試用版 Microsoft Entra ID にサインインできない時の対処法と課金リスクを防ぐ解約手順

試用版の Microsoft Entra ID（旧 Azure AD）を試してみたら、グローバル管理者でサインインできなくなり、試用終了後の課金も心配……。そんな「ロックアウト」と「解約不安」が同時に発生したときに、どこから手を付ければよいかを、実際の Q&A 事例をもとに整理します。

試用版 Microsoft Entra ID にサインインできないときの全体像

この記事が扱うのは、次のような非常に現実的なシナリオです。

• 試用版の Microsoft Entra ID（旧 Azure AD）を有効化した。
• グローバル管理者アカウント（***@***.onmicrosoft.com）でログインできなくなった。
• パスワード リセット画面の本人確認で、自分のものではないように見える連絡先（一部伏字）が表示されて戸惑った。
• サインインできないため、Azure ポータルや Microsoft 365 管理センターからサポート チケットも起票できない。
• 試用終了日（例：2025-08-31）以降に課金されてしまわないか不安。

このケースは実際に Microsoft Q&A で質問された内容が元ネタで、最終的には「登録済みの個人 Gmail を使った本人確認 → パスワード リセット → 試用版の解約」で解決しています。

つまり、マスク表示された連絡先が「本当に自分のものかどうか」を冷静に見極めることが第一歩です。そのうえで、アクセスを取り戻したあとに確実に試用版を停止し、課金リスクを断ち切る必要があります。

実際のトラブル事例：Trial Entra ID で管理者ロックアウト

元になった Q&A スレッドの流れを、少し噛み砕いて紹介します。

• ユーザーは試用版の Azure Entra ID テナントを作成し、Microsoft Authenticator による MFA を有効化。
• グローバル管理者アカウントは Ge**@En**.onmicrosoft.com のようなクラウド専用アドレス。
• 後日、試用版を解約しようとしてログインしたところ、サインインできない。
• 「パスワードを忘れた場合」のフローに進むと、本人確認画面に見慣れない（と思い込んだ）連絡先がマスク表示されていた。
• アカウント復旧の申請も、「提出情報が不十分」と判断されて却下された。
• サインインできないのでサポートチケットも出せず、「試用終了日以降に課金される」というメールまで届き不安がピークに。

その後、Microsoft 側とのオフラインやり取りの中で、

• 本人確認画面に出ていたマスク表示の連絡先が自分の個人 Gmailであることに気付く。
• その Gmail でワンタイムコードを受信し、セルフサービス パスワード リセット（SSPR）でパスワードを変更。
• グローバル管理者として再度ログインできるようになり、ポータル上から試用版を解約。

という形で無事解決しました。

項目	内容
テナント種別	試用版 Microsoft Entra ID（Azure AD）
ロックされたアカウント	グローバル管理者（***@***.onmicrosoft.com）
表面的な問題	本人確認画面に、自分のものではないように見えるマスク済みの連絡先が表示された
真の原因	実は本人の個人 Gmail がマスク表示されていたが、伏字のため他人のアドレスに見えていた
最終的な解決策	その Gmail で本人確認し、パスワードリセット → アクセス回復後に試用版を解約

まず試すべき最短ルート：自力でアカウントを復旧する

グローバル管理者本人がまだ何らかの認証手段を持っているなら、セルフサービス パスワード リセット（SSPR）を使って自力で復旧するのが最短です。

テナントを明示して Azure ポータルにアクセスする

まずは、対象テナントを明示した URL からポータルに入ってみます。

1. ブラウザで次の形式の URL にアクセスします。
   https://portal.azure.com/<テナント名またはテナント ID>
   例：https://portal.azure.com/contoso.onmicrosoft.com、https://portal.azure.com/<GUID のテナント ID>
2. グローバル管理者アカウント（***@***.onmicrosoft.com）でサインインを試みます。
3. サインインに失敗したら、「サインイン オプション」または「パスワードを忘れた場合」リンクを選び、パスワード リセット画面に進みます。

テナントを明示することで、別の Microsoft アカウントに誤ってサインインしてしまうリスクを減らせます。

本人確認画面のマスク表示を「自分かもしれない」と疑ってみる

SSPR の本人確認画面では、セキュリティのために連絡先が次のように一部マスク表示されます。

• g***l.com → gmail.com の可能性
• @o***k.com → @outlook.com の可能性
• 電話番号：上位桁が伏字で「***-***-1234」など

このマスク表示により、自分の連絡先でも一見すると他人のものに見えてしまうことがあります。今回の事例では、まさにこの「思い込み」が復旧を遅らせたポイントでした。

画面上の表示例	実際に考えられる連絡先	チェックのポイント
g***l.com	gmail.com	自分の Gmail を登録した覚えがないか思い出す
@y***o.co.jp	@yahoo.co.jp	昔から使っているフリーメールがないか確認
***-***-1234	自身の携帯番号の下 4 桁が 1234	複数の電話番号を持っている場合も含め、下 4 桁に注目

マスク表示の候補に「心当たりが 1 つでもある」なら、その連絡先は高い確率で自分のものです。迷ったら、手元のスマホやメールボックスを確認しつつ、該当しそうなものを選んでみましょう。

