【Office365参考書】AADSTS51004のエラーメッセージによりOffice365にログインができない

エラー内容

Message: AADSTS51004: The user account rZTGZcVTlk2NMwJ10mMqtA== does not exist in the fffffc9a7-58da-484e-93c0-483c039898920 directory. To sign into this application, the account must be added to the directory. 

 [AADSTS51004] というエラーメッセージは、該当のディレクトリにユーザー アカウントが存在しない場合に発生することを確認してます。

docs.microsoft.com

AADSTS51004 

UserAccountNotInDirectory - ディレクトリにユーザー アカウントが存在しません。

まずは、対象の UserPrincipalName (以下、UPN) を持つユーザーが Microsoft 365 管理センター上の [アクティブなユーザー] 内に問題なく存在しているか確認してください。

また、サードパーティ製 IdP 側と、Office 365 側のユーザー情報の紐付けに起因して、[AADSTS51004] のエラーが発生している可能性もあります。 

そのため、ご利用の認証サービスと Office 365 側のユーザー オブジェクトの紐付けが正常に行われているか、ご確認ください。 

なお、サードパーティ製 IdP 側と、Office 365 側のユーザー情報の紐付けについては、Office 365  (Azure AD) 側の [ImmutableId] 属性 を利用して行っています。 

以下に Office 365 上のユーザーにて [ImmutableId] 属性を確認、および設定する手順をご案内いたします。 

Office 365 ユーザーの [ImmutableId] 属性 の値を確認、設定するコマンドレット 

PowerShellモジュールのインストール

[Microsoft Azure Active Directory Module for Windows PowerShell] をインストールするための前提条件をご確認いただき、環境が整った状態で以下のコマンドを実行します。 

※ 該当のモジュールを導入済みの環境であれば、項番 2. へお進みください。 

<コマンド> 

Install-Module -Name MSOnline 

※ 特にエラーなどが発生しなければ、インストールは完了しております。 

Office 365への接続

Office 365 (Azure AD) への PowerShell 接続のために以下のコマンドレットを実行し、Office 365 全体管理者アカウントの ID とパスワードを入力します。 

<コマンドレット> 

Connect-MsolService 

対象ユーザーの[ImmutableId] を確認 

Office 365 ユーザーの [ImmutableId] 属性の値は、以下のコマンドにてご確認いただくことが可能です。 

<コマンドレット> 

Get-MsolUser -UserPrincipalName "対象ユーザーのサインイン ID" | fl ImmutableId 

対象ユーザーの[ImmutableId] を設定 

Office 365 ユーザーの [ImmutableId] の設定、または修正が必要な場合は、以下のコマンドレットを実行します。 

※ フェデレーション ユーザーに対して [ImmutableId] の設定変更を行うことは制限されております。 

対象ドメインを標準認証に変換いただくか、対象ユーザーの UPN を [***.onmicrosoft.com] ドメインなどの標準認証ドメインのアドレスに変更したうえで実施してください。 

<コマンドレット> 

Set-MsolUser -UserPrincipalName "対象ユーザーのサインイン ID" -ImmutableId "ImmutableId に設定する値" 

【Office365参考書】ユーザーの連絡先(アドレス帳)のデータを管理者が確認するには？

管理者にて、ユーザーが登録した連絡先のデータを確認する機能として、[フルアクセス許可] を付与し該当のメールボックスにアクセスし確認する方法と [コンテンツの検索] にて該当のメールボックスの連絡先データを PST ファイルにエクスポートして確認する方法があります。 

以下にそれぞれの手順についてご紹介したいと思います。

フルアクセス許可 

フルアクセス許可を付与することでメールボックスにログインして、そのメールボックスの所有者として作業できます。予定表アイテムを作成したり、電子メールメッセージの読み取り、表示、削除、変更を行ったり、タスクと予定表の連絡先を作成することができます。 

以下にフルアクセス許可を付与する手順と Outlook on the web からメールボックスにアクセスする手順をご案内いたします。 

フルアクセス許可を付与する手順 

1. 管理者ユーザーにて Office 365 (https://portal.office.com) へサインインします。
2. 画面左側の [管理者] - [Exchange] をクリックします。

