パスワード同期ユーザーが Office 365 にサインインできない

いつも 弊社製品をご利用いただきありがとうございます。

 

Office 365 のアカウントとオンプレミスの Active Directory (AD) では、 Azure AD Connect (AAD Connect) を利用することでアカウントの同期をおこなうことができます。
Windows 2000 よりも前にドメインを構築しており、パスワードの変更を強制していない環境では注意が必要です。

 

AAD Connect では、パスワードの同期もおこないますが、このときパスワード自体を同期するのではなく、ハッシュ値のみを同期いたします。

 

(参考情報)
Azure AD Connect Sync: パスワード同期の実装
https://azure.microsoft.com/ja-jp/documentation/articles/active-directory-aadconnectsync-implement-password-synchronization/
(一部抜粋)
==================================
Active Directory ドメイン サービスは、実際のユーザー パスワードをハッシュ値表現の形式で格納します。
パスワードのハッシュを使用してオンプレミスのネットワークにサインインすることはできません。
==================================

 

AAD Connect の仕様として、その同期対象アカウントのパスワード ハッシュ値は Windows Server 2003 以降のドメイン  コントローラーで作成されている必要があります。

 

そのため、 Windows 2000 以前のドメイン コントローラーでドメインが構築されている環境で、そのときにパスワードを設定して以来、
パスワードを変更していないユーザー アカウントは、パスワード ハッシュが同期されません。

 

結果として、他の属性値は正しく同期できているにも関わらず、 該当ユーザーだけ、サインインできない事象が発生します。

 

対処策としては、パスワードをオンプレミス Active Directory で変更する必要があります。
パスワードの変更をしたくないという場合には、同じパスワードを再設定するのでも構いませんが、同じパスワードを設定できるかは、グループポリシーに依存します。
コミュニティにおけるマイクロソフト社員による発言やコメントは、マイクロソフトの正式な見解またはコメントではありません。
本情報の内容（添付文書、リンク先などを含む）は、作成日時点でのものであり、予告なく変更される場合があります。