【Entra ID】アカウント保護ポリシーにより操作できない時の管理者へ伝える情報

Entra ID(旧Azure Active Directory)では、組織のセキュリティを強化するためにさまざまなアカウント保護ポリシーが設定されています。しかし、これらのポリシーが原因で、普段行えていた操作が突然できなくなることがあります。サインインが拒否されたり、特定のアプリにアクセスできなくなったりした場合、多くの会社員は困惑してしまいます。本記事では、アカウント保護ポリシーによって操作がブロックされた際に、管理者へスムーズに状況を伝えるための情報整理のポイントを解説します。

アカウント保護ポリシーによる操作ブロックの主な原因

Entra IDには、条件付きアクセスポリシー、ID保護リスクポリシー、管理者が設定するアクセスレビューなど、複数の保護機能が存在します。これらのポリシーがトリガーされると、サインイン拒否、多要素認証(MFA)の強制、セッションの制限などの形で操作がブロックされます。代表的な原因を以下にまとめます。

条件付きアクセスポリシーによる制限

例えば、「社内ネットワーク以外からのアクセスをブロックする」ポリシーが有効な場合、自宅やカフェからのサインインが拒否されます。また、デバイスが準拠されていない(Intuneで管理されていない、もしくは準拠状態でない)場合もブロックされます。

ID保護のリスクベースポリシー

不審なサインイン(未知のIPアドレス、異常な場所、匿名プロキシ経由など)が検出されると、ユーザーリスクが高まり、パスワードリセットの強制やアクセスブロックが行われます。管理者がリスクポリシーで「ユーザーリスクが中以上の場合はブロック」と設定していると、突然サインインできなくなります。

その他のポリシー要因

アクセスレビューで承認が得られていないアプリへのアクセスが期限切れになっていたり、管理者が一時的にアカウントを無効化している場合もあります。また、パスワードの有効期限切れや、MFA登録が未完了の場合も操作できません。

自分で確認すべきことと初期切り分け手順

管理者へ連絡する前に、まずは以下の手順で自分で確認できることを整理しておきましょう。これにより、管理者に伝える情報が具体的になり、解決がスムーズになります。

利用端末の状態確認

会社貸与のPCであれば、社内ネットワークに接続しているか、対象のアプリが最新バージョンかを確認します。また、ブラウザのシークレットモードや別のブラウザで試すことも有効です。

サインインログの確認

管理者でなくても、自分のサインインログはhttps://mysignins.microsoft.com から確認できます。ここでエラーコードや失敗理由を確認し、スクリーンショットを撮っておきます。

1. ブラウザで https://mysignins.microsoft.com にアクセスし、会社アカウントでサインインします。
2. 「サインインログ」タブをクリックし、最近の失敗したサインインを探します。
3. 失敗した行をクリックすると詳細が表示されます。特に「エラーコード」「条件付きアクセス」「リスク検出」の項目を確認します。
4. エラーメッセージが表示されている場合は、その画面全体をスクリーンショット(Windows: Win+Shift+S)で保存します。
5. もし「追加の確認が必要」と表示された場合は、MFAの登録状況を確認します(https://aka.ms/mfasetup)。
6. ブラウザのキャッシュをクリアしてから再度サインインを試します(例:Chromeの場合、設定→プライバシーとセキュリティ→閲覧履歴データを削除)。

管理者へ伝えるべき情報のまとめ

管理者が原因を特定するために必要な情報は、状況によって異なります。以下の表を参考に、連絡時に伝える情報を整理してください。

状況	伝えるべき情報	具体例
サインインそのものが拒否された	・エラーコード ・サインイン試行日時 ・利用していたネットワーク(社内/自宅/その他) ・デバイス情報(OS、ブラウザ)	「53003」「2025-04-01 10:15」「自宅Wi-Fi」「Windows11 Chrome120」
特定のアプリにアクセスできない	・アプリ名(URL) ・アプリが使用している認証方式(例:OAuth) ・以前は使えていたか	「Salesforce(https://company.salesforce.com)」「先週までは使えていた」
多要素認証(MFA)が求められない/求められすぎる	・MFAの方式(電話/アプリ/テキスト) ・MFAの状態(登録済みか) ・期待する動作	「Microsoft Authenticatorアプリで通知が来ない」「毎回MFAを求められる」
パスワードリセットが強制された	・リセットが要求された画面のスクリーンショット ・会社のパスワードポリシーに従ったか	「新しいパスワードを設定してくださいと表示された」「8文字以上、英数字混合で設定した」