※新しい管理センターの場合は、左ペインの [従来の Exchange 管理センター] をクリックします。 

3. 表示された Exchange 管理センターにて、[受信者] - [メールボックス] をクリックします。
4. 該当のユーザーメールボックスをダブルクリックします。
5. 表示されたユーザー メールボックスの詳細にて、画面左の [メールボックスの委任] をクリックします。
6. [フル アクセス許可] にて、[＋] アイコン (追加) をクリックします。
7. [フル アクセスの選択] にて、権限を付与する管理者を選択し、[追加] - [OK] をクリックします。
8. ユーザーが追加されていることを確認し、[保存] をクリックします。

Outlook on the web からメールボックスにアクセスする方法 

1. フルアクセス許可が付与されているユーザーにて、Outlook on the web にログインします。
2. 画面右上のユーザーの顔写真をクリックし、[他のメールボックスを開く] をクリックします。
3. [他のメールボックスを開く] の空欄に該当のユーザーのメールアドレスを入力し [開く] をクリックします。
4. 該当のメールボックスが開きますので、連絡先をご確認ください。

コンテンツの検索 

管理者へ必要な権限の付与を行った後、検索を行う対象のメールボックスに対して、検索クエリを指定したコンテンツの検索の作成を行い、アイテムの検索や確認を行うといった流れでございます。 

1. 管理者へ必要な権限を付与する 

1. 管理者にて、Office 365 サービスへサインインします。
2. Microsoft365 管理センターを開き、画面左ペインの [管理センター] - [コンプライアンス] をクリックします。
3. コンプライアンス センターにて、[アクセス許可] をクリックし、[コンプライアンスセンター] の [役割] をクリックします。
4. 役割一覧より [eDiscovery Manager] をクリックし、編集画面を表示します。
5. [電子情報開示管理者] の [編集] をクリックします。
6. [編集] をクリックし、[+ (追加)] ボタンより、機能を実行する管理者を追加し [追加] をクリックします。

※一覧に存在しない場合は検索してください。 

6. 画面下の [完了] をクリックし、[保存] をクリックします。

※新たに権限の付与を行った場合、反映にお時間を要する場合がございます。 

2. コンテンツの検索の実行手順について 

1. [eDiscovery Manager] 権限が付与された管理者ユーザーにて、Office 365 にサインインします。

※ 管理者権限が付与されていないユーザーの場合は、https://compliance.microsoft.com/homepage の URL からコンプライアンスセンターにアクセスします。 

2. 画面左ペインの [管理センター] - [コンプライアンス] にて、コンプライアンスセンターにアクセスし、画面左側のメニューから [コンテンツの検索] をクリックします。
3. [+ 新しい検索] のアイコンをクリックします。
4. [名前と説明] ページで、[名前] と [説明] を任意で登録し、[次へ] をクリックします。
5. [場所] ページにて、[Exchange メールボックス] を有効にし、[ユーザー、グループ、チームを選択] をクリックします。
6. [検索] にて、検索対象のアドレスや表示名で検索し、対象ユーザーにチェックを入れ、[完了] をクリックし、[次へ] をクリックします。

※ 検索欄にアドレスや表示名を入力してからエンターキーを押すことで検索が開始されます。 

※ 全メールボックスを指定いただく場合、[Exchange メール] の項目を [すべて] の状態で進めます。 

7. [検索条件の定義] ページにて、[検索クエリ] 項目より[キーワード] に "Kind:Contacts" と入力します。

8. [検索の確認と作成] 画面が表示されますので、[送信] をクリックし、[完了] をクリックします。

※一覧に作成された検索ルールが表示されない場合は、上部の [更新] をクリックします。 

3. 検索結果を確認する 

[検索結果のプレビュー] と [エクスポート]、[レポート] を出力する方法がございます。 

・ 検索結果のプレビュー 

[◆ 2.] の手順後に対象ルールを選択し、[サンプルのレビュー] をクリックすることでプレビューを取得する動作となります。 

プレビュー表示については、プレビューできるアイテムの数に関連する制限やサポートされているファイル種類などさまざまな制約があり、正確な検索結果を取得できない可能性がございます。 

