クラウドKerberos信頼構築「Set-AzureADKerberosServer」のNullエラー

Question

クラウドKerberos信頼構築「Set-AzureADKerberosServer」のNullエラー

水島　研也 0

Windows Hello for BussinessをCloud Kerberos 信頼にて展開時、Set-AzureADKerberosServerコマンドレットにて実行した結果、以下エラーが発生しています。この解決方法についてご教示頂きたく。※ドメイン、CloudCredential 内容は正しい前提としてください。

また、PowerSellのモジュールは以下のとおりです。

#Get-Module結果

ModuleType Version Name ExportedCommands

Binary 2.4.71.0 AzureADHybridAuthenticationManag... {Get-AzureADKerberosServer, Get-AzureADKerberosServerEndpoint, Remove-AzureADKerberosServerTrustedDomainObject, Set-AzureADKerberosServerEndpoint...}

Binary 2.0.2.183 AzureADPreview {Add-AzureADApplicationOwner, Get-AzureADApplication, Get-AzureADApplicationExtensionProperty, Get-AzureADApplicationOwner...}

Script 1.0.1 Microsoft.PowerShell.Operation.V... {Get-OperationValidation, Invoke-OperationValidation}

Binary 1.0.0.1 PackageManagement {Find-Package, Get-Package, Get-PackageProvider, Get-PackageSource...}

Script 3.4.0 Pester {Describe, Context, It, Should...}

Script 1.0.0.1 PowerShellGet {Install-Module, Find-Module, Save-Module, Update-Module...}

Script 1.2 PSReadline {Get-PSReadlineKeyHandler, Set-PSReadlineKeyHandler, Remove-PSReadlineKeyHandler, Get-PSReadlineOption...}

Script 4.1.522 VcRedist {Export-VcManifest, Get-InstalledVcRedist, Get-VcIntuneApplication, Get-VcList...}

#エラー内容
Set-AzureADKerberosServer : 値を Null にすることはできません。

パラメーター名:message

発生場所行:1 文字:1

Set-AzureADKerberosServer -Domain $domain -CloudCredential $cloudCred ...


    + CategoryInfo          : NotSpecified: (:) [Set-AzureADKerberosServer], ArgumentNullException

    + FullyQualifiedErrorId : System.ArgumentNullException,Microsoft.AzureAD.Kdc.Management.SetAzureADKerberosServer

チャブーン 7,841 評価のポイント MVP ボランティアモデレーター

2025-10-21T06:44:43.6733333+00:00
チャブーンです。

この件ですが、申し訳ないのですが、質問前提に若干の違和感があります。平たくいうと「コードに問題はなく環境の問題ありき」前提での問い合わせだからです。

一般論ですが、スクリプト含むコード実行では、たいていは「自コードの問題」の場合が多く、環境の問題は2番目3番目が普通です。いただいたエラー「Set-AzureADKerberosServer : 値を Null にすることはできません。」からいえるのは、何らかのパラメータやオブジェクトがNullで、これが違反です」以上のことはわからず、コードを見ないとほとんど何もわかりません。

まずは、ロジックを把握できる範囲でのコードをお知らせいただく必要があると思われます。違う場合は、事実関係を詳細に説明してください。

追記:仕方がないので、詳細を確認したところ詳細エラーが「NotSpecified: (:) [Set-AzureADKerberosServer], ArgumentNullException」とあります。このエラーが「message」パラメーターで出ているというならmessegeパラメータがコマンドで設定され、それが定義通りでない、ということかと思います。で、Set-AzureADKerberosServerですが、messageパラメータというパラメータ名は存在しないと思うのですが、誤って設定されていませんか？

あるいはそれ以前にGet-Credential -Messageパラメータの使い方を誤り、正しく構成できてない、といったことはないでしょうか？例えば、AIで導かれる以下のような手順を実行されているのではないですか？

以下AIの回答

Set-AzureADKerberosServer コマンドレットは、オンプレミスの Active Directory ドメインと Microsoft Entra ID (旧 Azure AD) を統合し、Kerberos 認証を有効にするために使用されます。この設定により、オンプレミスリソースへのシームレスなシングルサインオン (SSO) が可能になります。

手順 1: 必要なモジュールのインストール

まず、PowerShell を管理者権限で開き、以下のコマンドを実行して AzureADHybridAuthenticationManagement モジュールをインストールします。

# TLS 1.2 を有効化 [Net.ServicePointManager]::SecurityProtocol = [Net.ServicePointManager]::SecurityProtocol -bor [Net.SecurityProtocolType]::Tls12 # モジュールのインストール Install-Module -Name AzureADHybridAuthenticationManagement -AllowClobber

手順 2: Kerberos サーバーオブジェクトの作成

以下のコマンドを使用して、オンプレミス Active Directory ドメインに Kerberos サーバーオブジェクトを作成し、それを Microsoft Entra ID に公開します。

