【Microsoft 365】サインインで本人確認後に権限がありませんと出る時のロール分離確認

Microsoft 365にサインインする際、多要素認証などの本人確認を完了した後に「権限がありません」と表示され、サービスを利用できなくなることがあります。このエラーは、アカウント自体に問題があるのか、組織のセキュリティ設定が原因なのか、切り分けが難しいケースです。特に近年、特権管理者の役割を分離する「ロール分離(Role Separation)」の設定が原因で発生するケースが増えています。本記事では、ロール分離が原因となる場合の確認手順と対処方法を詳しく解説します。

1. 「権限がありません」と表示される原因の全体像

本人確認を通過した後に「権限がありません」と表示されるエラーは、主に以下の3つの原因に分類されます。

• ライセンス不足: 必要なライセンス(例:Exchange Online、SharePoint Online)が割り当てられていない。
• 条件付きアクセス: デバイス、場所、アプリに応じたアクセス制限に引っかかっている。
• ロール分離(Role Separation): 特に管理者ロールを持つユーザーが、特権ロールの管理に別の特権が必要となる設定でブロックされる。

この記事では3つ目の「ロール分離」に焦点を当てます。このエラーは、Azure ADの特権ロール管理設定「Privileged Role Administration」と「Privileged Authentication Administration」が分離されている場合に発生します。ユーザーに管理者ロールが割り当てられていても、本人確認(多要素認証など)を実行するために必要なロールが不足していると、サインイン後の操作が拒否されるのです。

2. ロール分離とは何か

ロール分離は、高度なセキュリティ要件を持つ組織で導入される設定です。Azure ADでは、特権管理者のロールを細分化し、1人の管理者がすべての特権操作を行えないようにする仕組みです。特に影響が大きいのは、次の2つのロールの分離です。

2-1. Privileged Role Administrator(特権ロール管理者)とPrivileged Authentication Administrator(特権認証管理者)

Privileged Role Administratorは、他のユーザーに管理者ロールを割り当てたり、ロールの設定を変更できる最強のロールです。一方、Privileged Authentication Administratorは、ユーザーの認証方法(多要素認証、パスワードリセットなど)を管理できます。セキュリティを高めるため、これらのロールを同一人物に割り当てないよう分離する設定が可能です。この分離が有効な状態で、Privileged Role Administratorが本人確認(多要素認証)を実行しようとすると、Privileged Authentication Administratorの権限が必要になるためブロックされ、「権限がありません」と表示されることがあります。

2-2. ロール分離が原因で発生する具体的な状況

以下のようなシナリオで問題が発生します。

• IT管理者がAzure AD管理センターにサインインしようとすると、「権限がありません。この操作を実行するにはPrivileged Authentication Administratorロールが必要です。」と表示される。
• 特権ロール管理者が自分のアカウントの多要素認証を設定し直そうとした際にエラーになる。
• Microsoft 365管理センターでユーザー管理を行おうとしたが、認証関連の項目だけ操作できない。

3. 自分で確認できる手順(一般ユーザー向け)

まずは、自分がどの管理者ロールを持っているのかを確認しましょう。以下の手順は、自分のアカウントでログインできる状態であれば実行可能です。ただし、エラーが発生してログインできない場合は、別のアカウントで代わりに確認するか、管理者に依頼してください。

1. WebブラウザでAzure portalにアクセスし、該当のアカウントでサインインします。本人確認(多要素認証)はスキップせずに、指示に従って完了させてください。
2. サインイン後、上部の検索バーに「Azure Active Directory」と入力し、サービスを開きます。
3. 左側のメニューから「ロールと管理者」をクリックします。
4. 「割り当て済みロール」の一覧が表示されます。ここで「Privileged Role Administrator」や「Privileged Authentication Administrator」があるか確認します。
5. もしこれらのロールが表示されない場合、管理者ロールを持っていない可能性が高いです。この場合、ロール分離は原因ではないため、他の切り分け(ライセンスや条件付きアクセス)を進めてください。
6. 重要: 自分でロールを追加・削除しないでください。もし間違って権限を削除すると、アクセス不能になるリスクがあります。

4. 管理者によるロール分離設定の確認と対処

ロール分離の設定は、組織のAzure ADテナント全体に影響します。以下の手順はIT管理者アカウント(少なくともPrivileged Role Administrator権限を持つアカウント)でのみ実行できます。

