多要素認証を強制にするとユーザ認証がループする

こんにちは。

ご提示いただいた事象は Windows 365 Enterprise 環境における多要素認証 (MFA) の不整合に起因するものであり、Windows for Business (オンプレミス版 Windows 10/11) とは直接関係ありません。 つまり、これはクラウドサービス側の認証フローの問題です。

今回の「Authenticator アプリで承認 → 確認コード入力 → 再度承認要求」というループは、Azure AD 側での認証方式の競合が原因で発生することが多いです。 典型的には、ユーザに対して「Authenticator アプリによるプッシュ通知承認」と「Authenticator アプリのコード入力」の両方が有効化されている場合、サインイン時に二重要求が発生し、結果として認証が失敗します。 サインインログに「invalid username or password」と出ているのは、実際には資格情報が誤っているわけではなく、MFA の検証が正しく完了できずに認証が破棄されている状態です。

対応としては、Azure AD 管理ポータル (Entra ID) の「Authentication methods」ポリシーを確認し、対象ユーザに対して Authenticator アプリの使用方法を一つに統一することが推奨されます。 具体的には「プッシュ通知承認」か「コード入力」のどちらかを選択し、両方を同時に必須にしないように構成してください。 また、Conditional Access ポリシーで MFA 要件が二重に適用されていないかも確認する必要があります。

一時的に MFA を無効化するとサインインできるのは当然ですが、これは恒久的な解決策ではありません。 恒久対応は「MFA 設定の整理」と「ユーザ登録情報の再初期化」です。 ユーザの Authenticator 登録を一度リセットし、再度正しい方法で登録させることでループは解消されます

何かお役に立てたでしょうか？ もし、問題の理解を深めるのに役立つようでしたら、ぜひご回答をお待ちしております。 他にご質問がございましたら、お気軽にメッセージをお寄せください。 良い一日を！

ドミック・ヴォー。