【Entra ID】会社ドメインを追加した後に認証できない時のDNS検証とUPN変更

会社のEntra IDテナントにカスタムドメインを追加した後、ユーザーがサインインできなくなることがあります。DNS検証が完了していない、またはユーザープリンシパル名(UPN)が新しいドメインに更新されていないことが主な原因です。この記事では、認証できない原因をDNS検証とUPN変更の2つの軸で切り分け、具体的な確認手順と対処方法を説明します。管理者の方だけでなく、影響を受ける一般ユーザーも参考にできる内容です。

1. 会社ドメイン追加後に認証できない原因

Entra ID(旧Azure AD)に会社ドメイン(例: contoso.com)を追加する手順は、大まかに以下の流れです。まずテナントにドメインを追加し、次にDNSレコードを追加して所有権を検証します。その後、ユーザーのUPNを新しいドメインに変更し、必要に応じてフェデレーションを設定します。このうち、認証できない原因として最も多いのがDNS検証の未完了とUPN変更の漏れです。

DNS検証に失敗している

Entra IDではドメインの所有権を確認するために、パブリックDNSに特定のTXTレコードまたはMXレコードを追加する必要があります。このレコードが正しく伝搬していない、あるいは誤った値が設定されていると、ドメインは「確認済み」になりません。未確認のドメインでは認証機能が働かず、サインインが拒否されます。

UPNが変更されていない

DNS検証が完了しても、ユーザーのUPNサフィックスが新しいドメインに変更されていない場合、ユーザーは引き続き初期ドメイン(例: contoso.onmicrosoft.com)でサインインすることになります。また、UPNの変更をオンプレミスのADと同期している環境では、Azure AD Connectの設定やフィルタリングが原因でUPNが反映されないことがあります。

フェデレーション設定の不整合

ドメインをフェデレーション(AD FSなど)と連携している場合、証明書やエンドポイントの設定ミスにより認証が失敗することがあります。ただし、この記事ではフェデレーションに起因する問題は扱いません。まずはDNS検証とUPN変更を切り分けてください。

2. DNS検証の確認手順

ドメイン追加後にEntra ID管理センターで「確認済み」と表示されているかどうかが最初のチェックポイントです。以下の手順でDNSレコードの状態を確認します。

1. Entra ID管理センター(https://entra.microsoft.com)に管理者アカウントでサインインします。
2. 「ID」→「外部ID」→「カスタムドメイン名」を開きます。
3. 追加したドメインの状態を確認します。「確認済み」と表示されていない場合は、レコードが不足しているか間違っています。
4. そのドメインをクリックし、「DNSレコードの追加」または「確認」ボタンから、必要なレコードの種類(TXTまたはMX)を確認します。
5. パブリックDNS管理画面(ドメインレジストラのコンソールやDNSホスティングサービス)で、指定されたレコードが正しく設定されているか確認します。
6. nslookupやdigコマンドを使って外部からレコードが引けるかテストします。例: nslookup -type=TXT contoso.com(実際のドメインに置き換え)
7. TTLの関係で伝搬に最大72時間かかることがあります。設定直後は「保留中」となるため、時間を置いて再度確認します。

社内ネットワークからDNSを確認する場合、内部DNSサーバーがパブリックレコードを上書きしていないか注意してください。例えば、社内DNSで同じドメインの別レコードが優先されていると、Entra IDの検証に失敗します。その場合は、外部DNS確認ツール(https://dnschecker.org など)を利用することをおすすめします。

3. UPN変更の手順

DNS検証が完了しても、ユーザーのUPNサフィックスが新しいドメインに設定されていなければ、サインイン時に「ユーザーが見つかりません」などのエラーが表示されます。クラウドのみの環境とハイブリッド環境で手順が異なります。

クラウドのみ(Azure AD)の場合

1. Entra ID管理センターで「ユーザー」→「すべてのユーザー」を開きます。
2. 対象ユーザーを選択し、「プロパティ」の「ユーザープリンシパル名」を新しいドメイン(例: user@contoso.com)に変更します。
3. 「保存」をクリックします。変更はすぐに反映されますが、既存のトークンが期限切れになるまで最大1時間ほど古いUPNで認証が通る場合があります。
4. 複数ユーザーを一括変更するには、PowerShellのSet-MgUserコマンドレットを使用します。

ハイブリッド(オンプレAD同期)の場合

オンプレミスのActive DirectoryからAzure AD Connectで同期している場合、UPNはオンプレミスの属性で管理されます。以下の手順で変更します。

1. オンプレミスのADでユーザーの「userPrincipalName」属性を新しいドメインに変更します。
2. Azure AD Connectを実行して強制同期します(またはデフォルトの30分間隔で同期)。
3. 同期後にEntra IDでUPNが正しく反映されているか確認します。
4. Azure AD Connectの「UPNサフィックス」が新しいドメインと一致しているか確認します。オンプレのUDPサフィックスが追加されていないと同期されません。
5. フェデレーションドメインの場合、UPN変更後も認証に影響しないよう、証明書やエンドポイントの整合性を確認します。