そのため、正確な情報を取得する場合は、PST ファイルにエクスポートしてご確認いただきますようお願い申し上げます。 

・ エクスポートする 

[◆ 2.] の手順後に対象ルールを選択し、[操作] > [結果のエクスポート] の方法を選択し処理をすすめます。 

・ レポートを生成する 

[◆ 2.] の手順後に対象ルールを選択し、[操作] >[レポートのエクスポート] を選択します。 

ダウンロードされたレポートについて、 "Results.csv" をご参照いただくことでアイテムの情報を確認いただけます。 

※ 宛先や BCC などの情報を確認される場合、 [宛先行の受信者] [CC行の受信者] [BCC行の受信者] などから確認可能です。 

なお、レポート出力ではメールアイテムの本文は確認できかねる動作でございます。 

本文を確認される場合には、プレビュー表示または PST ファイルへのエクスポートを行っていただけますようお願い申し上げます。 

※ 詳細な手順は以下 [◆ .4] の 4. の手順からご参考ください。 

【※】 PST ファイルの出力が可能であり、出力容量の上限は日に 2TB となっております。 

エクスポートする PST ファイルの容量が 10 GBを超える場合につきましては、10GB ごとに PST ファイルが分割される動作となりますので、あらかじめご承知おきくださいますようお願い申し上げます。 

4. [コンテンツの検索] 結果をエクスポートする 

1. [eDiscovery Manager] 権限が付与された管理者ユーザーにて、Office 365 にサインインします。
2. 画面左ペインの [管理センター] - [コンプライアンス] にて、コンプライアンスセンターにアクセスし、画面左側のメニューから [コンテンツの検索] をクリックします。
3. [コンテンツの検索] 画面から出力対象の検索ルールを選択します。
4. [操作] をクリックし、メール アイテムをPSTファイルにエクスポートを行う場合は [結果のエクスポート] を選択します。
5. 画面が切り替わりましたら、エクスポート対象項目を選択し、[レポートの生成] をクリックします。
6. [閉じる] をクリックし [コンテンツの検索] 画面に戻り、上部の [Export] タグをクリックします。
7. 画面より対象のルールを選択します。
8. 表示されたルール名が正しい事を確認し [クリップボードにコピー] をクリックし、上部の [結果のダウンロード] をクリックします。

※ [このファイルを開きますか] という画面が表示された場合は [開く] をクリックします。 

7. [ソースへの接続に使われる export key を貼り付けます] に [クリップボードにコピー] にて、コピーしたキーを貼り付け、任意のダウンロード先選択し、[開始] をクリックします。
8. ダウンロードが完了するのを待ちます。

【ご留意点】 

検索結果をエクスポートする場合、使用するコンピューターは下記のシステム要件を満たす必要があります。 

◇ システム要件 

・ OS 

32 ビットおよび 64 ビット バージョンの Windows 7 およびそれ以降のバージョン 

・ ソフトウェア 

Microsoft .Net Framework 4.7 をインストールしている環境 

・ ブラウザー 

・Microsoft Internet Explorer 10 以降のバージョン 

・Microsoft Edge 

Mozilla Firefox、Google Chrome につきましては、PST ファイルの出力要件を満たしておりません。 

新しい Edge でコンテンツの検索を利用し、電子情報開示エクスポートツールを使用する際には、以下の公開情報をご参考いただき、ClickOnce サポートの有効化を行っていただきたく存じます。 

新 Microsoft Edge で ClickOnce サポートの有効化について 

Chromium ベースの 新しい Microsoft Edge をご利用いただいている場合、電子情報開示エクスポートツールを使用する際に ClickOnce サポートを有効にする必要があります。 

docs.microsoft.com

Outlook クライアントにて PST ファイルのデータの確認を行う手順についてご案内いたします。 

Outlook クライアントにてローカル上に保存した PST ファイルのデータを確認する方法 

1. Outlook クライアント を起動し [ファイル] タブ を開きます。
2. 左ペイン [情報] - [アカウント設定] - [アカウント設定(A)] をクリックします。
3. アカウント設定画面が開きますので、[データファイルタブ] を開きます。
4. [追加(A)] をクリックし、保存した PST ファイルを指定し [OK] - [閉じる] をクリックします。
5. Outlook クライアントのメール画面 左ペインにデータファイル名のフォルダーが表示されますので、PST ファイルのデータをご確認いただけます。
6. 確認が終わりましたら、[Outlook データファイル] フォルダーを右クリックし ["データファイル名"を閉じる] をクリックすることで、フォルダーが非表示になります。