# ドメイン名を指定 $domain = $env:USERDNSDOMAIN # Microsoft Entra ID 管理者資格情報を入力 $cloudCred = Get-Credential -Message 'Microsoft Entra ID の管理者アカウントを入力してください' # オンプレミスドメイン管理者資格情報を入力 $domainCred = Get-Credential -Message 'オンプレミスドメイン管理者アカウントを入力してください' # Kerberos サーバーオブジェクトの作成と公開 Set-AzureADKerberosServer -Domain $domain -CloudCredential $cloudCred -DomainCredential $domainCred

手順 3: 設定の確認

作成した Kerberos サーバーオブジェクトが正しく設定されているか確認します。

Get-AzureADKerberosServer -Domain $domain -CloudCredential $cloudCred -DomainCredential $domainCred

PowereSHell IDEで実際に実行して「デバッグ」を行うと、実際の状況がわかります。PowerShellのデバッグ方法については、以下を参照してください。

https://note.com/mahalo_/n/n2f6e14eb5022
水島　研也 0 評価のポイント

2025-10-24T08:31:35.22+00:00

回答ありがとうございました。

Microsoft公式ドキュメントを熟読した結果、回答頂いたとおり環境依存であることが判明しました。

当方の環境では、AADCは別サーバにインストールしていることが後日判明し、AADCサーバからSet-AzureADKerberosServerコマンドレットを実行し正常にKerberos サーバーオブジェクトが作成されました。お騒がせしました。

1 件の回答

お客様の回答

水島　研也 0 評価のポイント

2025-10-24T08:31:35.22+00:00

回答ありがとうございました。

Microsoft公式ドキュメントを熟読した結果、回答頂いたとおり環境依存であることが判明しました。

当方の環境では、AADCは別サーバにインストールしていることが後日判明し、AADCサーバからSet-AzureADKerberosServerコマンドレットを実行し正常にKerberos サーバーオブジェクトが作成されました。お騒がせしました。

Answer 1

こんにちは、水島研也、私はヘンリーです、そして私はあなたの問題についていくつかの洞察を提供したいと思います。あなたの母国語で返信できないことを申し訳ありませんが、文脈をよりよく理解するために内容を翻訳しました。

Cloud Kerberos Trust を使用して Windows Hello for Business を展開しているようです。興味がありますが、セットアップのためにどのドキュメントに従っていますか?$domain と $cloudCred 変数が正しいArgumentNullExceptionことを確認したので、パラメータ名「message」は実際の問題ではなく、より深い何かの症状である可能性があります。

グローバル $cloudCred 管理者に属している場合、"アクセス拒否" エラーはおそらくアカウントに関係していません。代わりに、アクションは Azure AD Connect サービスアカウント (通常はオンプレミスのディレクトリ同期サービスアカウントという名前) によって実行されますが、既定では、Kerberos サーバーオブジェクトを作成するために必要なアクセス許可が Azure AD にありません。

これを直接テストする環境はありませんが、私が見たことに基づいて、PowerShellを管理者として使用して必要な権限を付与してみることをお勧めします。

Azure AD に接続します。 Connect-AzureAD
Azure AD Connect サービスプリンシパルを取得します。 $aadcSp = Get-AzureADServicePrincipal -Filter "DisplayName eq 'On-Premises Directory Synchronization Service Account_{YourAADCServerName}'"
Application.ReadWrite.All アクセス許可ロールを取得します。 $appRole = Get-AzureADServicePrincipal -Filter "AppId eq '00000003-0000-0000-c000-000000000000'" | Get-AzureADAppRole | Where-Object {$_.Value -eq 'Application.ReadWrite.All'}
権限を割り当てます。 New-AzureADServiceAppRoleAssignment -ObjectId $aadcSp.ObjectId -PrincipalId $aadcSp.ObjectId -ResourceId '00000003-0000-0000-c000-000000000000' -Id $appRole.Id

次に、アクセス許可が Azure AD 全体に適用されるまで 5 分から 10 分待ってから、元の Set-AzureADKerberosServer -Domain $domain -CloudCredential $cloudCred コマンドをもう一度実行して、ArgumentNullException がなくなるかどうかを確認します。

参照 AppId と Application.Read.All 権限情報については、Microsoft Graph のアクセス許可リファレンスで確認できます

どうなるか教えてください。

水島　研也 0 評価のポイント

2025-10-24T08:32:08.5833333+00:00

ヘンリーさん回答ありがとうございました。

Microsoft公式ドキュメントを熟読した結果、回答頂いたとおり環境依存であることが判明しました。

当方の環境では、AADCは別サーバにインストールしていることが後日判明し、AADCサーバからSet-AzureADKerberosServerコマンドレットを実行し正常にKerberos サーバーオブジェクトが作成されました。お騒がせしました。