【会社PC】VPNの条件付きアクセスで古いWindowsで接続できなくなった時の見直し

会社のVPNに接続しようとしたところ、古いWindows端末だけが「接続できない」「認証に失敗する」といったエラーでつながらない状況が発生していませんか。最近では多くの企業がセキュリティ強化のためにAzure ADの条件付きアクセス(Conditional Access)をVPN接続に適用しています。この条件付きアクセスは、OSのバージョンや更新プログラムの状態、デバイスの準拠状況などをチェックするため、古いWindowsではポリシーを満たせず接続を拒否されることがあります。本記事では、条件付きアクセスが原因で古いWindowsのVPN接続が失敗する場合の見直しポイントを、原因の切り分け、具体的な確認手順、失敗パターン、管理者への報告事項まで含めて解説します。

条件付きアクセスとVPN接続の関係

条件付きアクセスは、Azure ADが提供するセキュリティ機能で、ユーザー、デバイス、場所、アプリケーションなどの条件に基づいてアクセスを制御します。VPN接続においては、Azure ADをIDプロバイダーとして利用し、SAMLやOIDCによる認証後にVPNトンネルを確立する方式が増えています。この方式では、条件付きアクセスのポリシーがVPN接続に対しても適用され、OSバージョンが一定以下、または更新プログラムが不足している端末はアクセスをブロックされます。

例えば、Windows 10 バージョン1809以前や、Windows 11 22H2未満など、サポートが終了したビルドは「承認されていないデバイス」と見なされ、VPN接続が拒否されることがあります。また、IntuneやMicrosoft Defender for Endpointの準拠ポリシーと連携している場合、デバイスが「準拠」マークを得ていないと接続できません。

原因の切り分け:端末・アカウント・管理設定

接続障害の原因を特定するには、以下の3つの視点で切り分けます。

1. 端末側の要因

• OSバージョンとビルド: 条件付きアクセスでは、特定のOSバージョン(例:Windows 10 1903以上)を要求することが多いです。ビルド番号を確認し、ポリシーに合致しているか調べます。
• 更新プログラムの欠落: セキュリティ更新プログラムが未適用だと、「危険なデバイス」と判定される場合があります。特に、Windows Updateを長期間実行していない端末は注意が必要です。
• VPNクライアントのバージョン: 古いVPNクライアントソフト(例:Cisco AnyConnect、Pulse Secure、Windows標準のSSTPなど)が条件付きアクセスに対応していないケースもあります。最新版に更新する必要があります。
• 証明書の有効期限: デバイス証明書やユーザー証明書が期限切れだと認証に失敗します。

2. アカウント側の要因

• ライセンス不足: Azure AD Premium P1またはP2が必要な条件付きアクセス機能があります。ユーザーに適切なライセンスが割り当てられていないとポリシーが適用されません(拒否ではなくスキップされる場合もあります)。
• MFA設定: 多要素認証が必須のポリシーで、MFAが正しく構成されていないと認証ブロックされます。古いWindowsではMFAのチャレンジが正常に表示されないこともあります。
• アカウントのブロック: 条件付きアクセスとは別に、アカウントが無効化・ロックアウトされていないか確認します。

3. 管理設定側の要因

• 条件付きアクセスポリシーの内容: 管理者が設定したポリシーで、OSバージョンの条件や準拠デバイス要件が厳しすぎないか確認します。
• 準拠ポリシー(Intune): デバイスがIntuneで管理されている場合、準拠ポリシーに違反していないかチェックします。
• ネットワーク条件: 場所(IPアドレス範囲)による制限や、危険なサインインリスクの評価が影響している場合もあります。

具体的な確認手順

以下の手順で、問題の原因を特定してください。操作は会社PCの管理者権限が必要な場合があります。不明な点はIT部門に問い合わせてください。

1. エラーメッセージを記録する: VPN接続時に表示されるエラーコードやメッセージをスクリーンショットまたはメモに取ります。特に「アクセスが拒否されました」「デバイスが準拠していません」「クライアントOSがサポートされていません」といった文言が重要です。
2. OSのバージョンとビルドを確認する: [設定]→[システム]→[詳細情報] で「Windows仕様」のエディション、バージョン、OSビルドを確認します。例:Windows 10 Pro バージョン21H2、ビルド19044.1288。
3. Windows Updateの状態を確認する: [設定]→[更新とセキュリティ]→[Windows Update] で、保留中の更新プログラムがないか確認します。すべての重要な更新を適用してください。
4. VPNクライアントのバージョンと対応状況を調べる: VPNクライアントソフトのバージョン情報を確認し、ベンダーのドキュメントで条件付きアクセス対応バージョンを確認します。例えば、Cisco AnyConnectは4.10以降がAzure AD SAMLに対応しています。
5. イベントビューアーで認証ログを確認する: Windowsのイベントビューアー → Windowsログ → Security で、VPN認証に関連するイベントID(例:4624, 4648)にエラーがないか確認します。また、Azure ADサインインログを管理者に依頼して取得してもらうと原因が特定しやすくなります。
6. Intuneデバイスの準拠状態を確認する: 該当PCがIntuneに登録されている場合、[設定]→[アカウント]→[職場または学校にアクセスする] → 該当アカウントを選択し[情報]で準拠状態を確認します。準拠していない場合は、「準拠状態の確認」をクリックして手動で同期します。
7. 管理者に条件付きアクセスポリシーの内容を確認してもらう: 自分では変更できないので、IT部門にポリシーの詳細(特に適用条件、OSバージョンの要件、準拠デバイス要件)を開示してもらい、該当端末が条件を満たしているか確認します。

