【Outlook】サインインでMFA認証が無限ループする時のアプリパスワード発行手順

Microsoft Outlookでサインインしようとした際、多要素認証(MFA)の画面で何度も認証を求められ、先に進めない状況に陥ることがあります。

これは、Outlookなどの一部の古いアプリケーションがMFAに直接対応していない場合に発生しやすい問題です。

この記事では、このMFA認証の無限ループを解消するためのアプリパスワード発行手順を詳しく解説します。

Outlookでの作業をスムーズに再開するために、ぜひご確認ください。

MFA認証が無限ループする原因と仕組み

Microsoft 365環境では、セキュリティ強化のため多要素認証(MFA)の利用が推奨、または必須となっています。

MFAは、パスワードだけでなく、スマートフォンアプリによる認証コードや、セキュリティキーなど、複数の要素で本人確認を行う仕組みです。

しかし、Microsoft Outlookデスクトップアプリケーションなど、一部の古いアプリケーションは、このMFAの仕組みに直接対応していません。

そのため、MFAが有効なアカウントでこれらのアプリケーションにサインインしようとすると、MFA認証画面が表示されます。

アプリケーション側がMFAの認証結果を正しく受け取れないため、認証を繰り返してもサインインが完了せず、無限ループに陥ってしまうのです。

この問題を解決するには、MFAに対応していないアプリケーション専用の「アプリパスワード」を発行し、それを使用してサインインする必要があります。

Outlookでアプリパスワードを発行してサインインする手順

この手順を実行するには、管理者権限を持つアカウントでAzure Active Directory (Azure AD) ポータルにサインインする必要があります。

管理者権限でのAzure ADポータルへのサインイン

まず、MFA認証が無限ループしているアカウントの管理者権限を持つユーザーで、Azure ADポータルにアクセスします。

1. Webブラウザを開く
   お使いのWebブラウザを開き、以下のURLにアクセスします。
   
   https://portal.azure.com/
2. 管理者アカウントでサインイン
   Azure ADの管理者権限を持つアカウントのメールアドレスとパスワードを入力し、サインインします。
3. 多要素認証の実行
   管理者アカウントでもMFAが設定されている場合は、画面の指示に従ってMFA認証を完了させます。

ユーザーのプロファイル設定へのアクセス

次に、MFA認証が無限ループしているユーザーのアカウント設定画面に移動します。

1. 「Azure Active Directory」を選択
   ポータルの左側メニューから「Azure Active Directory」をクリックします。
2. 「ユーザー」を選択
   「管理」セクションにある「ユーザー」をクリックします。
3. 対象ユーザーの検索と選択
   ユーザー一覧が表示されるので、MFA認証がループしているユーザーを検索し、名前をクリックして選択します。
4. 「認証方法」を選択
   ユーザープロファイル画面の「管理」セクションにある「認証方法」をクリックします。

アプリパスワードの生成と通知

これで、対象ユーザーの認証方法設定画面にアクセスできました。ここからアプリパスワードを生成します。

1. 「アプリパスワードの作成」を選択
   「認証方法」画面の上部にある「アプリパスワードの作成」ボタンをクリックします。
2. アプリパスワードの名称入力
   「アプリパスワードの作成」ダイアログが表示されます。
3. 名称を入力
   「名前」欄に、このアプリパスワードが何のために使われるか分かるような名称を入力します。例えば「Outlookデスクトップアプリ用」などです。
4. 「作成」ボタンをクリック
   入力後、「作成」ボタンをクリックします。
5. アプリパスワードの表示とコピー
   アプリパスワードが生成され、画面に表示されます。
6. パスワードのコピーと保管
   表示されたパスワードをコピーし、安全な場所に保管してください。このパスワードは一度しか表示されません。
7. ユーザーへの通知
   生成されたアプリパスワードを、MFA認証がループしているユーザーに通知します。

Outlookでのアプリパスワードを使ったサインイン

生成されたアプリパスワードを使って、Outlookデスクトップアプリケーションにサインインします。

1. Outlookを起動
   Microsoft Outlookデスクトップアプリケーションを起動します。
2. サインイン画面の表示
   通常通りサインイン画面が表示されるか、MFA認証ループが発生した場合は、再度サインインを試みます。
3. メールアドレスを入力
   Outlookのメールアドレスを入力し、「次へ」をクリックします。
4. パスワード入力欄にアプリパスワードを入力
   パスワード入力画面が表示されたら、通常のパスワードではなく、先ほどAzure ADポータルで生成した「アプリパスワード」を入力します。
5. サインイン完了
   アプリパスワードで正しく認証されれば、Outlookへのサインインが完了します。

新しいTeams (v2) と従来Teamsの注意点

新しいTeams (v2) では、MFAへの対応が強化されており、一部のシナリオではアプリパスワードなしでサインインできる場合があります。

しかし、組織のセキュリティポリシーやTeamsのバージョンによっては、依然としてアプリパスワードが必要になるケースも存在します。

もし新しいTeams (v2) でも同様の問題が発生する場合は、Teamsのサインイン設定や、管理者が設定している条件付きアクセスポリシーを確認することをおすすめします。

