【Microsoft 365】管理者承認が必要なアプリが会社ポリシーでブロックされる時の確認ポイント

会社のMicrosoft 365環境で業務に必要なアプリケーションを利用しようとしたところ、「管理者の承認が必要です」というエラーが表示され、先に進めない経験はないでしょうか。この問題は、組織のセキュリティポリシーによってアプリの利用が制限されていることが原因です。特にAzure Active Directory(Azure AD)でアプリの同意ポリシーが設定されている場合、ユーザーが自分で許可を与えることができません。本記事では、ブロックされる原因を体系的に確認し、ユーザー自身でできる切り分けと、管理者に依頼すべきポイントを解説します。

1. ブロックされる原因を理解する

アプリがブロックされる主な原因は、組織のAzure ADに設定された「管理者同意ポリシー」と「条件付きアクセスポリシー」にあります。Microsoft 365では、サードパーティアプリや特定のMicrosoftアプリがユーザーの代わりにデータにアクセスする際、同意が必要です。組織が「ユーザーはアプリへの同意を許可しない」設定にしている場合、管理者による承認が必須となります。

アプリの種類と同意の必要性

すべてのアプリがブロックされるわけではありません。以下の表に、よくあるアプリのカテゴリと同意の必要性を示します。

アプリカテゴリ	同意の必要性	ブロックされる条件
Microsoft純正アプリ(Teams, Outlookなど)	通常は不要	条件付きアクセスで制限される場合あり
サードパーティアプリ(Slack, Zoom連携など)	ユーザー同意 or 管理者同意	組織がユーザー同意を無効にしている
カスタム開発アプリ(自社アプリ)	管理者同意が必要	管理者同意が未実施

条件付きアクセスポリシーによるブロック

条件付きアクセスポリシーは、アプリへのアクセスをIPアドレス、デバイスのコンプライアンス、リスクレベルなどに基づいて制御します。たとえば、未登録デバイスからのアクセスを禁止するポリシーが有効な場合、会社PCであってもデバイスが適切に登録されていないとブロックされます。エラーメッセージに「アクセスが拒否されました」や「条件付きアクセスポリシーによりブロック」と表示されることがあります。

2. 確認すべき初期手順

ブロックに遭遇したら、まず以下の手順で情報を整理します。これにより、原因を特定しやすくなります。

1. エラーメッセージをスクリーンショットまたはテキストで記録する。特に「管理者の承認が必要」「アクセスが拒否されました」「デバイスが準拠していません」といった文言を確認する。
2. ブラウザのシークレットモード(InPrivate/シークレットウィンドウ)で再度アクセスを試みる。キャッシュやCookieが原因で誤表示される場合がある。
3. 別のブラウザ(Edge、Chrome、Firefox)でテストする。ブラウザの拡張機能が干渉することもある。
4. 会社のネットワークに接続しているか、自宅や外出先のネットワークかを確認する。条件付きアクセスで特定のIP範囲のみ許可されている可能性がある。
5. 自分のアカウントが「ゲストユーザー」か「メンバー」かを確認する(Outlook Web AppやTeamsのプロファイル情報から確認可能)。ゲストユーザーは追加の制限を受ける場合がある。

エラーメッセージの具体的な読み取り方

エラーページには「AADSTS」で始まるコードや「90094」「65001」などの数字が含まれていることがあります。以下はよく見られるコードとその意味です。

エラーコード	意味	対処
AADSTS90094	管理者の同意が必要	管理者にアプリの同意を依頼する
AADSTS65001	アプリまたはリソースへのアクセス許可が不足	管理者がアプリに適切なアクセス許可を割り当てる
AADSTS50076	多要素認証が必要	MFAを設定するか、条件付きアクセスポリシーを確認

3. 失敗パターンとその対処

よくある失敗パターンをいくつか紹介します。これらに当てはまる場合、自分で解決できる可能性は低く、管理者の対応が必要です。

• パターン1: アプリの利用開始時に毎回「管理者の承認が必要」と表示される。→ 組織の同意設定でユーザー同意が無効になっているため、管理者が事前に同意を与える必要があります。
• パターン2: 特定の条件下(例:自宅ネットワーク)でのみブロックされる。→ 条件付きアクセスポリシーが発動している可能性が高いです。管理者にポリシーの詳細を確認してもらいましょう。
• パターン3: 別の同僚は使えるのに自分だけ使えない。→ アカウントのライセンス割り当てやグループメンバーシップが異なる可能性があります。管理者に自分のアカウント設定を確認してもらいましょう。

