Azure AD 同期アプライアンスを使用する場合のパスワード同期のトラブルシューティング方法

この記事は、Microsoft Entra Connect を使用してオンプレミス環境からMicrosoft Entra IDにパスワードを同期するときに発生する可能性がある一般的な問題のトラブルシューティングに役立ちます。

              元の製品バージョン: クラウド サービス (Web ロール/Worker ロール)、Microsoft Entra ID、Microsoft Intune、Azure Backup、Office 365 ID 管理
元の KB 番号: 2855271

トラブルシューティングを開始する前に

トラブルシューティング手順を実行する前に、最新バージョンの Microsoft Entra Connect がインストールされていることを確認してください。

さらに、ディレクトリ同期が正常な状態であることを確認します。 詳細については、「Microsoft Entra Connect Sync を使用したオブジェクト同期のトラブルシューティング」を参照してください。

一部のユーザーは、Office 365、Azure、またはMicrosoft Intuneにサインインできません

このシナリオでは、ほとんどのユーザーのパスワードが同期しているように見えます。 ただし、パスワードが同期されていないように見えるユーザーもいます。ユーザーが Microsoft クラウド サービス (Office 365、Azure、Intuneなど) にサインインできないシナリオを次に示します。

シナリオ 1: ユーザーのアカウントに対して [ユーザーは次回ログオン時にパスワードを変更する必要があります] チェック ボックスが選択されている

この問題を解決するには、次の手順を実行します。

1. 次のどちらかの手順を実行します。
   • Active Directory ユーザーとコンピューターのユーザー アカウントのプロパティで、[ユーザーは次回ログオン時にパスワードを変更する必要があります] チェック ボックスをオフにします。
   • ユーザーにオンプレミスのユーザー アカウント のパスワードを変更してもらいます。
   • Microsoft Entra Connect サーバーで ForcePasswordChangeOnLogOn 機能を有効にします。
2. オンプレミスの Active Directory Domain Services (AD DS) とMicrosoft Entra IDの間で変更が同期されるまで数分待ちます。

シナリオ 2: ユーザーがクラウド サービス ポータルでパスワードを変更した

この問題を解決するには、次の手順を実行します。

1. ユーザーにオンプレミスのユーザー アカウント のパスワードを変更してもらいます。
2. オンプレミスの AD DS と Microsoft Entra IDの間で変更が同期されるまで数分待ちます。

シナリオ 3: 一部のユーザーがMicrosoft Entra IDに同期していないように見える

考えられる原因は、重複するユーザー名またはメール アドレスです。

この問題を解決するには、IdFix DirSync エラー修復ツール (IdFix) を使用して、オンプレミスの AD DS でオブジェクト関連の潜在的な問題を特定します。 IdFix は、次の Microsoft Web サイトでインストールできます。 IdFix DirSync エラー修復ツール

この問題のトラブルシューティング方法の詳細については、「Azure Active Directory 同期ツールを使用しているときに 1 つ以上のオブジェクトが同期されない」を参照してください。

シナリオ 4: フィルター処理されたスコープとフィルター処理されていないスコープの間でユーザーを移動する

このシナリオでは、ユーザーを同期できるスコープにユーザーが移動されます。 ドメイン、組織単位、または属性に対してフィルター処理が設定されている場合があります。

この問題を解決するには、「 完全なパスワード同期を実行する方法 」セクションを参照してください。

シナリオ 5: ユーザーは新しいパスワードを使用してサインインすることはできませんが、古いパスワードを使用してサインインできます

このシナリオでは、パスワード同期と共に Azure AD Sync サービスを使用しています。 ディレクトリ同期を無効にしてから再度有効にすると、ユーザーは新しいパスワードを使用してサインインできなくなります。 ただし、古いパスワードは引き続き機能します。

この問題を解決するには、パスワード同期を再度有効にします。 これを行うには、構成ウィザードアプライアンス Azure AD 同期を開始し、パスワード同期を有効にするオプションが表示されるまで画面を続行します。

シナリオ 6: ユーザーが自分のパスワードを使用してサインインできない

このシナリオでは、パスワード ハッシュがAzure AD Sync サービスと正常に同期されません。 ユーザー アカウントが Windows Server 2003 より前のバージョンの Windows Server で実行されている Active Directory で作成された場合、アカウントにはパスワード ハッシュがありません。

ディレクトリ同期が実行されているが、すべてのユーザーのパスワードが同期されていない

このシナリオでは、すべてのユーザーのパスワードが同期されていないように見えます。通常、次のいずれかの条件に該当する場合に発生します。

• [チェック同期] ボックスが選択されていません。
• ディレクトリ同期が既に発生した後、パスワード同期を有効にしました。
• 完全なディレクトリ同期はまだ完了していません。

この問題を解決するには、まずパスワード同期を有効にしてください。 これを行うには、構成ウィザードアプライアンス Azure AD 同期を開始し、パスワード同期を有効にするオプションが表示されるまで画面を続行します。

パスワード同期を有効にした後、完全なパスワード同期を行う必要があります。「完全なパスワード同期を実行する方法」セクションを参照してください。

詳細については、「Microsoft Entra Connect Sync を使用したパスワード ハッシュ同期のトラブルシューティング」を参照してください。

パスワードが同期されていない 1 人のユーザーのトラブルシューティング

この問題をトラブルシューティングするには、「Microsoft Entra Connect Sync を使用したパスワード ハッシュ同期のトラブルシューティング」を参照してください。

シングル サインオン (SSO) ソリューションからパスワード同期に変更する

この問題を解決するには、「 シングル Sign-On からパスワード同期に切り替える方法」を参照してください。

イベント ビューアーのイベント ID メッセージ

次の表に、パスワード同期に関連するアプリケーション ログ内のイベント ID メッセージを示します。

情報 (アクションは必要ありません)

情報 (アクションが必要な場合があります)

エラー (アクションが必要)

詳細

完全なパスワード同期を実行する方法

完全なパスワード同期を行うには、使用しているAzure AD Sync アプライアンスに応じて、次の手順に従います。

1. Azure Active Directory 同期ツールを使用している場合:

   1. ツールがインストールされているサーバーで PowerShell を開き、次のコマンドを実行します。

      Import-Module DirSync
      

   2. 以下のコマンドを実行します。

      Set-FullPasswordSync
      

      Restart-Service FIMSynchronizationService -Force
      

2. Azure AD Sync サービスまたは Microsoft Entra Connect を使用している場合は、次のページにあるスクリプトを実行します。Azure AD Sync: PowerShell を使用して完全なパスワード同期をトリガーする方法

お問い合わせはこちらから

質問がある場合やヘルプが必要な場合は、サポート要求を作成するか、Azure コミュニティ サポートにお問い合わせください。 Azure フィードバック コミュニティに製品フィードバックを送信することもできます。