【SharePoint】条件付きアクセスで社用端末だけ使えない時の切り分け

SharePointにアクセスできないトラブルは、社内で頻繁に発生する問題の一つです。特に、個人のスマートフォンや自宅のPCからはアクセスできるにもかかわらず、会社から支給された社用端末(ノートPCやデスクトップ)だけが利用できない場合、原因は条件付きアクセスポリシーにあることがほとんどです。この記事では、そのような状況でどのように原因を切り分け、次にどのような行動を取るべきかを具体的に解説します。管理者への依頼内容や、自分で確認できるポイントも整理していますので、ぜひ参考にしてください。

まず確認すべきエラーメッセージとサインインログ

トラブルシューティングの第一歩は、表示されているエラーメッセージを正確に把握することです。SharePointにアクセスしようとしたときに、以下のようなメッセージが表示されていないでしょうか。

• 「お使いのデバイスは必要なコンプライアンス条件を満たしていません」
• 「このリソースへのアクセスは、条件付きアクセスポリシーによってブロックされています」
• 「追加のセキュリティ確認が必要です。アカウントを確認してください」

これらのメッセージは、条件付きアクセスポリシーが適用され、何らかの条件を満たしていないことを示しています。特に社用端末だけがブロックされる場合、ポリシーが「準拠デバイスを要求する」または「特定のOSバージョンを要求する」といった設定になっている可能性が高いです。また、サインインログを確認することで、どのポリシーが適用されたかが詳細に記録されています。管理者でないと完全なログは見られませんが、一般ユーザーでもhttps://mysignins.microsoft.comから自分の最近のサインイン活動を確認できます。ログイン後、「アクティビティの詳細」を開くと、適用された条件付きアクセスポリシーの名前や結果が表示されます。

条件付きアクセスの仕組みと社用端末だけブロックされる原因

条件付きアクセスは、Azure Active Directory(Azure AD)の機能で、ユーザーがリソースにアクセスする際に、あらかじめ設定された条件を満たしているかどうかをチェックします。条件には、ユーザーグループ、場所(IPアドレス範囲)、デバイスの状態(準拠/非準拠)、アプリケーションなどがあります。

社用端末だけがブロックされる代表的な原因は、次の3つです。

原因1: 端末がコンプライアンスポリシーを満たしていない

社用端末は通常、Microsoft IntuneなどのMDM(モバイルデバイス管理)に登録されています。管理者は、OSバージョン、ディスク暗号化、ウイルス対策ソフトの有効状態など、いくつかのコンプライアンス条件を設定します。これらの条件を満たしていない端末は「非準拠」とみなされ、アクセスがブロックされます。

原因2: ブラウザの互換性または更新不足

条件付きアクセスの一部のポリシーは、最新のブラウザ(Edge、Chromeなど)を要求することがあります。社用端末でInternet Explorerや古いバージョンのブラウザを使っている場合、ポリシーによりブロックされることがあります。

原因3: ポリシーが社内ネットワーク外からのアクセスを許可していない

社用端末を社外(自宅や出先)からアクセスしようとしている場合、ポリシーによって「社内ネットワークからのみ許可」と設定されているとブロックされます。この場合、個人端末も社外からではアクセスできないはずですが、もし個人端末だけアクセスできるなら、別の原因です。

社用端末と個人端末のアクセス状況を比較する

問題を切り分けるために、同じアカウント、同じネットワーク条件下で、社用端末と個人端末のアクセス可否を比較してみましょう。以下の表を参考に、どの要因が異なるかをチェックします。

比較項目	社用端末	個人端末
OSの種類とバージョン	例:Windows 10 21H2	例:Windows 11 23H2
ブラウザの種類とバージョン	例:Edge 109	例:Chrome 120
MDM登録状態	登録済み	未登録
エラーメッセージの有無	あり(例:ブロック)	なし(正常アクセス)

この比較から、社用端末のみに適用される要因(MDM登録、特定のOS/ブラウザ)が問題を引き起こしている可能性が高いと判断できます。ただし、個人端末でも同じアカウントでアクセスできるため、アカウントの問題ではなく、端末固有の問題であることがわかります。

端末のコンプライアンス状態を確認する手順

社用端末のコンプライアンス状態は、自分で確認できる場合があります。以下の手順に沿って確認してみてください。もし結果が「準拠」であれば、コンプライアンス以外の原因を探る必要があります。

1. 社用端末でWebブラウザを開き、https://portal.manage.microsoft.comにアクセスします。
2. 会社のアカウント(通常はメールアドレス)でサインインします。多要素認証が要求される場合があります。
3. 画面が表示されたら、「デバイス」タブまたは「デバイスの詳細」をクリックします。
4. 該当するデバイスを選択し、「デバイスのコンプライアンス」または「状態」欄を確認します。「準拠」と表示されていればコンプライアンスは問題ありません。「非準拠」の場合は、その理由(例:ウイルス対策が無効、ディスク暗号化が未完了)が併記されています。
5. もし非準拠の理由が表示されない場合、設定アプリから「アカウント」→「職場または学校にアクセスする」→該当アカウントを選択→「情報」からも状態を確認できます。
6. 非準拠だった場合、表示された条件を満たすように端末を修正します。例えば、ウイルス対策を有効にしたり、Windows Updateを実行したりします。修正後、数分待ってから再度ポータルサイトで状態を確認してください。