注意点として、UPNを変更するとユーザーのサインインメールアドレスが変わります。OutlookやTeamsなどでプロファイルが一時的に不整合を起こす可能性があるため、事前にユーザーへ周知してください。

4. 状況別の比較表

状態	現象	対処
ドメインが「未確認」	すべてのユーザーがサインインできない	DNSレコードを正しく設定し、伝搬を待つ
ドメインは「確認済み」だが一部ユーザーがサインインできない	エラーメッセージに「ユーザーが見つかりません」	該当ユーザーのUPNを新しいドメインに変更
UPN変更後も認証できない	古いUPNでサインインしようとしている	ユーザーに新しいUPNを通知し、キャッシュをクリアさせる
社内ネットワークのみ認証できない	外部ネットワークではサインイン可能	内部DNSの設定(特に条件付きフォワーダー)を確認

5. よくある失敗パターンと注意点

失敗例

よくある失敗パターンをいくつか紹介します。まず、DNSレコードのタイプを間違えるケースです。Entra IDではTXTレコードまたはMXレコードのどちらか一方を指定されますが、TXTとMXを両方設定してしまう、または値の末尾にドットが不足しているといったミスがよくあります。また、ドメインレジストラのDNS設定で、ホスト名を「@」ではなく「contoso.com」と記入してしまうとレコードが正しく認識されません。

次に、UPN変更をオンプレミスで行ったのにAzure AD Connectが同期していないパターンです。同期スケジュールを待たずに手動で強制同期する方法として、PowerShellのStart-ADSyncSyncCycle -PolicyType Deltaコマンドがあります。

さらに、ユーザーが古いUPNをブラウザのパスワードマネージャーに記憶しているため、新しいUPNでログインしようとしないケースも多いです。ユーザーに対して、サインイン時に正しいUPNを入力するよう明示的に伝える必要があります。

管理者へ確認する情報

トラブルシューティングの際、一般ユーザーが管理者に伝えるべき情報は以下の通りです。

• 正確なエラーメッセージ(例: 「このユーザーアカウントは見つかりませんでした」)
• サインインを試みたUPN(ユーザー名)
• 社内ネットワークか外部ネットワークか
• 事象がいつから発生しているか(ドメイン追加直後か?)

6. よくある質問

Q1: DNSレコードを追加したのにドメインが確認済みになりません。
A: レコードの値が正しいか再確認してください。Entra IDが求めるのはTXTレコードまたはMXレコードのいずれかです。TTLの伝搬には最大72時間かかるため、設定後すぐに反映されない場合は時間をおいてください。また、社内DNSがパブリックDNSを上書きしている可能性も考慮し、外部ツールで確認してみてください。

Q2: UPNを変更したのに、以前のUPNでサインインできてしまいます。
A: トークンのキャッシュが残っているためです。サインアウト後、ブラウザのキャッシュを削除するか、シークレットウィンドウで試してみてください。また、Azure AD Connectを使用している場合、同期が完了するまで古いUPNが有効な場合があります。

Q3: すべてのユーザーのUPNを一括変更する方法は?
A: クラウドのみの環境では、PowerShellのSet-MgUserコマンドレットをループ処理で使用します。ハイブリッド環境では、オンプレミスADの属性をActive Directoryユーザーとコンピューターで一括編集するか、PowerスクリプトでSet-ADUserを使用します。変更後はAzure AD Connectの同期が必要です。

Q4: ドメインを追加した後、TeamsやOutlookに影響はありますか?
A: UPNを変更すると、ユーザーのプライマリSMTPアドレスも連動して変わることがあります。Exchange Onlineなどのメールシステムと整合性を取るため、事前にメールアドレス属性も更新しておく必要があります。また、Teamsの会議リンクなどに古いUPNが含まれている場合は、再作成を促す必要があります。

7. まとめ

会社ドメイン追加後の認証問題は、DNS検証の失敗とUPN変更の未実施に集中しています。まずはEntra ID管理センターでドメインの状態を確認し、必要に応じてパブリックDNSレコードを修正しましょう。次に、ユーザーのUPNが新しいドメインに設定されているかを確認し、ハイブリッド環境ではオンプレミス側の変更と同期を忘れずに行います。これらの基本的な切り分けを行うことで、多くの問題は解決できます。どうしても解決しない場合は、フェデレーション設定や内部DNSの構成をさらに調査する必要があります。

👥

Teams/Outlookトラブル完全解決データベース サインイン、接続エラー、メール送受信の不具合など、特有のトラブル解決策を網羅。困った時の逆引きに活用してください。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。