さまざまなテクノロジが Microsoft Teams のサインインにどのように影響するか

  • [アーティクル]
  • 適用対象:
    Microsoft Teams

シングル サインオン (SSO)、先進認証 (MS)、多要素認証 (MA) などのテクノロジがユーザーのサインインエクスペリエンスにどのように影響するかを理解する必要がある場合、この記事は、ユーザーと管理者が期待できる内容を明確にするのに役立ちます。 また、macOS、Android、iOS デバイスのサインイン動作、複数のアカウントを使用したサインインのしくみ、サインイン画面で自動的に入力された資格情報または "事前入力" を削除する方法、サインインを制限する方法、共有および管理されたモバイル デバイスでのドメインレス サインインエクスペリエンスを簡略化する方法についても説明します。

サインイン中に Microsoft Team の予想される動作をロールで把握する必要がある場合は、この記事をブックマークします。

Microsoft Teams および Windows ユーザー: サインインに関する推奨事項

Microsoft では、組織がハイブリッド ドメイン参加またはMicrosoft Entra参加構成で最新バージョンのWindows 10を使用することをお勧めします。 最新バージョンの使用によって、Windows の Web アカウント マネージャーでユーザーのアカウントが準備され、Teams や他の Microsoft アプリケーションへのシングル サインオンが可能になります。 シングルサインオンにより、ユーザー エクスペリエンス (サイレント サインイン) と、セキュリティ対策が改善されます。

Microsoft Teams は先進認証を使用して、サインイン操作をシンプルかつ安全なものとしています。 ユーザーが Teams にサインインする方法については、「Teams にサインインする」を参照してください。

先進認証 (MA) がサインインに与える影響: MA がオンのときにユーザーに表示される内容

先進認証は、ユーザーが職場のメールやパスワードなどの資格情報を既に入力済みであることを Teams が知らせるプロセスの一部であり、アプリを起動するためにもう一度入力する必要はありません。 このエクスペリエンスは、ユーザーが Windows オペレーティング システムや Mac で作業している場合など、いくつかの要因によって異なります。

サインイン動作は、organizationで単一要素認証が有効になっているか、多要素認証が有効になっているかによっても異なります。 多要素認証を使用するには通常、電話による資格情報の確認、固有のコードの提供、PIN の入力、拇印の提示が含まれます。

先進認証は、Teams を使用するすべての組織で使用できます。 ユーザーがプロセスを完了できない場合は、organizationのMicrosoft Entra構成に基づく問題が発生する可能性があります。 詳細については、「Microsoft Teams へのサインインで問題が発生する理由」を参照してください。

最新の認証シナリオごとにユーザーが期待できる動作の概要を次に示します。

  • ユーザーが職場または学校アカウントで Windows または他の Office アプリに既にサインインしている場合、Teams を起動すると、アプリに直接アクセスします。 ユーザーが資格情報を入力する必要はありません。

  • Microsoft では、最適なシングル サインオン エクスペリエンスを実現するために、Windows 10 バージョン 1903 以降を使用することをお勧めします。

  • ユーザーが他の場所で Microsoft の職場または学校アカウントにサインインしていない場合は、Teams の起動時に、単一要素認証または多要素認証 (SFA または MFA) を提供するように求められます。 このプロセスは、サインイン手順に必要な組織の決定に依存します。

  • ドメインに参加しているコンピューターにユーザーがサインインしている場合、ユーザーが Teams を起動すると、MFA を要求するように組織で設定されているかどうか、または、ユーザーのコンピューターへのサインインで既に MFA が要求されているのかどうかにより、もう 1 つ別の認証手順を実行するよう求められる場合があります。 コンピューターへのサインインで既に MFA が要求されている場合、ユーザーが Teams を開くとアプリが自動的に起動します。

  • ドメインに参加している PC では、SSO が不可能な場合、Teams はサインイン画面にユーザー プリンシパル名 (UPN) を事前に入力することがあります。 特に、organizationがオンプレミスとMicrosoft Entra IDで異なる UPN を使用している場合は、これを望まない場合があります。 その場合は、 次の Windows レジストリ キーを使用して、UPN の事前作成を無効にすることができます。

