Microsoft Entra ハイブリッド参加済みデバイスのトラブルシューティング

この記事では、Windows 10 以降または Windows Server 2016 以降を実行しているデバイスの潜在的な問題を解決するのに役立つトラブルシューティング ガイダンスを提供します。

Microsoft Entra ハイブリッド参加では、Windows 10 の 2015 年 11 月以降の更新プログラムがサポートされます。

他の Windows クライアントのトラブルシューティングについては、Microsoft Entra ハイブリッド参加済みダウンレベル デバイスのトラブルシューティングに関するページを参照してください。

この記事では、次のシナリオをサポートするように Microsoft Entra ハイブリッド参加済みデバイスがあることを前提としています。

• デバイスベースの条件付きアクセス
• Enterprise State Roaming
• Windows Hello for Business

参加エラーのトラブルシューティング

手順 1:参加状態を取得する

1. 管理者としてコマンド プロンプト ウィンドウを開きます。
2. 「dsregcmd /status.

+----------------------------------------------------------------------+
| Device State                                                         |
+----------------------------------------------------------------------+

    AzureAdJoined: YES
 EnterpriseJoined: NO
         DeviceId: 5820fbe9-60c8-43b0-bb11-44aee233e4e7
       Thumbprint: AA11BB22CC33DD44EE55FF66AA77BB88CC99DD00
   KeyContainerId: bae6a60b-1d2f-4d2a-a298-33385f6d05e9
      KeyProvider: Microsoft Platform Crypto Provider
     TpmProtected: YES
     KeySignTest: : MUST Run elevated to test.
              Idp: login.windows.net
         TenantId: aaaabbbb-0000-cccc-1111-dddd2222eeee
       TenantName: Contoso
      AuthCodeUrl: https://login.microsoftonline.com/msitsupp.microsoft.com/oauth2/authorize
   AccessTokenUrl: https://login.microsoftonline.com/msitsupp.microsoft.com/oauth2/token
           MdmUrl: https://enrollment.manage-beta.microsoft.com/EnrollmentServer/Discovery.svc
        MdmTouUrl: https://portal.manage-beta.microsoft.com/TermsOfUse.aspx
  dmComplianceUrl: https://portal.manage-beta.microsoft.com/?portalAction=Compliance
      SettingsUrl: eyJVc{lots of characters}JdfQ==
   JoinSrvVersion: 1.0
       JoinSrvUrl: https://enterpriseregistration.windows.net/EnrollmentServer/device/
        JoinSrvId: urn:ms-drs:enterpriseregistration.windows.net
    KeySrvVersion: 1.0
        KeySrvUrl: https://enterpriseregistration.windows.net/EnrollmentServer/key/
         KeySrvId: urn:ms-drs:enterpriseregistration.windows.net
     DomainJoined: YES
       DomainName: CONTOSO

+----------------------------------------------------------------------+
| User State                                                           |
+----------------------------------------------------------------------+

             NgcSet: YES
           NgcKeyId: {aaaaaaaa-0b0b-1c1c-2d2d-333333333333}
    WorkplaceJoined: NO
      WamDefaultSet: YES
WamDefaultAuthority: organizations
       WamDefaultId: https://login.microsoft.com
     WamDefaultGUID: {B16898C6-A148-4967-9171-64D755DA8520} (AzureAd)
         AzureAdPrt: YES

手順 2:参加状態を評価する

次の表のフィールドを確認し、必要な値が設定されていることを確認します。

詳細なトラブルシューティングを行うには、次の手順に進みます。

手順 3: 参加がエラーになったフェーズとエラー コードを見つける

Windows 10 バージョン 1803 以降の場合

参加状態の出力の "Diagnostic Data" セクションで "Previous Registration" サブセクションを探します。 このセクションは、デバイスがドメイン参加済みで、Microsoft Entra ハイブリッド参加ができない場合にのみ表示されます。

"Error Phase" フィールドは参加エラーのフェーズを示し、"Client ErrorCode" は参加操作のエラー コードを示します。

+----------------------------------------------------------------------+
     Previous Registration : 2019-01-31 09:16:43.000 UTC
         Registration Type : sync
               Error Phase : join
          Client ErrorCode : 0x801c03f2
          Server ErrorCode : DirectoryError
            Server Message : The device object by the given id (e92325d0-xxxx-xxxx-xxxx-94ae875d5245) isn't found.
              Https Status : 400
                Request Id : 6bff0bd9-820b-484b-ab20-2a4f7b76c58e
+----------------------------------------------------------------------+