※ 削除済みアイテムフォルダーから削除を行ったアイテムは、削除されたアイテムが格納される領域であるユーザーメールボックスやアーカイブメールボックスの [Recoverable Items] 配下のフォルダーをご確認ください。 

【Office365参考書】ライセンスの付与と剝奪のログを確認するには？

結論から言いますと統合監査ログまたは、Azure AD 監査ログを利用することで、ライセンスが付与と剥奪されたログを確認できます。 

なお、統合監査ログについては、あらかじめ有効化されている必要がございます。 

以下に、Microsoft 365 監査ログが有効になっているか確認する方法をご案内いたしますので、ご確認ください。 

※ 統合監査ログは 90 日前までの情報を取得する事が可能となります。 

なお、Office 365 E5 または Microsoft 365 E5 または Microsoft 365 E5 Compliance アドオン ライセンスを持っているユーザーについては、1 年間保持されます。 

統合監査ログが有効になっているか確認 

以下の記事をもとにExchange Online に接続してから実行してください。

it-bibouroku.hateblo.jp

設定値を確認する 

[実行例] 

Get-AdminAuditLogConfig | FL UnifiedAuditLogIngestionEnabled 

※ こちらの実行結果が True になっていれば監査ログは有効であり、False の場合は無効となっております。　 

なお、以下のコマンドレットを実行することで、有効化することが可能です。 

統合監査ログを有効化する 

[実行例] 

Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $True 

docs.microsoft.com

統合監査ログが有効化されている場合、以下にライセンスやサービスが付与、剥奪されたログを出力する方法をご案内いたします。

Search-UnifiedAuditLog コマンドレットを利用した統合監査ログの取得手順 

<コマンドレット> 

Search-UnifiedAuditLog -ResultSize "5000" -StartDate "<開始日時>" -EndDate "<終了日時>" -Operations "<対象アクティビティ>" -ObjectIDs "<対象のユーザー>" | Export-Csv -Encoding UTF8 -NoTypeInformation -Path "<ファイル名を含んだ保存先のパス.csv>" 

<実行例> 

Search-UnifiedAuditLog -ResultSize "5000" -StartDate "2021/6/1 15:00:00" -EndDate "2021/6/15 15:00:00" -Operations "Change user license.","Update user." -ObjectIDs "user1@contoso.com" | Export-Csv -Encoding UTF8 -NoTypeInformation -Path "C:\Temp\UnifiedAuditLogSearch.csv" 

解説 

・ コマンドレット実行時の日時は、協定世界時（UTC） で指定する必要があります。 

   日本時間は UTC ＋9 時間のため、上記は、日本時間の 6 月 2 日 0 時 ～ 6 月 16 日 0 時 までの期間を指定しています。 

・ ログは C ドライブ直下の Temp フォルダに [UnifiedAuditLogSearch.csv] というファイル名で出力しています。 

・ [UserIds] に、操作したユーザーが出力されます。 

・ 付与、はく奪されたライセンスやサービスの情報を確認するには、[Operations] に出力される [Change user license] と同時刻に出力されている [Update user] の [AuditData] の内容を確認します。 

   ※ ["OldValue"] には、それまで付与されていたライセンスの情報、["NewValue"] には新しく付与されたライセンス情報が表示される動作となります。 

<例> 

ModifiedProperties: 

"Name": "AssignedLicense", 

"NewValue": "[\r\n  \"]・・・・, DisabledPlans=]・・・・, 

"OldValue": "[\r\n  \"[SPE_E3],・・・・]]・・・・, DisabledPlans=]・・・・ 

NewValue : 新しいライセンス付与状況 ※ ライセンスがはく奪された場合は、"" と出力されます。 

OldValue : 以前のライセンス付与状況 

SkuName : ライセンス名 ※ Microsoft 365 E3 は 「SPE_E3」 と表示され、Office 365 E1 は 「STANDARDPACK」 と表示されます。 

