【Office365参考書】UPNを変更する際にドメインがプルダウンに表示されない？フェデレーションドメインが関係している？

f:id:it-bibouroku:20210404095716p:plain

Microsoft365管理センターでユーザーや共有メールボックスのUPNを変更する場合、プルダウンでドメインの選択ができますが、指定したいドメインが表示されない場合があります。

その場合、該当のドメインがフェデレーションドメインであることが考えられます。

フェデレーション環境では、以下の設定を Microsoft 365 管理センターにて実行することが制限されております。

フェデレーションドメインのユーザーを Microsoft 365 管理センターにて作成すること
Microsoft 365 管理センターで作成されたクラウドユーザーのユーザー名 (UPN) をフェデレーションドメインに変更すること

フェデレーションドメインの認証についても触れておきたいと思います。

フェデレーションドメインの認証について

Office 365 にサインインする際の認証方式については、ドメイン単位での設定となり、ユーザーは Office 365 側の UPN に設定されたドメインの認証方式でサインインを行う動作となります。

標準認証ドメインの UPN を持つユーザーにつきましては、Office 365 にて保持されたパスワードを利用して認証を行いますが、フェデレーションドメインの UPN を持つユーザーにつきましては、認証時にリダイレクトされ、外部 IdP にて認証が行われます。

なお、対象ドメインが標準認証ドメインかフェデレーションドメインかについて確認する場合、PowerShell にて、以下のコマンドにてご確認いただくことは可能です。

1. Windows PowerShell の起動

Windows PowerShell を管理者として起動し、接続のため以下のコマンドレットを実行し、管理者 ID とパスワードを入力

【コマンドレット】

Connect-MsolService

2. フェデレーションドメインであるか確認するコマンド

<構文>

Get-MsolDomain -DomainName "対象のドメイン" | select Name, Authentication

<実行例>

Get-MsolDomain -DomainName "contoso.com" | select Name, Authentication

<実行結果例>

Name Authentication

---- --------------

contoso.com Federated

[Authentication] の値が [Federated] の場合はフェデレーションドメイン、[Managed] の場合は標準認証ドメインとなります。

なお、ディレクトリ同期を利用しないサードパーティ製 IdP にてシングルサインオン (SSO) を実行している環境の場合は、[ImmutableId] 属性の値を指定することで、Windows PowerShell にてユーザーを作成、および UPN の変更を行う際に、フェデレーションドメインを UPN に使用することが可能となります。

また、ユーザーを作成した後、当該ユーザーに Exchange Online を含むライセンスを割り当てることで、メールアドレスを設定することが可能です。

以下に Windows PowerShell にて [ImmutableId] 属性に値を設定する手順をご紹介いたします。