    Computer\HKEY_CURRENT_USER\Software\Microsoft\Office\Teams
    SkipUpnPrefill(REG_DWORD)
    0x00000001 (1)

    注意

    「.local」 または 「.corp」 で終わるユーザー名については、ユーザー名の事前入力のスキップは既定でオンになっているため、レジストリ キーを設定してオフにする必要はありません。

Microsoft Teams は、ドメインに参加しているコンピューター上の別のアカウントにサインインします

ドメインに参加しているコンピューターのユーザーが、同じ Active Directory ドメイン内の別のアカウントを使用して Teams にサイン インできない場合があります。

macOS ユーザーと Microsoft Teams のサインイン プロンプト

MacOS 上では、Teams はユーザーにユーザー名と資格情報の入力を促し、組織の設定によっては多要素認証を促す場合もあります。 ユーザーが資格情報を入力すると、入力を再度求められることはありません。 これ以降、ユーザーが同じコンピューターで作業している場合は常に、Teams が自動的に起動します。

iOS ユーザーと Android ユーザー向けの Microsoft Teams サインイン

サインインすると、モバイルユーザーには、デバイス上で現在サインインしているまたは以前にサインインしたすべての Microsoft 365 アカウントの一覧が表示されます。 ユーザーは、任意のアカウントをタップしてサインインできます。 モバイル サインインには2つのシナリオがあります:

  1. 選択したアカウントが現在他のOffice 365または Microsoft 365 アプリにサインインしている場合、ユーザーは Teams に直接移動します。 ユーザーは資格情報を入力する必要はありません。

  2. ユーザーが他の場所で Microsoft 365 アカウントにサインインしていない場合は、モバイル サインイン ポリシー用に構成されたorganizationに応じて、単一要素認証または多要素認証 (SFA または MFA) を提供するように求められます。

注意

このセクションで説明するようにユーザーがサインインエクスペリエンスを体験するには、デバイスで Teams for iOS バージョン 2.0.13 (ビルド 2020061704) 以降、または Teams for Android バージョン 1416/1.0.0.2020061702 以降が実行されている必要があります。

複数のアカウントで Microsoft Teams を使用する

IOS と Android の Teams では、複数の仕事用または学校用、および複数の個人用アカウントを並べて使うことができます。 Teams のデスクトップ アプリケーションでは1 つの職場または学校のアカウントと 1 つの個人用のアカウントが2020 年 12 月にはサポートされていますが、後日複数の職場/学校のアカウントをサポートできるようになります。

次の画像は、ユーザーが複数のアカウントを Teams モバイル アプリケーション に追加する方法を示しています。

Teams で複数のアカウントを追加します。

Microsoft Teams へのサインインを制限する

組織は、組織が承認したアプリケーションを管理されたデバイで使用する方法を制限しようとする場合があります。たとえば、学生や従業員が他の組織のデータにアクセスするのを制限したり、組織が承認したアプリを個人の目的で使用するのを制限できるようにする場合があります。 これらの制限は、Teams アプリケーションが認識するデバイスポリシーを設定することによって設定できます。

モバイル デバイスでの Microsoft Teams のサインインを制限する方法

登録済みデバイス上の iOS および Android 用の Teams アプリは、アプリ内で 1 つの企業アカウントのみをプロビジョニングできるように構成できます。 この機能は、iOS 用のマネージド App Configuration チャネルまたは Android 用 Android Enterprise チャネルを使用する MDM プロバイダーで機能します。

Microsoft Intuneに登録されているユーザーの場合は、Intune ポータルを使用してアカウント構成設定をデプロイできます。

MDM プロバイダーでアカウント セットアップ構成が構成され、ユーザーがデバイスを登録した後、iOS と Android の Teams は、許可されたアカウントのみ Teams サインイン ページに表示します。 ユーザーはこのページで許可されているアカウントをタップして、サインインできます。