Windows 10 の以前のバージョンの場合

イベント ビューアーのログで、参加エラーのフェーズとエラー コードを確認します。

1. イベント ビューアーで ユーザー デバイス登録イベント ログを開きます。 これらは、 [アプリケーションとサービス ログ]>[Microsoft]>[Windows]>[ユーザー デバイス登録] の下に格納されています。
2. イベント ID が 304、305、307 のイベントを探します。

手順 4: 考えられる原因と解決策を確認する

事前チェック フェーズ

考えられるエラーの原因:

• デバイスがドメイン コントローラーを認識していない。
  • デバイスは、組織の内部ネットワークに配置するか、オンプレミスの Active Directory ドメイン コントローラーをネットワークで認識する仮想プライベート ネットワークに配置する必要があります。

検出フェーズ

考えられるエラーの原因:

• サービス接続ポイント オブジェクトが正しく構成されていないか、ドメイン コントローラーから読み取ることができない。
  • デバイスが属している AD フォレストに、Microsoft Entra ID 内の検証済みドメイン名を指す有効なサービス接続ポイント オブジェクトが必要です。
  • 詳細については、「チュートリアル: フェデレーション ドメイン用の Microsoft Entra ハイブリッド参加の構成」のサービス接続ポイントの構成に関するセクションを参照してください。
• 検出エンドポイントから検出メタデータに接続してフェッチできない。
  • 登録と承認のエンドポイントを検出するには、デバイスがシステム コンテキストで https://enterpriseregistration.windows.net にアクセスできる必要があります。
  • オンプレミス環境に送信プロキシが必要である場合は、デバイスのコンピューター アカウントが送信プロキシに対する検出とサイレント認証を実行できることを IT 管理者が確認する必要があります。
• ユーザー領域エンドポイントに接続して領域の検出を実行できない (Windows 10 バージョン 1809 以降のみ)。
  • 検証済みドメインの領域検出を実行してドメインの種類 (マネージドまたはフェデレーション) を判別するには、デバイスがシステム コンテキストで https://login.microsoftonline.com にアクセスできる必要があります。
  • オンプレミス環境に送信プロキシが必要である場合、IT 管理者は、デバイスのシステム コンテキストで送信プロキシに対する検出とサイレント認証を確実に実行できるようにする必要があります。

一般的なエラー コード:

一般的なサブエラー コード:

検出エラー コードのサブエラー コードを確認するには、次のいずれかの方法を使用します。

Windows 10 バージョン 1803 以降

参加状態の出力の "Diagnostic Data" セクションで "DRS Discovery Test" を探します。 このセクションは、デバイスがドメイン参加済みで、Microsoft Entra ハイブリッド参加ができない場合にのみ表示されます。

+----------------------------------------------------------------------+
| Diagnostic Data                                                      |
+----------------------------------------------------------------------+

     Diagnostics Reference : www.microsoft.com/aadjerrors
              User Context : UN-ELEVATED User
               Client Time : 2019-06-05 08:25:29.000 UTC
      AD Connectivity Test : PASS
     AD Configuration Test : PASS
        DRS Discovery Test : FAIL [0x801c0021/0x80072ee2]
     DRS Connectivity Test : SKIPPED
    Token acquisition Test : SKIPPED
     Fallback to Sync-Join : ENABLED

+----------------------------------------------------------------------+

Windows 10 の以前のバージョンの場合

イベント ビューアーのログを使用して、参加エラーのフェーズとエラー コードを探します。

1. イベント ビューアーで ユーザー デバイス登録イベント ログを開きます。 これらは、 [アプリケーションとサービス ログ]>[Microsoft]>[Windows]>[ユーザー デバイス登録] の下に格納されています。
2. イベント ID 201 を探します。

ネットワーク エラー:

HTTP エラー:

その他のエラー:

認証フェーズ

この内容は、フェデレーション ドメイン アカウントにのみ適用されます。

エラーの原因:

• DRS リソースのアクセス トークンをサイレントに取得できません。
  • Windows 10 および Windows 11 デバイスでは、アクティブな WS-Trust エンドポイントに対する統合 Windows 認証を使用して、フェデレーション サービスから認証トークンを取得します。 詳細については、フェデレーション サービスの構成に関する記事をご覧ください。

一般的なエラー コード:

イベント ビューアーのログで、エラー コード、サブエラー コード、サーバー エラー コード、およびサーバー エラー メッセージを確認します。

1. イベント ビューアーで ユーザー デバイス登録イベント ログを開きます。 これらは、 [アプリケーションとサービス ログ]>[Microsoft]>[Windows]>[ユーザー デバイス登録] の下に格納されています。
2. イベント ID 305 を探します。

構成エラー:

ネットワーク エラー:

その他のエラー:

参加フェーズ

エラーの原因:

お使いの Windows 10 のバージョンに応じて、次の表で登録の種類とエラー コードを探します。

Windows 10 バージョン 1803 以降

参加状態の出力の "Diagnostic Data" セクションで "Previous Registration" サブセクションを探します。 このセクションは、デバイスがドメイン参加済みで、Microsoft Entra ハイブリッド参加ができない場合にのみ表示されます。

[Registration Type] フィールドは参加の種類を表します。

+----------------------------------------------------------------------+
     Previous Registration : 2019-01-31 09:16:43.000 UTC
         Registration Type : sync
               Error Phase : join
          Client ErrorCode : 0x801c03f2
          Server ErrorCode : DirectoryError
            Server Message : The device object by the given id (aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb) is not found.
              Https Status : 400
                Request Id : 6bff0bd9-820b-484b-ab20-2a4f7b76c58e
+----------------------------------------------------------------------+

Windows 10 の以前のバージョンの場合

イベント ビューアーのログで、参加エラーのフェーズとエラー コードを確認します。

1. イベント ビューアーで ユーザー デバイス登録イベント ログを開きます。 これらは、 [アプリケーションとサービス ログ]>[Microsoft]>[Windows]>[ユーザー デバイス登録] の下に格納されています。
2. イベント ID 204 を探します。

DRS サーバーから返される HTTP エラー:

TPM エラー:

ネットワーク エラー:

その他のエラー:

サーバーのフェデレーション参加エラー:

サーバーの同期参加エラー:

手順 5:ログを収集して Microsoft サポートに問い合わせる

1. Auth.zip ファイルをダウンロードします。

2. ファイルを c:\temp などのフォルダーに解凍し、そのフォルダーに移動します。

3. 管理者特権の Azure PowerShell セッションから .\start-auth.ps1 -v -accepteula を実行します。

4. [アカウントの切り替え] を選択して、問題のあるユーザーとの別のセッションに切り替えます。

5. 問題を再現します。

6. [アカウントの切り替え] を選択して、トレースを実行している管理者セッションに戻ります。

7. 管理者特権の PowerShell セッションから .\stop-auth.ps1 を実行します。

8. スクリプトが実行されたフォルダーから Authlogs フォルダーを Zip (圧縮) 形式で送信します。

参加後の認証の問題のトラブルシューティング

手順 1: dsregcmd /status を使用して PRT の状態を取得する

1. コマンド プロンプト ウィンドウを開きます。

   注意

   プライマリ更新トークン (PRT) の状態を取得するには、ログイン ユーザーのコンテキストでコマンド プロンプト ウィンドウを開きます。

2. dsregcmd /status を実行します。

   "SSO state" セクションに、現在の PRT の状態が表示されます。

   AzureAdPrt フィールドが NO に設定されている場合、Microsoft Entra ID からの PRT の取得中にエラーが発生しています。

3. AzureAdPrtUpdateTime が 4 時間を超える場合、PRT の更新中に問題が発生したと考えられます。 デバイスをロックした後、ロックを解除し、PRT の更新を強制的に実行し、時間が更新されるか確認します。

+----------------------------------------------------------------------+
| SSO State                                                            |
+----------------------------------------------------------------------+

