Googleでメールアドレスを変更した場合、オートプロビジョニングでOffice365上のログインアドレス(UserPrincipalName)自体は変更されるが、そのアドレスでGoogleのログインを使ってOffice365にログインしようとすると、 Message: AADSTS51004: The user account hogehoge does not exist と言われログインできない。

いろいろ掘ってみると、その理由はImmutableIdが元のままになっているからっぽい。ImmutableIdは外部IdPとの連携に使う物で、IdPのアカウント名が入っている。Auto ProvisioningでUserPrincipalNameは変更されているが、ImmutableIdは変更されないようだ。

PowershellでImmutableIdの変更をしようとすると、外部プロバイダーが設定するアカウントはSourceAnchorの設定がないやらで変更が出来ない。

Immutableidを後で変更するには以下のようなHackが必要。

Powershellで接続

事前準備

Powershellを管理権限で起動し、MSOnlineが入っていなければインストール。

 Install-Module -Name MSOnline

パーミッション云々で文句を言われたら以下を実行して権限を付ける。安全のため、このセッションでだけ権限を付与する。

Set-ExecutionPolicy RemoteSigned -Scope Process -Force

モジュールのImport

 Import-Module MSOnline

当該アドレスのImmutableidを確認

変更前のアドレスを before@hoge.com、変更後を after@hoge.com とするとき、以下のコマンドを実行し、 after@hoge.com ではなく before@hoge.com のままになっているとビンゴ。

Get-MsolUser -UserPrincipalName "after@hoge.com" | fl ImmutableId

この状態で、ImmutableIdを　Set-MsolUser で変更しようとしても、 You must provide a required property: Parameter name: FederatedUser.SourceAnchor と言われて変更できない。そこで以下のような微妙なハックをする

UserPrincipalNameを書き換えてからImmutableIdを変更する。

基本GoogleをIdPにしている場合は、独自ドメインを設定していると思われる。独自ドメインでUserPrincipalNameが設定されていると、ImmubtaleIdの書き換えが出来ないようなので、一度これをOffice 365のデフォルトアドレス(@hoge.onmicrosoft.com)に変更する。

Set-MsolUserPrincipalName -UserPrincipalName "after@hoge.com" -NewUserPrincipalName "after@hoge.onmicrosoft.com"
Set-MsolUser -UserPrincipalName "after@hoge.onmicrosoft.com" -ImmutableId "after@hoge.com"

これでImmutableIdが書き換えられたので、UserPrincipalNameをもとに戻す。

Set-MsolUserPrincipalName -UserPrincipalName "after@hoge.onmicrosoft.com" -NewUserPrincipalName "after@hoge.com"

これで、Googleアカウントである after@hoge.com でOffice365にログインできるようになる。