管理対象デバイスの Azure Intune ポータルで次の構成パラメーターを設定します。

プラットフォーム キー 値
iOS IntuneMAMAllowedAccountsOnly 有効: 使用できるアカウントは、IntuneMAMUPN キーで定義された管理対象ユーザー アカウントのみです。
無効 (または大文字と小文字を区別しない値が Enabled と一致しない): 任意のアカウントが許可されます。
iOS IntuneMAMUPN Teams. へのサインインが許可されているアカウントの UPN です。
Intune に登録されているデバイスの場合、{{userprincipalname}} トークンを使用して、登録済みのユーザーアカウントを表すことができます。
Android com.microsoft.intune.mam.AllowedAccountUPNs このキーで定義された管理対象ユーザーアカウントのみ許可されます。
1 つ以上のセミコロン;]- 区切られた UPNs。
Intune に登録されているデバイスの場合、{{userprincipalname}} トークンを使用して、登録済みのユーザーアカウントを表すことができます。

アカウント セットアップ構成が設定されると、Teams はサインイン機能を制限し、登録されたデバイス上の許可されたアカウントのみにアクセスを許可します。

管理対象の iOS/iPadOS デバイスのアプリ構成ポリシーを作成するには、「管理対象の iOS/iPadOS デバイスのアプリ構成ポリシーの追加」を参照してください。

管理対象の Android デバイスのアプリ構成ポリシーを作成するには、「管理対象の Android デバイスのアプリ構成ポリシーの追加」を参照してください。

デスクトップ デバイスでの Teams のサインインを制限する方法

Windows および macOS 上の Microsoft Teams アプリでは、organizationへのサインインを制限するデバイス ポリシーのサポートが提供されています。 ポリシーは、MDM (モバイル デバイス管理) や GPO (グループ ポリシー オブジェクト) などの通常のデバイス管理ソリューションで設定できます。

このポリシーがデバイスで構成されている場合、ユーザーは、ポリシーで定義されている "テナント許可リスト" に含まれるMicrosoft Entra テナントに所属するアカウントでのみサインインできます。 ポリシーは、最初のアカウントと追加のアカウントを含むすべてのサイン インに適用されます。 organizationが複数のMicrosoft Entraテナントにまたがる場合は、許可リストに複数のテナント ID を含めることができます。 別のアカウントを追加するためのリンクは、引き続き Teams アプリに表示される場合がありますが、操作はできません。

注意

  1. このポリシーでは、サインインのみが制限されます。ユーザーを他のMicrosoft Entraテナントのゲストとして招待したり、他のテナント (ユーザーがゲストとして招待された場合) に切り替えたりする機能は制限されません。
  2. このポリシーには Windows バージョン 1.3.00.30866 以降の Teams および MacOS バージョン 1.3.00.30882 (2020 年 11 月半ばにリリースされました) の Teams が必要です。

Windows 管理用テンプレート ファイル (ADMX/ADML) のポリシーは、ダウンロード センターから利用できます (管理テンプレート ファイルを説明する名前は、「特定のテナントのアカウントの Teams へのサインインを制限する」です)。 Windows レジストリに手動でキーを設定することもできます。

  • 値の名前: RestrictTeamsSignInToAccountsFromTenantList
  • 値の種類: 文字列
  • 値のデータ: テナント ID またはコンマ区切りのテナント ID のリスト
  • パス: 次のいずれかを使用します。

Computer\HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\Cloud\Office\16.0\Teams Computer\HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\Office\16.0\Teams Computer\HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\16.0\Teams

例: ソフトウェア\ポリシー\Microsoft\Office\16.0\Teams\RestrictTeamsSignInToAccountsFromTenantList = テナント ID またはソフトウェア\ポリシー\Microsoft\Office\16.0\Teams\RestrictTeamsSignInToAccountsFromTenantList = テナント ID 1、テナント ID 2、テナント ID 3

MacOS のポリシーMacOS に管理されているデバイスは、.plist を使用して、サインイン制限を展開します。 構成プロファイルは、(優先順位の名前を示す) キーによって識別されたエントリで構成される .plist ファイルです。その後に、基本設定の性質に応じて、値が表示されます。 値には、単純 (数値など) または複合のいずれかを指定できます。たとえば、基本設定の入れ子リストがあります。

  • ドメイン: com.microsoft.teams
  • キー: RestrictTeamsSignInToAccountsFromTenantList
  • データ型: 文字列
  • コメント: テナント ID のコンマ区切りリストMicrosoft Entra入力します

