クラウドKerberos信頼展開時の認証エラー

Question

Windows Hello for BussinessをCloud Kerberos 信頼にて展開時、Set-AzureADKerberosServerコマンドレットにて実行していますが以下貼付のエラーが発生ます。

大変申し訳ありませんが、解決方法をご教示いただくことは可能でしょうか。

 

パターン1

$userPrincipalName = "Azureのグルーバル管理者所持者のアカウント（例：xxxxx@xxxxxxxxxxxxx.co.jp もしくは xxxxx@otsms.onmicrosoft.com）

$domainCred = Get-Credential　← Active Director上のDomain Usersアカウントを入力

Set-AzureADKerberosServer -Domain $domain -UserPrincipalName $userPrincipalName -DomainCredential $domainCred

※この際に発生するアカウント入力は上記のAzureのグルーバル管理者所持者のアカウント

 

エラー内容：

Set-AzureADKerberosServer : Unexpected exception thrown. Action: GetKerberosDomainSyncConfigAsync, Exception: An error

occurred. Error Code: 6. Error Description: Your credentials are not authorized to access Microsoft Entra ID.  Please c

heck your Administrator credentials and try again. Tracking ID: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx Server Name: .

発生場所 行:1 文字:1

• Set-AzureADKerberosServer -Domain $domain -UserPrincipalName $userPri ...

 

 

パターン2

$userPrincipalName = "Azureのグルーバル権限所持者のアカウント（例：xxxxx@xxxxxxxxxxxxx.co.jp もしくは xxxxx@xxxxx.onmicrosoft.com）

$domainCred = Get-Credential　← Active Director上のDomain Adminアカウントを入力 ※上記とは別アカウント

Set-AzureADKerberosServer -Domain $domain -UserPrincipalName $userPrincipalName -DomainCredential $domainCred

※この際に発生するアカウント入力は上記のAzureのグルーバル管理者所持者のアカウント

 

エラー内容：

Set-AzureADKerberosServer : Failed to read secrets from the domain xx.xxxx-xxxxxxxxxx.CO.JP.

発生場所 行:1 文字:1

• Set-AzureADKerberosServer -Domain $domain -UserPrincipalName $userPri ...

Answer 1

チャブーンです。

この件ですが、以下の資料を参考に、設定されていると理解しています。

https://jpazureid.github.io/blog/azure-active-directory/how-to-deploy-cloud-kerberos-trust/

で、上記の資料にあって、質問者さんの環境にないものがあります。それは以下のコードです。

(1行目に書く必要があります。

# Specify the on-premises Active Directory domain. A new Azure AD
# Kerberos Server object will be created in this Active Directory domain.
$domain = $env:USERDNSDOMAIN

これですが、PowerShellを実行するアカウントが「ドメインにログオンしている」状況を前提とした、ドメイン名を引くためのコードです。この変数$domainに値がないと、エラーを起こすと思います。もしPS実行ユーザーがドメインログオンしていない場合ですが、上記のコードではドメイン名を引けないので、変数に直接ドメイン名を代入する必要があります。

# Specify the on-premises Active Directory domain. A new Azure AD
# Kerberos Server object will be created in this Active Directory domain.
$domain = "<オンプレミスのDNSドメイン名>"

上記について、まずは確認されてはいかがでしょうか？