Microsoft 365、Azure、またはIntuneのフェデレーション ドメインの設定を更新または修復する

はじめに

Microsoft 365、Microsoft Azure、Microsoft Intuneなどの Microsoft クラウド サービスでのシングル サインオン (SSO) は、正しく機能するActive Directory フェデレーション サービス (AD FS) (AD FS) のオンプレミスのデプロイによって異なります。 いくつかのシナリオでは、技術的な問題を修正するために、AD FS のフェデレーション ドメインの構成を再構築する必要があります。 この記事には、フェデレーション ドメインの構成を更新または修復する方法に関する詳細なガイダンスが含まれています。

詳細情報

フェデレーション ドメインの構成を更新する方法

フェデレーション ドメインの構成は、次の Microsoft サポート技術情報の記事で説明されているシナリオで更新する必要があります。

  • フェデレーション ユーザーが Microsoft 365、Azure、またはIntune にサインインしたときに AD FS から "サイトへのアクセスに問題が発生しました" というエラーを2713898する
  • フェデレーション ユーザーが Microsoft 365、Azure、またはIntuneにサインインしようとすると、"申し訳ありませんがサインインできません"と "80048163" というエラーが2535191
  • フェデレーション ユーザーが Microsoft 365、Azure、またはIntuneにサインインしようとすると、"申し訳ありませんが、サインインできません"、"80041317" または "80043431" エラーが2647020

Azure Active Directory Module for Windows PowerShellがインストールされているドメイン参加済みコンピューター上のフェデレーション ドメインの構成を更新するには、次の手順に従います。

  1. [スタート] ボタン、[すべてのプログラム] の順にクリックし、[Windows Azure Active Directory] をクリックして、Windows PowerShellの Windows Azure Active Directory モジュールをクリックします。

  2. コマンド プロンプトで、次のコマンドを入力し、各コマンドの後に Enter キーを押します。

    $cred = get-credential
    

    注:

    メッセージが表示されたら、クラウド サービス管理者の資格情報を入力します。

    Connect-MSOLService –credential:$cred
    
    Set-MSOLADFSContext –Computer: <AD FS 2.0 ServerName>
    

    注:

    このコマンドでは、プレースホルダー <AD FS 2.0 サーバー名> は、プライマリ AD FS サーバーの Windows ホスト名を表します。

    Update-MSOLFederatedDomain –DomainName: <Federated Domain Name>
    

    or

    Update-MSOLFederatedDomain –DomainName: <Federated Domain Name> –supportmultipledomain 
    

    注:

    • 同じ AD FS フェデレーション サービスを使用して複数のトップレベル ドメインがフェデレーションされている場合は、–supportmultipスイッチを使用する必要があります。
    • これらのコマンドでは、プレースホルダー<フェデレーション ドメイン名は、既にフェデレーションされているドメインの名前を表します>。

重要

AD FS トークン署名証明書の変更が正しくレプリケートされるように、フェデレーション メタデータの更新を定期的に自動化するスクリプトを使用できます。

このスクリプトは、プライマリ AD FS サーバーに Windows スケジュールされたタスクを作成し、信頼情報、署名証明書の更新などの AD FS 構成の変更が Azure Active Directory (Azure AD) に定期的に反映されるようにします。

スクリプトが実装されている環境でトークン署名証明書が自動的に更新される場合、スクリプトはクラウド信頼情報を更新して、古いクラウド証明書情報によって発生するダウンタイムを防ぎます。

フェデレーション ドメインの構成を修復する方法

フェデレーション ドメインの構成は、次の Microsoft サポート技術情報の記事で説明されているシナリオで修復する必要があります。

  • 2523494 Microsoft 365、Azure、またはIntuneにサインインしようとすると、AD FS から証明書の警告を受け取ります
  • Microsoft 365、Azure、またはIntuneで別のフェデレーション ドメインを設定しようとすると、"AD FS 2.0 サーバーで指定されたフェデレーション サービス識別子が既に使用されています"というエラーが2618887
  • フェデレーション ユーザーが Microsoft 365、Azure、またはIntune にサインインしたときに AD FS から "サイトへのアクセスに問題が発生しました" というエラーを2713898する
  • フェデレーション ユーザーが Microsoft 365 にサインインしようとしたときに、"組織でこのサービスにサインインできませんでした" というエラーと "80041317" または "80043431" エラー コードを2647020する
  • AD FS のフェデレーション サービス名が変更されます。 詳細については、次の Microsoft Web サイトの AD FS 2.0: フェデレーション サービス名を変更する方法に関するページを参照してください

