複数のフェデレーション ドメインから Microsoft 365 にサインインすることはできません
問題
複数のフェデレーション ドメイン (最上位または子ドメイン) のユーザーは、Microsoft 365 にサインインできません。 さらに、次のエラー メッセージが表示されます。
申し訳ございませんが、サインインに問題があります。AADSTS50107: 要求されたフェデレーション領域オブジェクト 'http:// <ADFShostname>/adfs/services/trust' が存在しません。
原因
この問題は、次のいずれかの理由で発生します。
- 発行者を既定の Active Directory フェデレーション サービス (AD FS) インスタンス ホスト名から、フェデレーションされているドメインが見つからない場合に発行者セットに変更するには、発行変換規則が必要です。
- 発行変換規則は、子ドメインを追加した後は更新されません。
この問題は、複数の最上位ドメインがテナントの同じ AD FS インスタンスにフェデレーションされている場合に発生します。
解決
注:
Azure AD および MSOnline PowerShell モジュールは、2024 年 3 月 30 日の時点で非推奨となりました。 詳細については、 非推奨の更新プログラムに関するページを参照してください。 この日付以降、これらのモジュールのサポートは、Microsoft Graph PowerShell SDK への移行支援とセキュリティ修正に限定されます。 非推奨のモジュールは、2025 年 3 月 30 日まで引き続き機能します。
Microsoft Entra ID (旧称 Azure AD) と対話するには、Microsoft Graph PowerShell に移行することをお勧めします。 移行に関する一般的な質問については、移行に関する FAQ を参照してください。 手記： バージョン 1.0.x の MSOnline では、2024 年 6 月 30 日以降に中断が発生する可能性があります。
Microsoft Entra RPT 要求規則に移動し、[次へ] をクリックします。
[不変 ID (sourceAnchor)] ->[ユーザー サインイン] (UPN やメールなど) の値を指定します。 複数の最上位ドメインがフェデレーションされている場合は、[AD FS との Microsoft Entra ID の信頼で複数のドメインがサポートされていますか?] に応答するように求められたら、[はい] を選択します。
Microsoft 365 PowerShell に接続し、ドメインの一覧を .csv ファイル (output.csv など) にエクスポートします。 これを行うには、次のコマンドレットを実行します。
Import-Module MSOnlineConnect-MsolServiceGet-MsolDomain | Select-Object Name, RootDomain, Authentication | ConvertTo-Csv -NoTypeInformation | % {$_.Replace('"','')} | Out-File output.csv[ 要求の生成] をクリックし、[ 要求規則 ] セクションから PowerShell コマンドレットをコピーします。
コマンドレットを PowerShell スクリプト (たとえば、updatelclaimrules.ps1) として保存し、次のコマンドを実行してプライマリ AD FS サーバーでスクリプトを実行します。
.\Updateclaims.ps1スクリプトは、既存の発行変換規則のバックアップを現在の作業ディレクトリの .txt ファイルとして作成します。
スクリプトを使用してバックアップした発行規則を復元する場合は、次のコマンドレットを実行し、手順 5 で作成したバックアップ ファイルを指定します。 次の例では、バックアップ ファイルは Backup 2018.12.26_09.21.03.txt です。
Set-AdfsRelyingPartyTrust -TargetIdentifier "urn:federation:MicrosoftOnline" -IssuanceTransformRulesFile "Backup 2018.12.26_09.21.03.txt"