複数のフェデレーション ドメインから Microsoft 365 にサインインすることはできません

  • [アーティクル]
  • 適用対象:
    Microsoft 365

問題

複数のフェデレーション ドメイン (最上位または子ドメイン) のユーザーは、Microsoft 365 にサインインできません。 さらに、次のエラー メッセージが表示されます。

申し訳ございませんが、サインインに問題があります。AADSTS50107: 要求されたフェデレーション領域オブジェクト 'http:// <ADFShostname>/adfs/services/trust' が存在しません。

原因

この問題は、次のいずれかの理由で発生します。

  • 発行者を既定の Active Directory フェデレーション サービス (AD FS) インスタンス ホスト名から、フェデレーションされているドメインが見つからない場合に発行者セットに変更するには、発行変換規則が必要です。
  • 発行変換規則は、子ドメインを追加した後は更新されません。

この問題は、複数の最上位ドメインがテナントの同じ AD FS インスタンスにフェデレーションされている場合に発生します。

ソリューション

注:

Azure AD および MSOnline PowerShell モジュールは、2024 年 3 月 30 日の時点で非推奨となりました。 詳細については、 非推奨の更新プログラムに関するページを参照してください。 この日付以降、これらのモジュールのサポートは、Microsoft Graph PowerShell SDK への移行支援とセキュリティ修正に限定されます。 非推奨のモジュールは、2025 年 3 月 30 日まで引き続き機能します。

Microsoft Entra ID (旧称 Azure AD) と対話するには、Microsoft Graph PowerShell に移行することをお勧めします。 移行に関する一般的な質問については、移行に関する FAQ を参照してください。 メモ： バージョン 1.0.x の MSOnline では、2024 年 6 月 30 日以降に中断が発生する可能性があります。

  1. [RPT 要求規則のMicrosoft Entra] に移動し、[次へ] をクリックします。

  2. [不変 ID (sourceAnchor)] ->[ユーザー サインイン] (UPN やメールなど) の値を指定します。 複数の最上位ドメインがフェデレーションされている場合は、"AD FS とのMicrosoft Entra ID信頼は複数のドメインをサポートしていますか?" に応答するように求められたら、[はい] を選択します。

  3. Microsoft 365 PowerShell に接続し、ドメインの一覧を .csv ファイル (output.csv など) にエクスポートします。 これを行うには、次のコマンドレットを実行します。

    Import-Module MSOnline

    Connect-MsolService

    Get-MsolDomain | Select-Object Name, RootDomain, Authentication | ConvertTo-Csv -NoTypeInformation | % {$_.Replace('"','')} | Out-File output.csv

  4. [ 要求の生成] をクリックし、[ 要求規則 ] セクションから PowerShell コマンドレットをコピーします。

  5. コマンドレットを PowerShell スクリプト (たとえば、updatelclaimrules.ps1) として保存し、次のコマンドを実行してプライマリ AD FS サーバーでスクリプトを実行します。

    .\Updateclaims.ps1

  6. スクリプトは、既存の発行変換規則のバックアップを現在の作業ディレクトリの .txt ファイルとして作成します。

スクリプトを使用してバックアップした発行規則を復元する場合は、次のコマンドレットを実行し、手順 5 で作成したバックアップ ファイルを指定します。 次の例では、バックアップ ファイルは Backup 2018.12.26_09.21.03.txt です。

Set-AdfsRelyingPartyTrust -TargetIdentifier "urn:federation:MicrosoftOnline" -IssuanceTransformRulesFile "Backup 2018.12.26_09.21.03.txt"