ユーザータイプ	ロール分離の影響	対処の方向
通常ユーザー(管理者ロールなし)	影響なし。本人確認後も権限エラーが出る場合は別原因。	ライセンスや条件付きアクセスの確認
Privileged Role Administratorのみ保持	本人確認操作でブロックされる可能性が高い。	Privileged Authentication Administratorを追加付与、またはロール分離を無効化
Privileged Authentication Administratorのみ保持	ロール管理操作でブロックされる可能性がある。	Privileged Role Administratorを追加付与、またはロール分離を無効化
両方のロールを保持	ロール分離の対象外となるため、通常はエラーにならない。	問題が続く場合は別原因

4-1. 管理センターでの確認手順

1. Azure portalに「Privileged Role Administrator」権限を持つアカウントでサインインします。
2. 「Azure Active Directory」→「ロールと管理者」と進み、画面上部の「設定」をクリックします。
3. 「Privileged Role AdministrationとPrivileged Authentication Administrationを分離する」というオプションが表示されます。これが「オン」になっているとロール分離が有効です。
4. もし分離を解除する必要がある場合、このオプションを「オフ」にします。ただし、組織のセキュリティポリシーに反する可能性があるため、必ず上長やセキュリティチームと相談してください。
5. または、影響を受けているユーザーに不足しているロール(通常はPrivileged Authentication Administrator)を割り当てます。ただし、そのユーザーにPrivileged Role Administratorが既にある場合は、両方のロールを持つことで分離の意味が薄れるため、セキュリティガバナンスを考慮する必要があります。

4-2. 失敗パターンと注意点

よくある失敗例を紹介します。

• 自分でロールを追加しようとして権限不足になる: 一般ユーザーがAzure ADのロール管理画面にアクセスしても操作できません。管理者に依頼しましょう。
• ロール分離設定をオフにしたら、別のセキュリティ要件に違反して監査に引っかかる: 組織のコンプライアンス規定を確認せずに変更すると、後で問題になることがあります。変更前にドキュメント化して承認を得てください。
• Privileged Authentication Administratorを追加したが、本人確認エラーが続く: 原因がロール分離以外にある可能性があります。条件付きアクセスポリシーやライセンス割り当てを再確認してください。

5. よくある質問(FAQ)

Q1: 本人確認(多要素認証)は正常に完了するのに、その後「権限がありません」と表示される原因はロール分離だけですか?

いいえ、他にも原因があります。代表的なものとして、アカウントに割り当てられたライセンスが期限切れ、またはアクセスしようとしたサービス(例:Exchange管理センター)に必要な管理者ロールが不足している場合も同様のエラーが発生します。また、条件付きアクセスで「多要素認証済み」がポリシーで要求されていないのに、別の条件(デバイスコンプライアンス)に引っかかることもあります。

Q2: エラーメッセージに「Privileged Authentication Administratorが必要です」と表示されます。どうすればよいですか?

そのメッセージは、ロール分離が原因であることを示しています。あなたのアカウントはPrivileged Role Administratorを持っている可能性が高いです。IT管理者に連絡し、Privileged Authentication Administratorロールを追加してもらうか、ロール分離設定を無効にしてもらう必要があります。

Q3: ロール分離設定を変更せずに、一時的に回避する方法はありますか?

一時的な回避策として、Privileged Authentication Administrator権限を持つ別の管理者アカウントでサインインし、必要な操作(例:自分の多要素認証リセット)を代行してもらう方法があります。ただし根本解決にはなりませんので、恒久的な対策としてロール付与または設定変更を検討してください。

6. まとめ

Microsoft 365で本人確認後に「権限がありません」と表示された場合、ロール分離(Privileged Role AdministrationとPrivileged Authentication Administrationの分離)が原因である可能性を疑ってください。自分のアカウントのロールをAzure ADで確認し、管理者ロールを持っている場合は特に注意が必要です。問題の切り分けとして、エラーメッセージの内容を確認し、不足しているロールを特定することが重要です。管理者に設定変更を依頼する際は、セキュリティポリシーとの整合性を確認した上で行いましょう。ロール分離以外にも原因はありますが、本記事の手順を踏むことで迅速に解決に近づけるはずです。

👥

Teams/Outlookトラブル完全解決データベース サインイン、接続エラー、メール送受信の不具合など、特有のトラブル解決策を網羅。困った時の逆引きに活用してください。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。