はじめに
本記事では Microsoft Entra Hybrid Join 環境において、
FIDO2 セキュリティキー（パスキー）を利用して Windows へ
サインインする際に遭遇したエラーと、その原因・対処方法をまとめています。
エラーメッセージごとに発生条件を整理していますので、トラブルシューティングの参考にしてください。
前提条件
本記事は以下の環境で検証しています。
| 項目 | 内容 |
|---|---|
| デバイス | Microsoft Entra Hybrid Join |
| OS | Windows 11 |
| 認証方式 | FIDO2 セキュリティキー |
| アカウント | Active Directory と同期されたアカウント テストによっては、あえて同期されていないアカウントを使っています |
| ドメイン | Active Directory Domain Services |
| クラウド | Microsoft Entra ID |
Hybrid Join の環境へ セキュリティキー (FIDO2) を使ってサインインできるようにする方法は、以下の記事を参照してください。
資格情報を確認できませんでした。(コード:0xc000005f、0x0)
クラウド専用ユーザーであることが原因の可能性があります。
ドメインコントローラー側にアカウントがありません。ドメインコントローラー側にアカウントが存在し、Entra 側へ同期されたアカウントを使ってください。
初回ログオンの際に発生するエラー
初回ログオンでは、Entra ID による認証だけでなく、ドメインコントローラー側のユーザー情報取得も必要になるため、両方への疎通が求められます。
一方で、一度サインインが成功した後は、Windows のキャッシュログオンの仕組みにより、同じ条件でもログオンできる場合があります。
インターネット接続なし、ドメコン疎通なし
この場合ですが、以下の２通りのエラーを観察しています。
一度でもサインインが行われていれば、以後は キャッシュログオン が可能になるのですが、初回ログオンの場合には、Entra テナント と ドメインコントローラー の両方との疎通が同時に満たされている必要があります。
- デバイスがオフラインです。デバイスがインターネットに接統されていることを確認してください。
- 資格情報を確認できませんでした。(コード:0xc000006d、0xc0048585)
インターネット接続あり、ドメコン疎通なし
Entra テナントとだけ疎通ができていると、メッセージが変わります。
この場合には、ドメインコントローラーとの疎通が無い状態のため、きちんと接続できているのかどうかを確認してみてください。
- 申し訳ありませんが、もう１度行ってください。サーバーで問題が発生しました。
パスワードログオン、セキュリティ抑制時
管理者によって AD 側で、ユーザーアカウントのプロパティで、対話型ログオンにはスマートカードが必要 にチェックが入っている場合に、パスワードでログオンしようとすると、このエラーになります。
パスワードではなく、セキュリティキーを使ったログオンをするようにしましょう。
- サインインするには Windows Hello またはスマート カードを使う必要があります。
２回目以降のログオンでも発生するエラー
キーに資格情報が一切入っていない（PIN設定のみ＋まっさら）
PIN の入力が求められ、正しい PIN を入力後に以下の画面になる場合があります。
これは、Entra ID のアカウントが このセキュリティキーには登録されていないことを示しています。
キーの取り違えが無いかを確認し、正しい Entra ID が登録されているキーを挿入してください。
※正しいハズなのにこのエラーが出る場合は、何らかの影響で登録した鍵が壊れているなども考えられます。再度 セキュリティ情報 (https://aka.ms/mysecurityinfo) の画面から再登録してみてください。
- これは不明なセキュリティキーです。別のセキュリティキーを使用してください。
新品 リセット直後（PIN未設定）
PIN の入力さえ求められずに、以下の画面になる場合があります。
新品のセキュリティキーを挿入した場合に、こうなりました。
まずは、セキュリティ情報 (https://aka.ms/mysecurityinfo) の画面から Entra アカウントへセキュリティキーの登録を実施してください。
- これは不明なセキュリティキーです。別のセキュリティキーを使用してください。
インターネット接続あり、ドメイン疎通あり、ドメインアカウント無効
Active Directory 上のアカウントを わざと 削除したり、ロックアウトさせると、以下の画面が表示されました。
これは Entra 側では きちんと アカウント情報と セキュリティキー を使った認証が成功しているのに、AD 側で弾かれている状態です。AD 側のアカウント状態を再確認してください。
- このアカウントでサインインすることはできません。別のアカウントをお試しください。
PIN 入力成功した後に タッチせずに PIN を抜く
セキュリティキーでの認証は、PINを入力した後に、タッチ操作を求められます。その際に わざとタッチせずに キーを抜いてみました。すると このようなエラーが出ました。USB の接触が悪い場合などは、このエラーに遭遇することがあるかもしれませんね。
- サインインを完了できませんでした。もう一度やり直してフォローアップ操作を確実に実行してください。
PIN 入力失敗（誤入力）
これは、わかりやすいエラーです。PIN が誤っているので、正しい PIN を入れましょう。
- 暗証番号(PIN)が正しくありません。もう一度入力してください。
2回目以降ログオン、ドメコン疎通あり、ドメインアカウント無効、FIDO2
ログオン成功します。
これで良いのかどうかですが、２回目以降の セキュリティキーを使ったログオンの場合、ドメインアカウントが無効化されていても、ログオンに成功してしまいます。
そのため、管理者として 意図的にアカウントを無効化させる場合は、Entra アカウント側もケアした方が良さそうです。
※検証環境で観察した結果です。
※Windows のキャッシュログオン動作や PRT/チケット状態の影響を受ける可能性があります。
※環境によって結果が異なる可能性があります。
イレギュラーパターン
セキュリティキー利用後、Entra アカウント削除
セキュリティーキーを使って、Hybrid Join が可能になっている PC を使ってキャッシュログオンします。
あえて、この利用環境のユーザーの Entra アカウントを管理側で削除してみました。
すると、OS ログオンは可能ですが、SSO が機能せず、クラウドのサービスは利用できません。
すると、以下のエラーが発生します。
- 問題が発生しました パスキーでサインインできませんでした。もう一度お試しください。
さいごに
Microsoft Entra Hybrid Join + FIDO2 サインインは、
Entra ID、Active Directory、Windows のキャッシュログオン、
そしてセキュリティキーの状態が組み合わさるため、
一見すると似たエラーメッセージでも原因が大きく異なる場合があります。
本記事で紹介したエラーの多くは、
「Entra 認証」
「Active Directory 認証」
「セキュリティキーの状態」
「初回ログオンかどうか」
の4つの観点で整理できます。
エラーメッセージだけを見ると難しく感じますが、どの認証フェーズで失敗しているのかを切り分けることで、原因をある程度は 絞り込むことができます。
本記事が切り分けの参考になれば幸いです。