【Entra ID】退職者から業務を引き継いだ後にサインインの再認証が増えた時の所有者変更と保持期限の確認

退職者から業務を引き継いだ後、突然サインインの再認証が頻繁に表示されるようになった経験はありませんか。特にMicrosoft 365の各種サービスや社内アプリケーションで、毎日のように認証を求められると業務効率が大きく低下します。この問題の多くは、Entra ID(旧Azure Active Directory)に登録されたアプリケーションやサービスプリンシパルの所有者設定、または認証トークンの保持期限に起因します。本記事では、原因の切り分け方と具体的な対処手順を、管理者権限の有無に応じて解説します。

退職者引き継ぎ後に再認証が増える原因

退職者の業務を引き継いだ後にサインインの再認証が増える主な原因は、Entra IDにおける以下の3つの要素です。

アプリケーションの所有者が退職者のまま

Entra IDに登録されているアプリケーション(アプリの登録)やエンタープライズアプリケーションには、所有者が設定されています。退職者のアカウントが所有者として残っていると、そのアカウントが無効化または削除されたタイミングで、アプリケーションが正しく認証できなくなり、新しいユーザーであるあなたに対して再認証が頻繁に求められる場合があります。これは、アプリケーションが所有者の資格情報を使ってトークンを更新しようとするためです。

認証トークンの保持期限が短い

Entra IDでは、アクセストークンや更新トークンの有効期限が設定されています。既定ではアクセストークンは1時間、更新トークンは90日間などですが、組織のポリシーによっては短く設定されていることがあります。退職者が以前に使っていたトークンが期限切れになり、かつアプリケーションの認証情報が更新されていないと、再認証が頻発します。

条件付きアクセスポリシーの変更

退職者のアカウントが無効化された後に、条件付きアクセスポリシーが変更され、新しい認証要件(多要素認証やデバイスコンプライアンスなど)が適用された可能性もあります。この場合、引き継ぎ者が同じデバイスや場所からアクセスしても、ポリシーが厳しくなったことで再認証が増えることがあります。

原因	現象	確認方法	対処方法
アプリ所有者が退職者	特定アプリで頻繁に認証要求	Entra IDのアプリ登録で所有者一覧を確認	所有者を自分に変更
トークン保持期限が短い	一定時間ごとに認証要求(例:1時間ごと)	アプリのマニフェストでtokenLifetimePolicyを確認	保持期限を延長するポリシー適用
条件付きアクセスポリシー変更	複数アプリで一斉に認証要求	管理者がポリシー変更履歴を確認	ポリシーを見直し、必要に応じて例外追加

まず確認すべきポイント:アプリの所有者と認証設定

問題を切り分けるために、最初に以下の3点を確認してください。これらは一般ユーザーでも閲覧可能な情報と、管理者しか見られない情報に分かれます。

確認1:アプリケーションの所有者が退職者になっていないか

Entra IDのポータル(https://entra.microsoft.com)にサインインし、「アプリケーション」→「アプリの登録」から、引き継いだ業務で使用しているアプリケーションを選択します。左メニューの「所有者」をクリックすると、現在の所有者一覧が表示されます。退職者のアカウントが含まれている場合は、それが原因の可能性が高いです。

確認2:トークンの有効期限が極端に短くなっていないか

同じアプリケーションの「マニフェスト」を開き、「accessTokenAcceptedVersion」や「tokenLifetimePolicy」の設定を確認します。通常は既定の設定が適用されていますが、カスタムポリシーが適用されている場合は有効期限が短くなっている可能性があります。この確認には管理者権限が必要な場合があります。

確認3:条件付きアクセスポリシーが変更されていないか

管理者が「Entra ID」→「保護」→「条件付きアクセス」でポリシー一覧を確認できます。特に「サインインの頻度」や「セッションの制御」に関連するポリシーが新しく追加されていないかを確認します。一般ユーザーはこの画面にアクセスできませんので、管理者に問い合わせてください。

所有者変更の具体的な手順

アプリケーションの所有者を変更するには、Entra IDの管理者権限、またはアプリケーションの共同所有者権限が必要です。以下の手順は、管理者として実行する場合の流れです。

1. Entra ID管理センター(https://entra.microsoft.com)に管理者アカウントでサインインします。
2. 左メニューから「アプリケーション」→「アプリの登録」を選択し、対象のアプリケーションをクリックします。
3. 左メニューから「所有者」を選択し、現在の所有者一覧を確認します。
4. 画面上部の「+所有者の追加」をクリックし、新しい所有者(引き継ぎ者など)を検索して選択します。
5. 追加後、退職者のアカウントがまだ有効な場合は、そのアカウントを選択し「削除」して所有者から外します。退職者のアカウントが既に無効化されている場合は、削除はできませんが、新しい所有者が追加されていれば問題ありません。
6. 同様に「エンタープライズアプリケーション」にも同じアプリケーションが存在する場合は、そちらの所有者も変更します。「エンタープライズアプリケーション」→該当アプリ→「プロパティ」で所有者を変更できます。