注意点として、コンプライアンスポリシーの評価には時間がかかる場合があります。また、社用端末がIntuneに登録されていない場合、このポータルサイトは利用できません。その場合は管理者に問い合わせる必要があります。

条件付きアクセスポリシーの特定と回避策

端末のコンプライアンスが確認できたら、次は条件付きアクセスポリシー自体を特定します。一般ユーザーはポリシーを見ることはできませんが、エラーメッセージやサインインログからポリシー名を特定できる場合があります。

エラーメッセージからのポリシー特定

SharePointアクセス時に表示されるエラーページには、多くの場合「詳細情報」や「トラブルシューティング情報」へのリンクが含まれています。これをクリックすると、ブロックしたポリシーの名前や、どの条件を満たさなかったかが表示されることがあります。例えば「準拠デバイスが必要です」といったメッセージです。

ブラウザのサードパーティCookieと拡張機能の問題

稀に、ブラウザの設定が原因でポリシー評価が正常に行われないケースもあります。特にサードパーティCookieをブロックしていると、条件付きアクセスに必要なトークンの受け渡しが失敗することがあります。また、広告ブロッカーやセキュリティ拡張機能が干渉する場合もあります。

回避策として、ブラウザのプライベートモード(InPrivate/シークレット)でアクセスを試してみてください。これでアクセスできる場合は、拡張機能やCookie設定が原因です。その場合は、該当する拡張機能を一時的に無効にするか、SharePointのサイトを例外として追加します。

管理者に伝えるべき情報と依頼方法

自分で解決できない場合、管理者に依頼することになります。その際、以下の情報を整理して伝えるとスムーズです。

• 発生時刻と日付: 問題がいつ発生したか。サインインログのタイムスタンプと合わせると精度が上がります。
• エラーメッセージの全文: スクリーンショットやコピーしたテキスト。
• 端末情報: OS名、バージョン、ブラウザの種類とバージョン。Intuneに登録されているかどうか。
• アクセスしたURL: 例:https://yourcompany.sharepoint.com/sites/XXX
• サインインログのアクティビティID: mysignins.microsoft.comで確認できるアクティビティID。管理者が詳細なログを検索するために必要です。

管理者はこれらの情報を元に、Azure ADのサインインログや条件付きアクセスポリシー設定を確認し、ポリシーを調整します。例えば、「社用端末だけ」に適用されるポリシーが意図しないものであれば、ポリシーからその端末を除外するか、条件を緩和します。

よくある質問(FAQ)

Q1. 個人端末ではアクセスできるのに、なぜ社用端末だけブロックされるのですか?

条件付きアクセスポリシーは、デバイスの「準拠状態」を条件にすることが多いです。社用端末はIntuneに登録されており、コンプライアンス条件を満たしていないと非準拠になります。個人端末はそもそも登録されていないため、この条件の評価対象外となり、アクセスできる可能性があります。つまり、個人端末は「非準拠」ではなく「未評価」で通っているのです。

Q2. 社用端末のコンプライアンス状態を自分で修正できますか?

多くの場合、修正可能です。例えば、Windows Updateを実行する、ウイルス対策ソフトを有効にする、BitLocker暗号化を完了するなど、Intuneポータルサイトに表示された要件を満たせば、自動的に準拠状態に戻ります。ただし、一部の設定は管理者しか変更できないものもあります。

Q3. 条件付きアクセスポリシーは全社員に影響しますか?

ポリシーは特定のユーザーグループやアプリケーションにのみ適用されるように設定できます。そのため、自分だけが影響を受けている可能性もあれば、所属する部署全体で同様の問題が発生している可能性もあります。同僚にも同様の症状がないか確認してみてください。

まとめ

社用端末だけSharePointにアクセスできない場合、原因の多くは条件付きアクセスポリシーによるデバイスコンプライアンス要件の未達またはブラウザの互換性問題です。まずはエラーメッセージとサインインログを確認し、端末のコンプライアンス状態をチェックしてください。それでも解決しない場合は、詳細な情報を収集した上で管理者に依頼しましょう。条件付きアクセスポリシーはセキュリティ強化のために重要ですが、適切に設定されていないと業務に支障をきたすこともあります。今回の手順を参考に、効率的に原因を特定し、早期解決につなげてください。

☁

OneDrive・SharePointトラブル完全解決データベース同期、共有、権限、ライブラリ、復元、Teams連携で止まる原因を横断的に確認できます。