindows HelloについてVeriMark／VeriMark ITを参照と案内している |
| 接続と設置 | USB-C／USB-Aの対応、ケーブル長（Desktop 2.0は1.2m） | 直挿しのドングル型は、PCが足元にあると操作しにくい |
| 対応OSとアーキテクチャ | 「x86とARMのWindows 11に対応」 | ARM機では明記の有無を確認する |
| カメラの赤外線 | 「赤外線センサーを内蔵」「Windows Helloに対応」 | 記載が無いWebカメラでは顔認証を設定できない |
注意点・利用条件
- この記事の要件と手順は、2026年9月19日に取得したMicrosoftの公表ページの記載です。Microsoft Learnの生体認証要件には「Last updated on 2020-11-09」、顔認証の解説には「Last updated on 2021-07-15」と表示されており、現在のWindowsの実装と完全に一致する保証はありません。またMicrosoftは、24H2以降のESSのトグルについて段階的な展開中であり、すべてのデバイスに同時に表示されるわけではないと書いています。
- FRR 2.2%・FAR 0.0001%といった製品側の数値は、メーカーが自社の製品ページで公表している値で、測定条件や試験方法は記載されていません。当サイトで指紋リーダーやカメラを実機検証した結果ではありません。Microsoftは外付け機器の案内の末尾に「Microsoftが販売していないデバイスや周辺機器はサポートしません」と明記しています。
- Enhanced sign-in securityを無効にすると、既存のESS登録とパスキーなどの関連資格情報が削除されるとMicrosoftは書いています。会社や学校のPCでは組織のポリシーで非ESS機器が禁止されていることがあり、トグル自体が表示されない場合もあります。設定を変更する前に管理者へ確認してください。
よくある質問
手持ちの4KウェブカメラでWindows Helloの顔認証は使えますか？
使えません。Microsoftの設定ページは、顔認証を「PCの赤外線カメラまたは外付けの赤外線カメラ」で設定すると書いており、Microsoft Learnの解説も、近赤外線イメージング用に特別に構成されたカメラを使うと説明しています。赤外線は写真やLCDの表示に写らないため、なりすまし対策としても機能します。解像度やHDRは要件ではないので、製品ページに「赤外線センサー」や「Windows Hello対応」と書かれているかで判断してください。LogitechはBrio 4Kについて、光学センサーと赤外線センサーを内蔵しWindows Helloに対応すると明記しています。
外付けの指紋リーダーを挿したのに、サインインオプションに「指紋認証」が出てきません。
Windows 11のEnhanced sign-in security（ESS）が有効になっている可能性があります。Microsoftの手順では、まず機器をメーカーの指示どおりに接続し、設定 > アカウント > サインインオプションを開き、その他の設定にあるトグルを確認します。24H2以降は「Enhanced sign-in security」、23H2は「外部カメラまたは指紋リーダーでサインインする」という名前で、意味が逆になる点に注意してください。ESSに対応しない機器を使うにはESSをオフにする必要があり、その際に既存のESS登録とパスキーなどの資格情報が削除されるとMicrosoftは書いています。トグルが表示されない場合は、対応しないセンサーが検出されていないか、組織が非ESS機器を禁止している可能性があります。なおPIN自体が使えない、再作成を求められるという症状は別の原因なので、当サイトのWindows Hello PINの記事を参照してください。
デスクトップPCに足すなら、指紋とIRカメラのどちらが現実的ですか？
条件が非対称なので、多くの場合は指紋リーダーのほうが選択肢が広くなります。Microsoftは「Enhanced sign-in securityは外付けカメラモジュールをサポートしていません」と明記しており、ESSを有効にしたまま外付けIRカメラでサインインする方法は用意されていません。指紋リーダーには、KensingtonのVeriMark IT 2.0やDesktop 2.0のようにESSとSDCPへの準拠を明記した製品があり、ESSをオフにせずに使える可能性があります。一方で、すでにWeb会議用のカメラを買い替える予定があり、ESSを使っていない（またはオフにしてよい）なら、赤外線対応を明記したカメラを選んで顔認証と会議用途を1台にまとめる選び方もあります。据え置き型を選ぶ場合は、PCが足元にある環境でも手元にセンサーを置けるよう、ケーブル長も確認してください。
出典・確認日
情報確認日：。仕様・操作方法・価格などの確認に使用した出典を掲載しています。適用条件や現在の情報は各リンク先で確認してください。
- Microsoft：Windows Helloの設定（英語） ↗
- Microsoft：サードパーティの指紋リーダー・カメラをWindows Helloで使う（英語） ↗
- Microsoft：Enhanced Sign-in Security in Windows（英語） ↗
- Microsoft Learn：Windows Hello biometric requirements（英語） ↗
- Microsoft Learn：Windows Hello face authentication（英語） ↗
- Kensington：VeriMark Desktop 2.0 Fingerprint Key（英語） ↗
- Kensington：VeriMark IT 2.0 USB-C Fingerprint Key（英語） ↗
- Kensington：VeriMark Guard USB-C Fingerprint Security Key（英語） ↗
- Logitech：Brio 4K HDR Webcam（英語） ↗