一般的に、新しいTeams (v2) では、モダン認証(OAuth)が優先されるため、アプリパスワードの必要性は低下しています。

しかし、古い認証方式しかサポートしていないアドインや、特定のテナント設定下では、アプリパスワードが依然として有効な解決策となることがあります。

新しいOutlookと従来Outlookの注意点

新しいOutlookでも、MFA認証が無限ループする問題は発生し得ます。

新しいOutlookは、モダン認証(OAuth)への対応が進んでいますが、Exchange Onlineとの連携や、組織のセキュリティ設定によっては、アプリパスワードが必要になる場合があります。

もし新しいOutlookでサインインできない場合は、まずOutlookのバージョンを確認し、最新の状態にアップデートすることを試みてください。

それでも解決しない場合は、今回解説したアプリパスワードの発行手順を試す価値があります。

新しいOutlookは、Web版Outlookのインターフェースをデスクトップアプリケーションに統合したものであり、基本的な認証メカニズムはWeb版に準じます。

そのため、Web版でMFA認証が問題なく完了している場合でも、デスクトップアプリケーション特有の認証処理で問題が発生することがあります。

アプリパスワード利用時の注意点とセキュリティ

アプリパスワードは、MFA認証のループを回避するための便利な機能ですが、その利用にはいくつかの注意点があります。

アプリパスワードは通常のパスワードより安全性が低い

アプリパスワードは、MFAのような追加の認証要素を伴いません。

そのため、もしアプリパスワードが漏洩した場合、正規のパスワードと同様にアカウントが不正アクセスされるリスクがあります。

このため、アプリパスワードは、MFAに対応していないアプリケーションでのみ使用し、可能な限り使用を限定することが推奨されます。

また、生成したアプリパスワードは、不要になったら速やかに削除することがセキュリティ上重要です。

アプリパスワードの有効期限と削除

一般的に、Azure ADで生成されるアプリパスワードには有効期限が設定されていません。

しかし、組織のポリシーによっては、一定期間で自動的に無効化される場合もあります。

もし、アプリパスワードが突然使えなくなった場合は、有効期限が切れたか、管理者が無効化した可能性があります。

その際は、再度アプリパスワードを生成する必要があります。

また、MFAに対応したアプリケーションに移行するなどして、アプリパスワードが不要になった場合は、Azure ADポータルから速やかに削除してください。

管理者によるアプリパスワード発行の制限

組織によっては、セキュリティポリシーとして、ユーザーがアプリパスワードを生成できないように制限している場合があります。

その場合、管理者がAzure ADポータルからアプリパスワードを生成・通知する必要があります。

もし、ユーザー自身がAzure ADポータルで「アプリパスワードの作成」ボタンを見つけられない場合、それは管理者に設定で無効化されている可能性が高いです。

その際は、組織のIT管理者またはヘルプデスクに連絡し、アプリパスワードの発行を依頼してください。

管理者は、条件付きアクセスポリシーの設定で、特定のアプリケーションに対してアプリパスワードの使用を許可または禁止することも可能です。

代替手段としてのモダン認証の利用

可能であれば、アプリパスワードに頼るのではなく、モダン認証(OAuth)をサポートするアプリケーションへの移行を検討するのが最も安全です。

Microsoft Teams、新しいOutlook、Web版Outlook、Outlook on the webなどは、モダン認証に完全に対応しています。

これらのアプリケーションを利用することで、MFA認証を直接処理でき、アプリパスワードを発行・管理する手間が省けます。

また、モダン認証は、より高度なセキュリティ機能(条件付きアクセス、デバイスコンプライアンスなど)との連携も可能です。

組織のIT部門は、古いアプリケーションの利用状況を確認し、モダン認証への移行計画を立てることが推奨されます。

これにより、セキュリティレベルを維持しつつ、ユーザーの利便性も向上させることができます。

Mac版、モバイル版、Web版での違い

今回解説したアプリパスワードの発行手順は、主にWindows版のMicrosoft OutlookデスクトップアプリケーションでMFA認証がループする場合に有効です。

Mac版のOutlookでも、同様にMFA対応の問題が発生する可能性がありますが、サインイン画面の表示や設定方法が若干異なる場合があります。

モバイル版(iOS/Android)のOutlookアプリは、一般的にモダン認証に標準で対応しているため、MFA認証がループする問題は発生しにくいです。

Web版のOutlook (Outlook on the web) は、ブラウザ上で動作するため、MFA認証はブラウザの認証フローに沿って処理されます。

そのため、Web版OutlookでMFA認証がループすることは、通常ありません。

もしMac版Outlookで問題が発生した場合は、Outlookのバージョンを確認し、必要であればアプリパスワードの発行を検討してください。

ただし、Mac版Outlookもモダン認証への対応が進んでいるため、最新バージョンへのアップデートが推奨されます。

まとめ

Microsoft OutlookでMFA認証が無限ループする問題は、アプリパスワードを発行することで解決できます。

Azure ADポータルでアプリパスワードを生成し、Outlookのサインイン時に通常のパスワードの代わりに使用することで、MFA認証を回避し、正常にサインインできるようになります。

ただし、アプリパスワードはセキュリティリスクを伴うため、不要になったら速やかに削除し、可能な限りモダン認証に対応したアプリケーションへの移行を検討してください。

👥

Teams/Outlookトラブル完全解決データベース サインイン、接続エラー、メール送受信の不具合など、特有のトラブル解決策を網羅。困った時の逆引きに活用してください。