AzureポータルでAADSTS5000224エラーが出る原因と対処法【テナントが無効化された場合】

Azure ポータルにサインインしようとしたときに突然「AADSTS5000224」エラーでブロックされると、ブラウザーの不具合なのか、アカウントが悪いのか、テナントが止まっているのかが分かりづらく非常に不安になります。本記事では、公式ドキュメントとコミュニティ情報をもとに、このエラーの正体・原因・具体的な復旧手順・Microsoft サポートへの依頼テンプレートまで、管理者目線で詳しく解説します。

Azure ポータルで「AADSTS5000224」が出るときに起きていること

Azure ポータル（https://portal.azure.com や https://ms.portal.azure.com）でサインインした際、次のようなメッセージとともに AADSTS5000224 が表示されることがあります。

Error code: AADSTS5000224  
Error message: AADSTS5000224: The tenant you are trying to access has been deauthenticated and is no longer available.  
Try signing in using a new or private browser window.  
If you are a member of another tenant, you can sign in using:  
  ms.portal.azure.com/<tenant-id>  or  ms.portal.azure.com/<tenant-domain>
Trace ID: ...  
Correlation ID: ...  
Timestamp: ...  

一見すると「ブラウザーを変えれば直りそう」「パスワードを間違えたのかな」と感じる文面ですが、実際には：

• テナント（Microsoft Entra ID）が何らかの理由でブロック／無効化されている
• ユーザー側の操作で解除できる設定項目は存在しない
• 多くのケースで セキュリティインシデントや不正の疑い が契機になっている

Microsoft Entra のエラーコード辞書では、AADSTS5000224 = NotAllowedTenantBlockedTenantFraud と定義されており、「このリソースは利用できない。誤りと思われる場合は Microsoft サポートに連絡すること」と説明されています。

また Microsoft Q&A では、最近のセキュリティインシデントにより Azure テナントの認証が一時的に停止された場合にこのエラーが返る、という説明もあります。

さらに別の Q&A では、「リソース／テナントが不正なアクティビティ（fraudulent activities）の疑いでマーキングされたときに生成されるエラー」であると明言されています。

つまり、AADSTS5000224 は「テナント単位のセキュリティブロック」を知らせるサインであり、単純なパスワード間違いやブラウザーキャッシュの問題ではないと理解しておくことが重要です。

AADSTS5000224 の公式定義と意味

Microsoft Entra ID の公式エラーコード一覧では、AADSTS5000224 は次のように定義されています。

• コード： AADSTS5000224
• 名前： NotAllowedTenantBlockedTenantFraud
• 説明：「このリソースは利用できません。誤ってこのメッセージが表示された場合は、Microsoft サポートに連絡してください。」（要旨）

ここから読み取れるポイントは次の通りです。

• 「NotAllowedTenant」：テナントレベルで何らかの「許可されていない状態」に入っている
• 「BlockedTenantFraud」：不正（fraud）の疑いを含むセキュリティ上の理由でブロックされている
• エラーメッセージ自体が「サポートに連絡せよ」と指示している（＝テナント管理者＋Microsoft サポートによる対応が前提）

GitHub の Microsoft 認証ライブラリの issue でも、AADSTS5000224 が返るケースについて「リソースが無効化されており、ユーザー側の操作で直せる状況ではない」という趣旨の説明がなされています。

AADSTS5000224 と AADSTS5000225（非アクティブテナント）の違い

見た目が似ているため混同されがちなのが AADSTS5000225 です。AADSTS5000225 は、長期間利用されていないテナントが「非アクティブ」と判断されて一時的にアクセス不能になった状態で返されるエラーです。

エラーコード	意味（要約）	典型的な原因	誰が直せるか	緊急度
AADSTS5000224	テナント／リソースがセキュリティ・不正疑いなどでブロックされ、STS レベルで利用不可	セキュリティインシデント、不正アクセス疑い、バックエンド側の安全性確保のための強制ブロックなど	Microsoft サポート（バックエンドでのブロック解除が必要）	高（業務テナントなら即エスカレーション推奨）
AADSTS5000225	テナントが「非アクティブ」とされ、アクセス不能状態になっている	長期間サインインや利用がないテナントが、自動ポリシーにより非アクティブ化された状態	Microsoft サポート（20 日以内であれば再有効化を依頼可能）	クリティカル（20 日を超えるとテナントが削除され、復旧不能）