                AzureAdPrt : YES
      AzureAdPrtUpdateTime : 2020-07-12 22:57:53.000 UTC
      AzureAdPrtExpiryTime : 2019-07-26 22:58:35.000 UTC
       AzureAdPrtAuthority : https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee
             EnterprisePrt : YES
   EnterprisePrtUpdateTime : 2020-07-12 22:57:54.000 UTC
   EnterprisePrtExpiryTime : 2020-07-26 22:57:54.000 UTC
    EnterprisePrtAuthority : https://corp.hybridadfs.contoso.com:443/adfs

+----------------------------------------------------------------------+

手順 2: エラーコードを見つける

dsregcmd の出力から

"AzureAdPrt" フィールドの下の "Attempt Status" フィールドに、前回の PRT 試行の状態が、その他必要なデバッグ情報と共に表示されます。 以前のバージョンの Windows では、この情報を Microsoft Entra の分析ログと操作ログから抽出します。

+----------------------------------------------------------------------+
| SSO State                                                            |
+----------------------------------------------------------------------+

                AzureAdPrt : NO
       AzureAdPrtAuthority : https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee
     AcquirePrtDiagnostics : PRESENT
      Previous Prt Attempt : 2020-07-18 20:10:33.789 UTC
            Attempt Status : 0xc000006d
             User Identity : john@contoso.com
           Credential Type : Password
            Correlation ID : aaaa0000-bb11-2222-33cc-444444dddddd
              Endpoint URI : https://login.microsoftonline.com/aaaabbbb-0000-cccc-1111-dddd2222eeee/oauth2/token/
               HTTP Method : POST
                HTTP Error : 0x0
               HTTP status : 400
         Server Error Code : invalid_grant
  Server Error Description : AADSTS50126: Error validating credentials due to invalid username or password.

Microsoft Entra 分析ログと操作ログから

イベント ビューアーを使用し、PRT の取得時に Microsoft Entra CloudAP プラグインによって記録されたログ エントリを探します。

1. イベント ビューアーで、Microsoft Entra の操作イベント ログを開きます。 これらは、 [アプリケーションとサービス ログ]>[Microsoft]>[Windows]>[AAD] の下に格納されています。

1. 分析ログ内のイベント 1006 は PRT 取得フローの開始を示し、分析ログ内のイベント 1007 は PRT 取得フローの終了を示します。 Microsoft Entra ID の (分析と操作) ログでイベント 1006 からイベント 1007 までの間に記録されているイベントはすべて、PRT 取得フローの過程で記録されたものです。

2. 最終的なエラー コードはイベント 1007 に記録されます。

手順 3: 見つかったエラー コードに応じてさらにトラブルシューティングを行う

一般的なサーバー エラー コード

一般的なネットワーク エラー コード

手順 4: ログを収集する

通常のログ

1. https://aka.ms/icesdptool にアクセスすると、診断ツールを含む .cab ファイルが自動的にダウンロードされます。
2. ツールを実行し、シナリオを再現します。
3. Fiddler トレースの場合、ポップアップ表示された証明書の要求を受け入れます。
4. トレース ファイルを保護するためのパスワードの入力が、ウィザードによって求められます。 パスワードを指定します。
5. 最後に、収集したすべてのログが格納されているフォルダー (たとえば、 %LOCALAPPDATA%\ElevatedDiagnostics\numbers など) を開きます。
6. 最新の .cab の内容については、サポートにお問い合わせください。

ネットワーク トレース

1. netsh trace start scenario=internetClient_dbg capture=yes persistent=yes を実行します。
2. デバイスをロックした後、ロックを解除します。 ハイブリッド参加済みデバイスの場合、1 分以上待って、PRT 取得タスクを終了させてください。
3. netsh trace stop を実行します。
4. nettrace.cab ファイルをサポートと共有します。

既知の問題

モバイル ホットスポットまたは外部 WiFi ネットワークに接続し、[設定]>[アカウント]>[職場または学校にアクセスする] の順に移動すると、Microsoft Entra ハイブリッド参加済みデバイスに 2 つの異なるアカウント (Microsoft Entra ID 用に 1 つとオンプレミス AD 用に 1 つ) が表示される場合があります。 この UI の問題は、機能には影響を与えません。

関連するコンテンツ

• dsregcmd コマンドを使用したデバイスのトラブルシューティング。
• 「Microsoft エラー ルックアップ ツール」にアクセスする。