Azure Active Directory Module for Windows PowerShellがインストールされているドメイン参加済みコンピューターでフェデレーション ドメイン構成を修復するには、次の手順に従います。

警告

  • 次の手順では、 クライアントの場所を使用して Microsoft 365 サービスへのアクセスを制限することによって作成されるすべてのカスタマイズを削除します。 フェデレーション ドメインの構成を修復した後、制限付き AD FS アクセスを再構成する必要がある場合があります。
  • 次の手順は慎重に計画する必要があります。 フェデレーション ドメインで SSO 機能が有効になっているユーザーは、手順 4 の完了から手順 5. の完了まで、この操作中に認証できません。 手順 1 の update-MSOLFederatedDomain コマンドレット のテストに正常に従わない場合、手順 5 は正しく終了しません。 フェデレーション ユーザーは、update-MSOLFederatedDomain コマンドレットが正常に実行されるまで認証できません。
  1. この記事の前半の「フェデレーション ドメイン構成を更新する方法」セクションの手順を実行して、update-MSOLFederatedDomain コマンドレットが正常に完了したことを確認します。
    • コマンドレットが正常に完了しなかった場合は、この手順を続行しないでください。 代わりに、この記事の後半の「フェデレーション ドメインを更新または修復するときに発生する可能性がある既知の問題」セクションを参照して、問題のトラブルシューティングを行います。
    • コマンドレットが正常に終了した場合は、コマンド プロンプト ウィンドウを開いたままにして後で使用します。
  2. AD FS サーバーにログオンします。 これを行うには、[ スタート] ボタンをクリックし、[ すべてのプログラム] をポイントし、[ 管理ツール] をポイントして、[ AD FS (2.0) 管理] をクリックします。
  3. 左側のナビゲーション ウィンドウで[ AD FS (2.0)]、[ 信頼関係] の順にクリックし、[ 証明書利用者信頼] をクリックします。
  4. 右端のウィンドウで、Microsoft Office 365 Identity Platform エントリを削除します。
  5. 手順 1 で開いたWindows PowerShell ウィンドウで、削除された信頼オブジェクトを再作成します。 これを行うには、次のコマンドを実行し、Enter キーを押します。
    Update-MSOLFederatedDomain -DomainName <Federated Domain Name>
    
    or
    Update-MSOLFederatedDomain –DomainName:<Federated Domain Name> –supportmultipledomain
    

    注:

    • 同じ AD FS フェデレーション サービスを使用して複数のトップレベル ドメインがフェデレーションされている場合は、–supportmultipスイッチを使用する必要があります。
    • これらのコマンドでは、プレースホルダー<フェデレーション ドメイン名は、既にフェデレーションされているドメインの名前を表します>。

フェデレーション ドメインを更新または修復するときに発生する可能性がある既知の問題

フェデレーション ドメインを更新または修復すると、次のシナリオで問題が発生します。

  • Windows PowerShellを使用して接続することはできません。 この問題の詳細については、次の Microsoft サポート技術情報の記事を参照してください。

    2494043 Azure Active Directory モジュールを使用して接続できないWindows PowerShell

  • 前提条件がないため、Windows PowerShell用の Azure Active Directory モジュールを読み込むことができません。 詳細については、次の Microsoft サポート技術情報の記事を参照してください。

    2461873 Azure Active Directory モジュールを開Windows PowerShell

  • set-MSOLADFSContext コマンドレットを実行しようとすると、"アクセス拒否" というエラー メッセージが表示されます。 詳細については、次の Microsoft サポート技術情報の記事を参照してください。

    Set-MsolADFSContext コマンドレットを使用すると、"ServerName> Active Directory フェデレーション サービス (AD FS) 2.0 サーバーへの<接続に失敗しました" というエラーが2587730

さらにヘルプが必要ですか? Microsoft コミュニティ または Azure Active Directory Forums (英語情報) Web サイトを参照してください。