DisabledPlans : ライセンス内でオフとなっているサービス名 

なお、ライセンス名につきましては、以下の公開情報をご確認ください。

docs.microsoft.com

統合監査ログが有効化されていない場合、Azure AD 監査ログでも確認することは可能です。 

Azure AD 監査ログで確認する場合 

1. Microsoft 365管理センターへサインイン
2. 左メニューの[管理センター] - [Azure Active Directory] をクリック 
3. 遷移した画面左メニューの[Azure Active Directory] をクリック 
4. [監視]の配下にある[監査ログ] をクリック 
5. [許可された時刻]で任意の検索期間を指定
6. [フィルターの追加]をクリックし、[ターゲット」 を選択し、[適用]をクリック 
7. [ターゲット 次の値で始まる]をクリックし、対象のユーザーを入力し、[適用]をクリック 

・ [Change user license] というアクティビティが、ライセンスの付与/はく奪をしたことを指すログです。 

・ 開始者 (アクター) が操作を行ったユーザーです 

・ どのライセンスが変更されたかについては、[Change user license] のログと同時刻に記録される [Update user] のログを確認します。 

8. 該当の[Update user] のログをクリックし、[アクティビティ] タブの [追加の詳細] の欄に内容が出力されます 

【表示例】 

AssignedLiecnse ～ 

OldValue\”：~ [SkuName= SPE_E3,… DisabbledPlans = ] 

NewValue\”：["]… 

  ※ OldValue : 以前のライセンス付与状況 

  ※ NewValue : 新しいライセンス付与状況 (ライセンスがはく奪された場合は、"[]" と出力されます。) 

　※ Microsoft 365 E3 は 「SPE_E3」 と表示され、Office 365 E1 は 「STANDARDPACK」 と表示されます。 

　※ DisabledPlans : ライセンス内でオフとなっているサービス名 

なお、画面左上の [ダウンロード] をクリックし、右側に表示される画面 [形式] で、[CSV] を選択し、[ダウンロード] をクリックすることで、CSV ファイルに出力することも可能です。 

docs.microsoft.com

【Office365参考書】「Microsoft アカウントの不審なサインイン」という警告メール通知が届いた

「Microsoft アカウントの不審なサインイン」という警告メール通知が届いた場合に、どのような対応が必要か紹介したいと思います。

警告メール通知は、以下のような「通常と異なるサインイン」を行われた場合に通知されます。 

• 通常サインインしているデバイスとは異なるデバイスからのサインイン 
• 通常サインインしている IP アドレス帯とは異なる IP アドレス帯からのサインイン 
• 通常サインインしている国 / 地域からのサインイン 

そのため、「旅行や出張などで普段と異なるネットワークからアクセスした」といった場合にもメールが送信されますので、必ずしも悪意のある第三者によるサインインが発生したというわけではありません。 

なお、セキュリティの観点から明確に「何をしたら警告メール通知が発生するか」は公開されておりません。 

また、警告メール通知が届いた際の対処としては、パスワードの変更および 2 段階認証を推奨してます。 

2 段階認証とは、Microsoft アカウントへのログイン時にパスワードの他にもう 1 つの本人確認を挟むことで、セキュリティを強化するものとなります。 

answers.microsoft.com

【Office365参考書】メールボックスの情報を取得するにはGet-Mailbox?新しいメールボックス順に出力するには？

メールボックスの情報などを一覧で取得する場合、主にPowershellのコマンドレットを利用する方法となりますが、Get-Mailboxでメールアドレスや表示名、各設定など取得することが可能です。

また、アクティブなメールボックスだけではなく、削除したユーザーや非アクティブなメールボックスの情報も

取得することができます。

以下に一例をご紹介しますので、ご参考としていただけますと幸いです。

以下のサイトをもとにExchangeOnlineに接続してから実行してください。

it-bibouroku.hateblo.jp

非アクティブなメールボックスの情報を出力する場合

※パラメーターにて、InactiveMailboxを追加します。

＜構文＞ 

Get-Mailbox -InactiveMailbox | Export-CSV -Encoding UTF8 -Path <ファイルパス\ファイル名>.csv -NoTypeInformation 

＜実行例＞ 

Get-Mailbox -InactiveMailbox | Select DisplayName,PrimarySmtpAddress | Export-CSV -Encoding UTF8 -Path C:\temp\Primary.csv -NoTypeInformation 

