はじめに
Microsoft 365（M365）の導入や初期構築を進める際、ユーザーによる予期せぬライセンス取得を防ぐために「セルフサービスサインアップ（SSSU）の無効化」を設定することは多いと思います。
その中で、Power Platformの試用版ライセンスに関して無効化の設定を実施しようとしたところ、とある環境で予期せぬエラーに遭遇したため備忘録として残しておきます。
設定方法と発生したエラー
設定方法
Power Platformの試用版ライセンスのSSSUを無効化するには、PowerShellコマンドを利用します。
実行予定のコマンドは以下のとおりです。
※ Windows PowerShellでの操作となります。
# 現状の設定を確認
Get-AllowedConsentPlans
# 無効化設定
Remove-AllowedConsentPlans -Types @("Internal", "Viral")
発生したエラー
コマンドを実行してグローバル管理者のアカウントで認証を行った際、以下のエラー画面が表示されました。
具体的にはユーザーID、パスワードを入力した後に「アカウントをセキュリティ保護しましょう」という画面で本来認証方法の設定に進む画面から次に進んだ際に表示されたものです。
原因と対処方法
調べた結果、対象のM365環境で以下の設定が既定値から変更されていたことが原因だと判明しました。
①ユーザーごとのMFAが対象のグローバル管理者で有効になっていたこと
②認証方法 > ポリシーで、Microsoft Authenticatorが「いいえ」（無効）になっていたこと
今回は初期構築作業の段階ということもあり、対象のグローバル管理者アカウントの「ユーザーごとのMFA」を一時的に【無効】に変更して作業を続行したところ、無事に設定コマンドの実行を完了することができました。
念のため設定の組み合わせによって他にエラーとなる可能性があるか検証したところ、下表のとおりエラーとなったのは1パターンだけでした。
| # | ユーザーごとのMFA | 認証ポリシーのAuthenticator | PowerShell実行結果 |
|---|---|---|---|
| 1 | 有効 | 無効 | エラー |
| 2 | 有効 | 有効 | 成功 |
| 3 | 無効 | 有効 | 成功 |
| 4 | 無効 | 無効 | 成功 |
モジュールによる挙動の違い
今回M365の各サービスの設定作業でPowerShellコマンドを用いることが何度かありましたが、GraphモジュールやExchangeモジュールなどを利用したPowerShell設定においては同様のエラーは見られませんでした。
今回エラーが発生したコマンドで利用したモジュールは「Microsoft.PowerApps.Administration.PowerShell」だったのですが、このモジュールがモダン認証に対応していないことが要因の1つであった可能性があるようです。
モダン認証に対応しているモジュールであれば、認証時にユーザーごとのMFAによって認証要求が行われた際にAuthenticatorが無効だと「アプリパスワードの設定」による認証方法の登録あるいは確認にシフトしてくれるようですが、モダン認証に対応していない場合はその救済ルートが働かないことで、エラーとなってしまうようです。
※ これらはAIで調べた範囲での情報ですので、正確性についてはご容赦ください。
まとめ
今回のエラーはレアケースかもしれませんが、同じようなエラーに遭遇した際は、多要素認証の設定値を確認してみていただけたらと思います。