Microsoft 365 / サインインできないときの確認とパスワードリセット

ユーザーが Microsoft 365 にログインできない場合は、すぐにパスワードを再設定する前に、エラーメッセージ、アカウント状態、認証手順、および Microsoft Entra サインインログをまず確認してください。パスワードの間違い、条件付きアクセスブロック、MFA失敗、ライセンス不足では解決方法が異なります。

ユーザーにまず確認する情報

• ログインを試みた正確なアドレスとアプリ、発生時刻とタイムゾーン
• 画面のエラーコード・関連付けIDがある場合はその値
• パスワード入力前・後のどの段階で失敗するか
• 他のブラウザやデバイスでも同じか、会社ネットワーク以外でも同じか
• 最近のパスワード変更、認証アプリの切り替え、または携帯電話の紛失の有無

ユーザーにパスワードや認証コードの送信を依頼しません。エラー画面をキャプチャする場合も、アカウント名と組織情報は隠して共有します。

失敗したステップに応じて調査対象を分ける

一人の特定デバイスだけ失敗するのか、同じ部署や組織全体でも同時に失敗するのかを確認します。複数人に同じサービス エラーが発生する場合は、サービスの状態も一緒に確認してください。プライベートブラウザで成功する場合は、ブラウザに残ったアカウント セッションやクライアント キャッシュの問題を絞り込むことができますが、それだけで根本原因を特定することはできません。

管理者が確認する手順

1. Microsoft 365 管理センターの[ユーザー] → [アクティブなユーザー]で対象アカウントが存在し、ログインがブロックされていないか確認します。特定のサービスのみ利用できない場合はライセンスも確認します。
2. Microsoft Entra 管理センターの [Entra ID] → [監視と正常性] → [サインインログ] でユーザーと時間をフィルタリングします。実際のメニュー翻訳は画面のバージョンによって異なる場合があります。

3. 失敗項目の状態とエラーの理由、認証の詳細、条件付きアクセスの結果を確認します。Microsoft の ログイン活動の詳細説明 に基づいて解釈します。
4. エラー原因に応じた対策を選択します。パスワードの間違いであればリセット、認証方法を紛失した場合は認証方法の回復、ポリシーによるブロックであればそのポリシーの適用範囲を確認します。
5. 対策後、同じアプリ・デバイス・ネットワーク条件で再ログインし、ログが成功に変わったか確認します。

Microsoft の ログイン診断機能 も失敗したログインの分析に役立ちます。ログに試行がない場合は、ログインに使用したアカウントとテナントが正しいか、実際に認証リクエストが Microsoft Entra に到達したか再確認してください。

サインインログで確認すべき項目

ログを読むことができるレポート閲覧者など適切な役割を準備します。ユーザーと発生時間帯をまず制限し、該当のアプリ・リソースに範囲を絞ります。画面上の時間は管理センターを見る人のタイムゾーンで表示されることがあるため、ユーザーが言った時刻とタイムゾーンを合わせます。リクエストは複数のイベントに分かれる可能性があるため、時刻だけを見て最初の行を選びません。

• 基本情報: ユーザー、アプリ、対象リソース、状態とエラー理由を一緒に読みます。同じアカウントでも失敗したリソースが異なる場合は別のリクエストである可能性があります。
• 認証詳細: どの認証方法で失敗したか、MFA要求が実際の認証または既存トークンの情報で満たされているかを確認します。
• 条件付きアクセス: 失敗したポリシーの名前と制御を確認します。「適用されず」はそのポリシーの条件に合わなかったことを意味する場合があり、すべてのセキュリティ保護がないことを意味するわけではありません。
• レポート専用: 実際にブロックしたポリシーと模擬評価の結果を区別します。レポート専用の失敗を現在の障害原因と断定しません。

「ウェブログインはできるが会社のノートパソコンでファイルアプリのみ失敗する」事例であれば、ユーザー・アプリ・機器の条件を同じ事象としてまとめて比較します。準拠機器要件を満たしていないことが原因であれば、機器の登録・準拠状態を正さなければならず、パスワードを変更しても解決しません。IPの位置表示はVPNや通信事業者経路の影響を受けるため、位置だけで侵害やユーザーの場所を特定することはありません。

ログがない場合はフィルターを少し広げ、対話型・非対話型ログインの種類を確認します。それでもなければ、別のテナント・個人アカウントを使用したか、リクエストが認証段階まで到達していないかを調べてください。イベント詳細でログイン診断を開始できる場合は、推奨事項と実際のログを照合します。

パスワードをリセットする場合

1. まずユーザー本人確認手続きを実施します。電話やチャットでのリクエストだけを理由にリセットは行いません。
2. [アクティブなユーザー]で対象を選択し、[パスワードリセット]を実行します。表示される一時パスワードと次回ログイン時の変更要求を確認します。

3. パスワード生成方式と次回ログイン時の変更要求を確認した後、リセットを確定します。表示された一時パスワードは公開キャプチャや作業記録に残さないでください。
4. 一時的なパスワードを承認された別の安全なチャネルで伝達し、ユーザーがログインおよびパスワード変更を完了したか確認します。安全に共有するためにファイルに保存した場合は、アクセスを制限し、組織の保管ポリシーに従って処理します。

Microsoft 管理センターのパスワードメール送信機能を前提に案内しないでください。Microsoft はその機能を削除しており、パスワードリセットの公式手順で安全な伝達方法を案内しています。必要な役割は、対象ユーザーが管理者かどうかで異なる場合があります。

オンプレミスディレクトリと同期されたアカウントは、パスワード変更の元やパスワードライトバック設定によって手順が異なる場合があります。疑わしいログインやアカウント侵害の兆候がある場合、単純なリセットで終わらせず、セッション、認証方法、管理者ロール、監査ログまで確認してください。

対応後に完了と判断する基準

ユーザーが元々失敗したアプリ・デバイス・ネットワークで再試行し、新しいログの時刻と成功結果を確認します。メールやファイルを実際に開き、業務が再開されたことも確認してください。リクエスト記録には症状、確認したイベント、変更した項目と試験結果のみを残し、パスワードや認証コードは記入しません。

認証手段を失った場合は、本人確認後、組織が承認した認証方法の復旧手続きに進みます。疑わしい新しい認証手段やユーザーが否認する成功ログが発見された場合は、セキュリティインシデント対応手続きに切り替えます。エラーをなくすためにセキュリティ例外を作成した場合は、適用範囲と期限・回収担当者を記録し、問題解決後に正常な保護に復帰させる必要があります。