※C ドライブの配下の temp フォルダーに Primary.csv という名前のファイルで情報保存する場合 

非アクティブなメールボックスとアクティブなメールボックスの情報を取得する場合

※パラメーターにて、IncludeInactiveMailboxを追加します。

＜実行例＞ 

Get-Mailbox -Identity test@contoso.com -IncludeInactiveMailbox | Export-CSV -Encoding UTF8 -Path C:\temp\IncludeInactive.csv -NoTypeInformation 

削除済みユーザーの情報を取得する場合

※パラメーターにて、SoftDeletedMailboxを追加します。

＜実行例＞ 

Get-Mailbox -Identity test@contoso.com -SoftDeletedMailbox | Export-CSV -Encoding UTF8 -Path C:\temp\SoftDeleted.csv -NoTypeInformation 

削除したユーザーも含め全ユーザーの情報を取得する場合 

※Get-Recipientのコマンドレットを利用した方法となります。

＜実行例＞

$Temp = Get-Recipient -Identity * -IncludeSoftDeletedRecipients -ResultSize Unlimited 

$Temp | Export-Csv -Encoding UTF8 -NoTypeInformation -Path "C:\Temp\recipient.csv" 

補足となりますが、新しいメールボックス順 (作成が新しい順番)でメールボックス、および、非アクティブなメールボックスを出力する方法をご紹介します。

また、特定のドメインのメールボックスで指定するようにフィルターをおこなっていますので、すべてのドメインを指定する場合は、-Filter {WindowsEmailAddress -like "*@ドメイン"}を削除して実行してください。

作成された日時の直近のものから上位100レコード のメールボックスを出力する場合 

<構文> 

Get-Mailbox -Filter {WindowsEmailAddress -like "*@ドメイン"} -RecipientTypeDetails UserMailbox -ResultSize Unlimited | Sort-Object -Property WhenMailboxCreated -Descending | select PrimarySmtpAddress,DisplayName,WhenMailboxCreated -first 100 | Export-CSV -Encoding UTF8 -Path <ファイルパス\ファイル名>.csv -NoTypeInformation 

<実行例> 

Get-Mailbox -Filter {WindowsEmailAddress -like "*@contoso.com"} -RecipientTypeDetails UserMailbox -ResultSize Unlimited | Sort-Object -Property WhenMailboxCreated -Descending | select PrimarySmtpAddress,DisplayName,WhenMailboxCreated -first 100 | Export-CSV -Encoding UTF8 -Path C:\temp\UserMailbox.csv -NoTypeInformation 

※C ドライブの配下の temp フォルダーに UserMailbox.csv という名前のファイルで情報保存する場合 

<出力結果> 

PrimarySmtpAddress : プライマリメールアドレス 

DisplayName : 表示名 

WhenMailboxCreated : 作成日時 

※ 作成日時の新しい順番に 100 名までのユーザーメールボックスが出力されます。 

作成された日時の直近のものから上位100レコード の非アクティブなメールボックスを出力する場合 

<構文> 

Get-Mailbox -Filter {WindowsEmailAddress -like "*@ドメイン"} -InactiveMailboxOnly -ResultSize Unlimited | Sort-Object -Property WhenMailboxCreated -Descending | select PrimarySmtpAddress,DisplayName,WhenSoftDeleted -first 100 | Export-CSV -Encoding UTF8 -Path <ファイルパス\ファイル名>.csv -NoTypeInformation 

<実行例> 

Get-Mailbox -Filter {WindowsEmailAddress -like "*@contoso.com"} -InactiveMailboxOnly -ResultSize Unlimited | Sort-Object -Property WhenMailboxCreated -Descending | select PrimarySmtpAddress,DisplayName,WhenSoftDeleted -first 100 | Export-CSV -Encoding UTF8 -Path C:\temp\Inactive.csv -NoTypeInformation 

※C ドライブの配下の temp フォルダーに Inactive.csv という名前のファイルで情報保存する場合 

<出力結果> 

PrimarySmtpAddress : プライマリメールアドレス 

DisplayName : 表示名 

WhenSoftDeleted : 非アクティブなメールボックスに変換された日時 

※ 非アクティブなメールボックスに変換された日時の新しい順番に 100 名までの非アクティブなメールボックスが出力されます。