失敗パターン:退職者のアカウントが削除されている場合

退職者のアカウントが既にEntra IDから完全に削除されていると、所有者一覧にその名前が表示されず、削除操作ができません。この場合、新しい所有者を追加するだけでよく、古い所有者の存在は無視しても大丈夫です。ただし、アプリケーションが退職者の資格情報を参照している場合は、新たにシークレットや証明書を発行し直す必要があります。

保持期限(トークンの有効期限)を確認・変更する方法

トークンの有効期限は、アプリケーションごとにマニフェストで設定するか、組織全体のポリシー(トークンの有効期限ポリシー)で制御します。以下では、管理者向けにポリシーを確認・変更する手順を説明します。

アプリケーション単位のマニフェスト編集

1. Entra ID管理センターで該当アプリケーションの「マニフェスト」を開きます。
2. JSON内で「tokenLifetimePolicy」プロパティを探します。存在しない場合は既定値が使われています。
3. 有効期限を変更するには、別途「ポリシー」を作成してアプリケーションに割り当てる必要があります。直接マニフェストに値を書き込むことはできません。

トークン有効期限ポリシーの作成と割り当て

1. 管理者として「Entra ID」→「保護」→「トークンの有効期限ポリシー」に移動します。
2. 「+新しいポリシー」をクリックし、アクセストークンと更新トークンの有効期限(分・日数)を設定します。例えばアクセストークンを8時間(480分)、更新トークンを180日に設定することが可能です。
3. ポリシーを作成したら、対象のアプリケーションに割り当てます。「アプリケーション」→該当アプリ→「トークンの有効期限ポリシー」で設定したポリシーを選択します。

注意点

トークンの有効期限を長くしすぎるとセキュリティリスクが高まります。特にアクセストークンの有効期限は、通常1時間程度が推奨されています。更新トークンは最大180日まで延長可能ですが、組織のセキュリティポリシーに従ってください。また、変更後はすぐには反映されず、既存のトークンが期限切れになるまで影響が出ない場合があります。

管理者に依頼すべき設定(管理者が行う操作)

一般ユーザーが自分で対応できない設定もあります。以下のようなケースでは、IT管理者に依頼する必要があります。

• アプリケーションの所有者変更(特にエンタープライズアプリケーション)
• トークン有効期限ポリシーの作成と割り当て
• 条件付きアクセスポリシーの変更
• 退職者アカウントに関連するシークレットや証明書の再発行
• アプリケーションの認証設定(OAuth2.0の許可など)

管理者への依頼時には、具体的なアプリケーション名、現象(再認証の頻度、影響を受けるサービス)、退職者の情報(ユーザー名、削除日時)を伝えるとスムーズです。

よくある質問とトラブルシューティング

Q1. 所有者を変更しても再認証が減らないのはなぜですか?

所有者変更後のトークンがまだ古い所有者の情報を使っている可能性があります。その場合は、アプリケーションの「シークレット」や「証明書」を再作成し、クライアントシークレットを更新する必要があります。また、条件付きアクセスポリシーが別途トリガーされている可能性もあるため、管理者にポリシーの変更がないか確認してもらいましょう。

Q2. 退職者のアカウントは削除しないほうがよいですか?

退職者のアカウントをすぐに削除すると、アプリケーションの所有者不在や認証エラーの原因になります。可能であれば、アプリケーションの所有者を先に変更してから、アカウントを無効化・削除することをおすすめします。ただし、セキュリティポリシーによっては速やかに削除が必要な場合もありますので、管理者と相談してください。

Q3. すべてのユーザーに再認証が増えている場合の原因は?

組織全体で再認証が増えている場合は、条件付きアクセスポリシーの変更や、Entra IDのセキュリティ既定値が有効になった可能性が高いです。管理者に連絡し、最近のポリシー変更を確認してもらいましょう。

まとめ

退職者から業務を引き継いだ後にサインインの再認証が増えた場合、まずはアプリケーションの所有者が退職者のままになっていないか確認することが重要です。所有者変更とトークン有効期限の見直しにより、多くの問題は解決します。ただし、一般ユーザーでは対応できない設定もあるため、必要に応じてIT管理者に依頼してください。日頃からアプリケーションの所有者情報を最新に保ち、退職者のアカウント削除前に認証設定を更新しておくことで、このようなトラブルを未然に防ぐことができます。

👥

Teams/Outlookトラブル完全解決データベース サインイン、接続エラー、メール送受信の不具合など、特有のトラブル解決策を網羅。困った時の逆引きに活用してください。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。