グローバル サインインと Microsoft Teams

共有デバイスでのサインイン エクスペリエンスの向上により、Frontline Worker に手間のかからないサインインが提供されます。 従業員は、共有デバイスプールからデバイスを選択し、1回サインインするだけで、シフト中は"自分のものにする" ということができます。 これらのユーザーは、シフトの最後に、サインアウトすると、デバイスに対してグローバルにサイン アウトできます。 詳細については、「Teams をサインアウトする」を参照してください。 これにより、デバイスから個人情報と会社情報がすべて削除され、デバイスがデバイスプールに返されます。 この機能を取得するには、デバイスを共有モードで設定する必要があります。 サインアウトする前に、デバイスでアクティブな会議または通話を終了してください。

Android: Android デバイスを共有モードで設定する方法については、「Android で 共有デバイス モードを使用する方法」を参照してください。

iOS: iOS でデバイスを共有モードに設定するには、「 iOS で共有デバイス モードを使用する方法」を参照してください。 デバイスが共有モードに設定されたら、アプリ ストアから Teams アプリをダウンロードします。

サインインエクスペリエンスは、Teams の標準的なサインイン操作と似ています。

サインイン セクション

ドメインレス サインインを使用してサインイン エクスペリエンスを簡素化する

共有デバイスと管理対象デバイスのユーザーのサインイン画面でドメイン名を事前に入力することで、iOS および Android 用の Teams でのサインイン エクスペリエンスを簡略化できます。 ユーザーは、UPN の最初の部分 (ドメイン名なし) を入力してサインインします。 たとえば、ユーザー名が または adelev@contoso.comの場合、ユーザーは123456@contoso.com、それぞれ "123456" または "adelev" とパスワードのみを使用してサインインできます。

Teams へのサインインは、特に、定期的にサインインおよびサインアウトする共有デバイス上の現場担当者などの従業員にとって、より迅速かつ簡単です。

注意

ユーザーがこのセクションで説明するサインイン エクスペリエンスを体験するには、デバイスで Teams for iOS バージョン 6.6.0 以降、または Teams for Android バージョン 1416/1.0.0.2024053003 以降が実行されている必要があります。

iOS と Android 用の Teams の事前入力済みドメイン名を示すサインイン画面のスクリーンショット。

名前 値
domain_name 追加するテナントのドメインを提供する文字列値。 複数のドメインを追加するには、セミコロンで区切られた値を使用します。
enable_numeric_emp_id_keypad 従業員 ID がすべて数値であり、簡単に入力できるように数値キーパッドを有効にする必要があることを示すために使用されるブール値。 値が設定されていない場合は、英数字キーボードが開きます。

Teams では、iOS 用のマネージド App Configuration チャネルまたは Android 用の Android Enterprise チャネルを使用する MDM プロバイダーと連携するアプリ構成を使用します。

Microsoft Intuneを使用している場合は、「Microsoft Intuneを使用して Teams for iOS と Android でコラボレーション エクスペリエンスを管理する」を参照してください。

Graph APIを使用してアプリ構成ポリシーを適用するには、「managedDeviceMobileAppConfiguration リソースの種類」を参照してください。

カスタム アプリのドメインレス サインインを有効にする

Teams でのドメインレス サインインは、すべての主要な MDM プロバイダーでサポートされているアプリ構成チャネルに依存します。 Android および iOS 上のすべてのサード パーティ製またはカスタム LOB アプリケーションでは、ドメインレスサインインをサポートできます。その他の作業もあります。

アプリでドメインレス サインインを実装するには、次の手順に従います。

  1. アプリのdomain_nameアプリ構成キーを設定します。

  2. エンタープライズでマネージド App Configurationと Android を使用して構成を読み取ります。 iOS と Android のコードで値を読み取る方法のサンプルを次に示します。

  3. サインイン エクスペリエンスをカスタマイズしてユーザー名を収集し、取得したdomain_nameを画面に事前入力します。 Microsoft 認証ライブラリ (MSAL) を使用している場合は、次の呼び出しを行って、画面上のユーザー名を収集するトークンポストを取得できます。

Microsoft Teams の URL と IP アドレス範囲

Teams を使用するには、インターネットへの接続が必要です。 Office 365 の各プラン、政府機関向けまたはその他のクラウドを使用するユーザーが到達する必要があるエンドポイントについては、「Office 365 の URL と IP アドレスの範囲」を参照してください。

Teams のトラブルシューティング