4. 管理者に依頼する前に確認すべきこと

管理者に連絡する前に、以下の情報を整理しておくとスムーズです。

1. 問題のアプリ名と、そのアプリが要求するアクセス許可(例:メールの読み取り、ユーザー情報の取得など)を記録する。
2. エラーメッセージのスクリーンショットと、発生時刻・利用していたブラウザ・ネットワーク環境を伝える。
3. 自分以外のユーザーでも同じ問題が発生しているかどうかを確認する。チーム内で複数人が該当する場合、組織全体の問題である可能性が高い。
4. アプリのURLやID(Azure ADのエンタープライズアプリケーションに表示されるオブジェクトID)を控えておく。

管理者に伝える情報のまとめ

管理者が迅速に対応するためには、具体的な情報が重要です。以下の項目をメールやチケットに含めるとよいでしょう。

• 自身のユーザープリンシパル名(UPN、例: user@company.com)
• アプリの名称と提供元(例: 「Slack – Microsoft 365 コネクタ」など)
• 表示されたエラーコード(AADSTSxxxxx)
• 再現手順(いつ、どの操作で発生するか)

5. 管理者が確認すべき設定と依頼内容

ここでは、管理者側で確認・変更が必要な設定項目を説明します。ユーザーはこの内容を参考に、管理者へ具体的な依頼をすることができます。

Azure ADの同意設定

管理者はAzure AD管理センターで「エンタープライズアプリケーション」→「ユーザー設定」から、ユーザーがアプリに同意できるかどうかを制御できます。「ユーザーはアプリへの同意を許可できますか」というオプションが「いいえ」になっている場合、すべてのアプリで管理者同意が必要です。特定のアプリだけ許可したい場合は、「管理者同意のワークフロー」を有効にすることで、ユーザーが承認を要求できるようになります。

条件付きアクセスポリシーの確認

条件付きアクセスポリシーがアプリに適用されているかどうかを確認します。特に「すべてのクラウドアプリ」を対象にしたポリシーがある場合、新しいアプリも影響を受けることがあります。管理者はポリシーから該当アプリを除外するか、ユーザーがポリシーの条件を満たすようにデバイス登録やMFA設定を促す必要があります。

アプリへのアクセス許可割り当て

アプリに必要なアクセス許可が適切に割り当てられていないケースもあります。管理者は「エンタープライズアプリケーション」で該当アプリを開き、「アクセス許可」タブで要求されている権限を確認し、必要に応じて「管理者の同意を付与」を実行します。これにより、アプリが組織全体のデータにアクセスできるようになります。

6. よくある質問

Q1: 自分で「管理者の同意を要求」するボタンを押してもよいですか?
はい、多くのエラーページには「管理者の承認を要求」リンクがあります。これをクリックすると、管理者に承認リクエストが送られます。ただし、組織で「管理者同意のワークフロー」が有効になっていないと機能しない場合があるため、併せて管理者に直接連絡することをおすすめします。

Q2: ゲストユーザーはどうやってアプリを使えるようにしますか?
ゲストユーザーは通常、組織外のアカウントです。管理者がゲストユーザーに対してアプリの利用を許可するには、Azure ADでゲストユーザーのアクセス権限を設定するか、アプリのプロパティで「他のディレクトリからのユーザーに割り当て可能」を有効にする必要があります。また、条件付きアクセスでゲストユーザーをブロックしている場合があるので、管理者に確認が必要です。

Q3: アプリが「ブロックされました」と表示され、エラーコードがない場合は?
エラーコードがない場合、ブラウザの拡張機能やセキュリティソフトが原因の可能性があります。拡張機能を無効にして再試行するか、別のブラウザで試してください。それでも解決しない場合は、ネットワーク管理者に問い合わせて、プロキシやファイアウォールでアプリの通信が遮断されていないか確認してもらう必要があります。

7. まとめ

Microsoft 365でアプリがブロックされる問題は、多くの場合、組織の同意ポリシーや条件付きアクセスポリシーが原因です。ユーザーは自分で設定を変更できないため、まずはエラーメッセージを確認し、上司やIT管理者に正確な情報を伝えることが重要です。管理者側では、Azure ADの同意設定や条件付きアクセスポリシーを見直し、必要に応じてアプリへの管理者同意を付与することで解決できます。再発防止のためには、新しいアプリを導入する際に事前に管理者承認を得る運用ルールを整えておくとよいでしょう。

👥

Teams/Outlookトラブル完全解決データベース サインイン、接続エラー、メール送受信の不具合など、特有のトラブル解決策を網羅。困った時の逆引きに活用してください。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。