管理者に連絡する際は、上記の情報に加えて、自分のユーザー名(UPN)や社員番号も伝えてください。可能であれば、サインインログのスクリーンショットを添付すると、管理者の調査が迅速に進みます。

失敗パターンと注意点

ここでは、アカウント保護ポリシーに関するよくある誤解や、やってはいけない操作を紹介します。

よくある誤解

「操作できないのは自分だけ」と思い込むケースがありますが、実際には同じポリシーが組織全体に適用されている可能性があります。まずは同僚に同じ現象が起きていないか確認してみましょう。また、「エラーメッセージの意味がわからない」と放置する人もいますが、エラーコードは管理者にとって重要な手がかりです。必ず記録しておいてください。

会社PCで勝手に変更してはいけない設定

トラブルシューティングの際に、ブラウザのプライバシー設定を緩めたり、セキュリティソフトを一時的に無効化したりする人がいますが、これは会社のセキュリティポリシーに違反する恐れがあります。特に、Entra IDの条件付きアクセスはデバイスの準拠状態をチェックするため、端末の設定を変更すると逆にブロックが強固になる場合があります。また、複数のブラウザやシークレットモードで試すのは問題ありませんが、会社のプロキシ設定やVPN接続は管理者の指示なしに変更しないでください。

管理者に確認してもらう設定項目

管理者側で確認すべき設定をあらかじめ理解しておくと、連絡がスムーズになります。以下の項目を伝えるとよいでしょう。

条件付きアクセスポリシーの適用状況

自分のアカウントがどのポリシーの対象になっているか、管理者はEntra ID管理センターの「条件付きアクセス」セクションで確認できます。特に「ユーザーとグループ」の割り当てで自分が含まれているか、ポリシーの状態が「オン」か「レポート専用」かを確認してもらいましょう。

リスクポリシーとユーザーリスク

Entra ID Protectionの「リスクの高いユーザー」レポートで、自分のユーザーリスクレベルが確認できます。もしリスクが「高」になっている場合、管理者がリスクを無視するか、パスワードリセットを実施する必要があります。自分ではリスクを解除できないため、管理者に依頼してください。

よくある質問(FAQ)

Q1. スマートフォンのOutlookアプリでメールが送受信できなくなりました。どうすればいいですか?
A1. まず、アプリのバージョンが最新か確認し、アカウント設定を削除して再追加してみてください。それでもダメなら、サインインログを確認し、エラーコードを管理者に伝えてください。

Q2. 「この操作には管理者の承認が必要です」と表示されます。自分で承認できませんか?
A2. 通常は管理者しか承認できません。連絡する際に、どのアプリのどの権限が不足しているかをスクリーンショットで伝えてください。

Q3. サインインログページにアクセスできない場合、どうすれば情報を取得できますか?
A3. 別のデバイス(スマートフォンなど)から試すか、ブラウザのシークレットモードでアクセスしてください。それでもダメなら、管理者に「mysigninsにアクセスできない」旨を伝え、代替手段を依頼してください。

Q4. 複数のエラーコードが出ている場合、どれを伝えればよいですか?
A4. 最新の失敗、または最も頻繁に発生しているエラーコードを伝えてください。可能であれば、すべてのコードをリストアップすると助かります。

まとめ

アカウント保護ポリシーによる操作ブロックは、組織のセキュリティを守るための正常な動作です。しかし、会社員が業務に支障をきたす場合、迅速に管理者へ適切な情報を伝えることが解決の近道です。まずはサインインログの確認とスクリーンショットの取得を行い、エラーコードや日時、利用環境を整理して連絡してください。管理者は、条件付きアクセスポリシーやリスクポリシーを確認し、必要に応じて調整やユーザーリスクの無視を行います。決して自分でシステム設定を変更せず、管理者と協力して問題を解決しましょう。

👥

Teams/Outlookトラブル完全解決データベース サインイン、接続エラー、メール送受信の不具合など、特有のトラブル解決策を網羅。困った時の逆引きに活用してください。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。