どちらも「Microsoft サポートへの問い合わせ」が必要という点は共通ですが、

• AADSTS5000224：セキュリティ／不正疑い起点のブロック
• AADSTS5000225：非アクティブ化ポリシー起点のブロック（ライフサイクル管理）

と、意味と背景がまったく異なります。ログやエラーメッセージで必ず コード番号を確認 しましょう。

まずユーザー側でできる一次切り分け（5〜10 分）

テナントが本当にブロックされているかどうかを見極めるには、まず「ブラウザーやテナントの取り違え」という単純要因を除外するのが近道です。次の手順は エンドユーザーやヘルプデスク担当者がすぐ試せる一次切り分けです。

手順	目的	判定できること
プライベート／シークレット ウィンドウで再サインイン	Cookie・キャッシュ・既存セッションの影響を排除	ブラウザー要因か、サーバー側要因かの切り分け
ms.portal.azure.com/<tenant-id> でアクセス	サインイン先を特定のテナントに固定	複数テナント所属時の「別テナントに迷い込む」問題を回避
ms.portal.azure.com/<tenant-domain> （例：contoso.onmicrosoft.com）	テナント ID が分からない場合でもテナントを明示	同上。B2B ゲスト／個人アカウント等での取り違えを減らす
別ブラウザー・別デバイスで再現確認	PC 固有の問題・プロキシの影響を切り分け	全デバイスで同じエラーなら「テナント側」が強く疑われる
他の全体管理者（グローバル管理者）アカウントでサインイン	特定ユーザーだけがブロックされているかどうかの確認	全管理者アカウントが同じコードで失敗するならテナントブロックの可能性大

プライベート／シークレット ウィンドウでの再サインイン

• Edge: 「…」メニュー > 新しい InPrivate ウィンドウ
• Chrome: 「︙」メニュー > シークレット ウィンドウを開く
• Firefox: メニュー > 新しいプライベートウィンドウ

プライベートウィンドウで https://ms.portal.azure.com を開き、同じアカウントでサインインします。これでも AADSTS5000224 が再現するようであれば、単純なセッション不整合ではなく、テナント側の問題の可能性が高くなります。

テナントを明示してサインインする

エラー画面のメッセージにあるように、URL でテナントを指定してサインインします。

https://ms.portal.azure.com/<tenant-id>  
https://ms.portal.azure.com/<tenant-domain>

例：

• https://ms.portal.azure.com/00000000-0000-0000-0000-000000000000
• https://ms.portal.azure.com/contoso.onmicrosoft.com

複数のテナントに所属している場合や、個人 Microsoft アカウント（MSA）と職場／学校アカウントを併用している場合、ブラウザーが「前回使っていた別テナント」を覚えていて、そちら側でブロックが起きている、というパターンがよくあります。

テナントを明示しても同じ AADSTS5000224 が出る場合、そのテナントが実際にブロックされている可能性がかなり高いと考えて良いでしょう。

別の管理者アカウントでの再現確認

全体管理者（グローバル管理者）権限を持つアカウントが複数ある場合、そのうち別のアカウントで同じテナントにサインインしてみます。

• 別アカウントでは入れる → 特定ユーザーのみブロック・ポリシーなどの可能性
• どの管理者アカウントでも同じエラー → テナント全体に対するブロックの可能性が濃厚

「全アカウントが同じテナント指定 URL で AADSTS5000224 になる」のであれば、早めに Microsoft サポートへのエスカレーションを検討すべきフェーズです。

管理者向け：AADSTS5000224 発生時の復旧フロー

ここからは、テナント管理者・情シス・セキュリティ担当向けの具体的な対応フローです。

1. エラー画面の証跡情報を必ず保存する

まずは、ユーザーから次の情報を必ず集めます。

• エラーコード：AADSTS5000224
• Timestamp (UTC)
• Trace ID
• Correlation ID
• アクセスしようとした URL（例：https://ms.portal.azure.com/contoso.onmicrosoft.com）
• 利用したアカウント（UPN / メールアドレス）