失敗パターンと判断基準

症状	可能性の高い原因	判断基準
「お使いのデバイスはこのリソースへのアクセス要件を満たしていません」と表示される	デバイスが条件付きアクセスのOSバージョン要件または準拠ポリシーを満たしていない	OSバージョンがサポート終了、またはIntuneの準拠ステータスが「非準拠」
サインイン画面でユーザー名とパスワードを入力後、何も反応がない	MFAチャレンジが古いWindowsで正しくレンダリングされない	ブラウザベースの認証を使用している場合、Internet Explorerの互換性やポップアップブロックが原因
VPNクライアントが証明書エラーを出す	デバイス証明書の期限切れ、または信頼されたルート証明機関が正しく構成されていない	証明書スナップインやイベントビューアーで証明書の有効期限とチェーンを確認
「このデバイスではWindows Updateを実行してください」と表示される	必須のセキュリティ更新プログラムが未適用で、条件付きアクセスがブロック	Windows Updateを実行して再起動後、接続できるか確認

管理者に確認・依頼すべき情報

自分で解決できない場合、以下の情報を整理してIT管理者に報告してください。具体的なログやスクリーンショットがあると調査がスムーズになります。

• エラーメッセージの全文とスクリーンショット: 可能であれば、Azure ADサインインログの「サインイン名」「アプリ」「エラーコード」を添えます。
• OSの正確なバージョンとビルド番号: 例:Windows 10 Pro 22H2 ビルド19045.3693。
• VPNクライアントの製品名とバージョン: 例:Cisco AnyConnect 4.9.05042。
• デバイスのIntune準拠状態: 「設定」→「アカウント」→「職場または学校にアクセスする」で表示される「準拠」または「非準拠」の状態。
• イベントビューアーの該当ログ: Securityログ、またはVPNクライアント固有のログ(例:Cisco AnyConnectのログはC:\ProgramData\Cisco\Cisco AnyConnect Secure Mobility Client\Logs)。
• 条件付きアクセスポリシーのコピー希望: 管理者だけが閲覧できるため、ポリシー内容を開示してもらうよう依頼します。

よくある質問(FAQ)

Q1: 条件付きアクセスポリシーを一時的に無効にしてもらうことは可能ですか?
セキュリティ上のリスクがあるため、多くの企業では恒久的な無効化は認められません。ただし、テスト目的で一時的に緩和したポリシーを適用してもらえる場合があります。

Q2: Windows 7やWindows 8.1でも接続できる方法はありますか?
これらのOSはサポート終了のため、条件付きアクセスでブロックされるのが一般的です。唯一の解決策は、サポートされているOS(Windows 10以降)にアップグレードすることです。

Q3: VPNクライアントの代わりにブラウザベースの認証で接続できますか?
一部のVPN製品ではWebベースのポータルから接続する方式をサポートしていますが、それでも条件付きアクセスは適用されます。OSが古い場合は同様にブロックされます。

Q4: 条件付きアクセスをパスするにはどのWindowsバージョンが必要ですか?
多くの企業では「Windows 10 バージョン1903以降」または「Windows 11 22H2以降」を最低要件としています。最新のセキュリティ更新プログラムが適用されていることが前提です。

Q5: 自分のPCの更新プログラムを手動でインストールしても良いですか?
可能ですが、会社のWSUSやIntuneで管理されている場合、管理者が承認した更新プログラムのみインストールするよう制限されていることがあります。勝手に更新すると同期が取れず、逆に準拠状態が崩れることもあるため、まずはIT部門に相談してください。

まとめ

条件付きアクセスによるVPN接続拒否は、古いWindows端末ではよく発生する現象です。原因は主にOSバージョンの不足、更新プログラムの欠落、VPNクライアントの非対応、デバイスの非準拠などが挙げられます。エラーメッセージやイベントログを確認し、端末、アカウント、管理設定の各軸で切り分けることで、適切な対策(OSアップデート、VPNクライアント更新、準拠状態の回復)を講じることができます。会社PCの設定変更は慎重に行い、不明な点は必ず管理者に確認してください。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。