これらは Microsoft 側のサインインログと突き合わせるためのキーであり、サポートにケース起票するときにほぼ確実に要求される情報です。

2. サインインログ・監査ログの確認

もし他テナントや別の管理アカウント経由で Microsoft Entra 管理センターに入れる場合は、次のようにログを確認します。

1. Microsoft Entra 管理センターにサインイン
2. 監視 > サインインログ を開く
3. エラーコード = 5000224 でフィルタリングする
4. 失敗イベントの詳細を開き、不審な IP・国・アプリ・条件付きアクセスの評価結果などを確認

ここで、明らかなパスワードスプレーや不審な場所からの大量サインインが見つかる場合、セキュリティインシデントとして社内 CSIRT と連携して調査を進めることが推奨されます。

3. Microsoft サポートへ「テナントブロック解除」のケース起票

AADSTS5000224 は、テナントが STS レベルでブロックされているため、ポータル側の設定変更では解除できません。

そのため、Microsoft サポートに対して次のような依頼を行います。

• テナント ID / テナントドメインを指定して、「AADSTS5000224: NotAllowedTenantBlockedTenantFraud が発生している」ことを伝える
• 先ほど保存した Trace ID / Correlation ID / Timestamp を添付する
• どのサービスにどの程度の影響があるか（Azure ポータル／CLI／PowerShell／Azure DevOps 等）を説明する

Azure ポータルにそもそも入れない場合は、電話サポートや一般のサポート窓口（グローバル サポート電話番号）からケースを作成する必要があります。

4. サポートに伝えるべき情報を整理する

サポートとのやり取りをスムーズにするため、次のような情報を一覧できる表を作っておくと便利です。

項目	内容例
Tenant ID	00000000-0000-0000-0000-000000000000
テナントドメイン	contoso.onmicrosoft.com / contoso.com
エラーコード	AADSTS5000224（NotAllowedTenantBlockedTenantFraud）
Timestamp (UTC)	2025-10-28T08:40:18Z など
Trace ID / Correlation ID	エラー画面に表示された値
影響範囲	全ユーザーが Azure ポータル / CLI / PowerShell にサインイン不可、など
直近の変更	条件付きアクセスポリシーの変更有無、特定 IP のブロック設定変更など
セキュリティインシデント有無	疑わしいサインインが検知され調査中／インシデントなし、など

5. セキュリティ観点での追加調査と再発防止

テナントブロックは、単に「解除して終わり」ではなく、なぜブロックされたのかを確認し、必要に応じて対策を打つ必要があります。

• サインインログ・監査ログで不審なアクティビティがないか確認
• 条件付きアクセスや MFA の設定を見直し、リスクベースでより強固なポリシーを適用
• テナント全体の特権アカウント（全体管理者、特権ロール管理者など）の数と管理方法を整理
• ブレークグラス アカウント（MFA 要件を分離した緊急用アカウント）を用意・定期的に検証

Microsoft サポート依頼テンプレート（コピー用）

実際にケース起票する際に、そのまま説明欄に貼り付けて使えるテンプレート例です。

現象:
Azure ポータル サインイン時に AADSTS5000224 エラーが発生し、
テナントにアクセスできません。

エラー詳細 (例):
Error code: AADSTS5000224
Error message: AADSTS5000224: The tenant you are trying to access has been deauthenticated and is no longer available.
Error details: AADSTS5000224: We are sorry, this resource is not available. If you are seeing this message by mistake, please contact Microsoft support.
Trace ID: <Trace ID>
Correlation ID: <Correlation ID>
Timestamp (UTC): <Timestamp>

Tenant ID / ドメイン:
- Tenant ID: <GUID>
- Tenant domain: <contoso.onmicrosoft.com / contoso.com>

影響範囲:
- 全ユーザーが Azure ポータルへサインイン不可
- Azure CLI / PowerShell からも同様のエラーで認証不可
- (<その他の影響サービスがあれば記載>)

直近の変更 / 事象:
- 条件付きアクセス ポリシーの変更有無:
- 不審なサインインやセキュリティインシデントの有無:
- (<分かる範囲で記載>)

依頼内容:
- 当該テナントが「NotAllowedTenantBlockedTenantFraud」としてブロックされた理由の調査
- 正当な利用である場合、テナント／認証の再有効化
- 再発防止のために推奨される設定や運用上のアドバイスがあれば併せてご教示ください

よくある誤解と別エラーとの混同

「ブラウザーの不具合」だと思ってしまう

AADSTS5000224 のエラー文には「新しいまたはプライベート ブラウザー ウィンドウでサインインしてください」と書かれているため、「ブラウザーがおかしいのかな？」と考えがちです。

しかし、これはあくまで 一次切り分けのためのアドバイスであり、テナントブロックそのものが解消されるわけではありません。プライベートウィンドウで試し、テナントを明示しても同じコードが出るのであれば、ブラウザーではなくテナントの状態が問題だと判断しましょう。

AADSTS5000225（非アクティブテナント）との混同

先述の通り、AADSTS5000225 は「非アクティブ化されたテナント」に対するエラーです。公式ガイダンスでは、非アクティブ状態になってから 20 日以内であれば管理者が再有効化を依頼できるものの、それを過ぎるとテナント自体が削除され、復旧不能と説明されています。

ポータルに出る英語メッセージも似ていますが、

• 5000224：The tenant you are trying to access has been deauthenticated and is no longer available.
• 5000225：This tenant has been blocked due to inactivity.

と、背景と意味は大きく異なります。丁寧にログやスクリーンショットを確認し、数字の末尾（4 か 5 か）を見誤らないように注意しましょう。

再発防止のために見直したいポイント

AADSTS5000224 自体は Microsoft 側のブロックであり、テナント管理者が「スイッチひとつ」で防げるものではありません。ただし、ブロックされても致命的なダウンにならない設計にしておくことは可能です。

1. ブレークグラス アカウントの整備

• 通常の管理者とは別に、緊急用の「ブレークグラス アカウント」を用意する
• 普段の運用では使用せず、「金庫に入った鍵」として保持する
• 条件付きアクセスや MFA 要件を他アカウントとは分離し、同じ設定変更でまとめてロックされないように設計する

2. サインインログとアラートの活用

• Azure Monitor や Microsoft Sentinel と連携し、サインインログの異常（海外からの大量試行など）を検知
• 一定しきい値を超えたら自動でアラートを飛ばす
• 不審な動きが見えた時点で早期にテナント管理者が対処できるよう運用を整える

3. 条件付きアクセスと MFA の強化

• 全ユーザーに多要素認証（MFA）を要求し、「パスワード単独認証」を残さない
• 信頼された場所／デバイスのみにアクセスを制限するポリシーを設計
• 高リスクサインイン・高リスクユーザーに対しては追加のステップ（パスワードリセットや再検証）を自動で要求

4. 相談ルートと連絡先の明文化

• 「Azure に入れない」「AADSTS5000224/5000225 が出た」ときに、誰に連絡すべきかを社内ポータル等に明記
• Microsoft サポートへのケース起票を誰が行うのか、承認フローや連絡先を事前に決めておく

まとめ：AADSTS5000224 を見たら「テナントの状態」を疑う

最後に、AADSTS5000224 が出たときに押さえておきたいポイントを整理します。

• AADSTS5000224 = NotAllowedTenantBlockedTenantFraud は、テナントがセキュリティ／不正疑いでブロックされた際に返されるコードである
• プライベートブラウザーやテナント明示 URL での再試行は一次切り分けとして有効だが、テナントブロックそのものは解消されない
• エラー画面の Trace ID / Correlation ID / Timestamp を必ず控え、Microsoft サポートにケースを起票するのが本質的な復旧ルート
• AADSTS5000225（非アクティブテナント）とは原因も対処も異なり、特に 5000225 では「20 日を超えるとテナントが削除され復旧不可」という制約がある
• 日頃からログ監視・条件付きアクセス・ブレークグラス アカウント整備などを行い、「ブロックされても復旧できる体制」を作っておくことが重要

AADSTS5000224 は、ユーザーが何度試行しても解消しない種類のエラーです。逆に言えば、ユーザーに「何度も試す」ことを強いない運用を整え、エラーが出たら証跡を取りつつ、迅速に管理者・Microsoft サポートにエスカレーションできるようにしておくことが、ダウンタイムとストレスを最小化する近道になります。