SSPR でパスワードをリセットする手順

本人確認に使えそうな連絡先が見つかったら、以下の流れでパスワードをリセットします。

1. 確認用の連絡方法（メールまたは電話）を選択します。
2. 画面の指示に従い、メールアドレスの全体や電話番号の下 4 桁などを入力して認証を開始します。
3. 届いたコード（ワンタイム パスコード）を画面に入力し、本人確認を完了します。
4. 新しいパスワードを設定します。できれば次のような強力なパスフレーズを推奨します。
   • 英大文字・小文字・数字・記号を混在
   • 12〜16 文字以上
   • 辞書に載っている単語の羅列は避ける
5. リセット完了後、すぐに https://portal.azure.com/<テナント> や https://entra.microsoft.com にアクセスして、ログインできるか確認します。

ここまで完了すれば、グローバル管理者としてのアクセス権は復旧完了です。次のステップは、認証方法の整理と試用版の確実な解約です。

復旧直後に必ずやるべき 3 つの作業

作業	目的	ポイント
認証方法の棚卸し	不明な連絡先・デバイスが紐づいていないか確認	Entra 管理センター > ユーザー > 自分のアカウント > 認証方法
試用版の解約 / 自動更新オフ	試用終了後に課金されるリスクを排除	Azure サブスクリプション / Microsoft 365 ライセンス双方を確認
MFA / 条件付きアクセスの見直し	管理者自身が再び締め出されないようにする	テスト用グループや検証テナントでの検証を挟む

特に試用版の解約と自動更新の無効化は、課金リスクを最小化するうえで最優先です。

試用版・サブスクリプションを確実に解約する方法

Entra ID のような ID テナントだけでなく、Azure サブスクリプションや Microsoft 365 の試用版が紐づいているケースも多いため、「どこを止めれば良いか」を整理しておきましょう。

Azure サブスクリプション（Entra ID の裏側）を解約する

Azure ポータルから Azure サブスクリプションを解約する一般的な手順は次の通りです。

1. https://portal.azure.com にサインインする。
2. 左ペインまたは検索ボックスから「Cost Management + Billing（コストの管理 + 請求）」を開く。
3. 「サブスクリプション」を選択し、対象の試用版サブスクリプションをクリック。
4. サブスクリプションの概要ページ上部にある「キャンセル」または「サブスクリプションをキャンセルする」をクリック。
5. キャンセル理由などを選択し、画面の案内に沿って手続きを完了する。

キャンセル後もしばらくは「無効」「停止中」といった状態で残りますが、新たな請求は基本的に発生しません。念のため、請求書やカード明細を 1〜2 か月チェックしておくと安心です。

Microsoft 365 の無料試用版がある場合

Entra ID の試用と併せて、Microsoft 365 Business/Enterprise の試用版を有効化しているケースも少なくありません。その場合、Microsoft 365 管理センター側の自動更新もオフにしておきます。

1. https://admin.microsoft.com にグローバル管理者でサインイン。
2. 「請求 > 製品とサービス」（または「Billing > Your products」）を開く。
3. 対象の試用版サブスクリプションを選択。
4. 「サブスクリプションをキャンセル」または「定期請求の編集」から 定期請求（自動更新）をオフにする。

クレジットカードなどの支払方法が登録されていない試用版であれば、定期請求をオフにしておけば期限到来で自動的に終了し課金されないケースもあります。

個人向け Microsoft アカウントの定期請求も念のため確認

場合によっては、Azure / Microsoft 365 とは別に、個人向けの Microsoft 365 や OneDrive、Xbox などのサブスクリプションが Microsoft アカウント（個人用）で紐づいていることもあります。その場合は、account.microsoft.com/services から定期請求を確認します。

1. ブラウザで https://account.microsoft.com/services にアクセスし、個人の Microsoft アカウントでサインイン。
2. 一覧から該当するサブスクリプションを探し、「管理」をクリック。
3. 「定期請求をオフにする」または「キャンセル」リンクがあれば、それを実行。

サービス種別	確認するポータル	よく使うメニュー	ポイント
Azure 試用版	Azure ポータル	Cost Management + Billing > サブスクリプション	対象サブスクリプションの「キャンセル」を実行
Microsoft 365 Business / Enterprise 試用版	Microsoft 365 管理センター	請求 > 製品とサービス	サブスクリプションの「キャンセル」または「定期請求オフ」
個人向けサブスクリプション	Microsoft アカウント ポータル	サービスとサブスクリプション	契約単位で「定期請求オフ」「キャンセル」を確認

自力復旧ができない場合：他の管理者 / 緊急アクセス / サポートの出番

ここまでの手順で復旧できれば理想的ですが、現実には

• グローバル管理者がその 1 アカウントしかない
• 本人確認に使える連絡先も忘れてしまった
• 条件付きアクセスの設定ミスで管理者全員がロックアウトした

といったケースも起こり得ます。その場合のルートを整理しておきます。

別の管理者や break-glass アカウントがある場合

もし以下のようなアカウントが残っていれば、そこから状況を立て直せます。

• 別のグローバル管理者
• 特権認証管理者（Privileged Authentication Administrator）など、パスワード リセット権限を持つロール
• 緊急アクセス（break-glass）用に用意した管理者アカウント

復旧の大まかな流れは次の通りです。

1. 上記いずれかの管理者アカウントで https://entra.microsoft.com へサインイン。
2. 「ユーザー」からロックアウトされた管理者アカウントを開く。
3. 「パスワードをリセット」で新しい一時パスワードを発行する。
4. 「認証方法」から、Authenticator などの認証手段を再登録するための案内を本人に行う。
5. 条件付きアクセスが原因の場合は、一時的にそのユーザーをポリシーの対象外にする。

Microsoft も公式に「緊急アクセス アカウント（break-glass）を少なくとも 2 つ用意しておく」ことを推奨しており、通常の条件付きアクセスから除外しておくことが推奨されています。

テナントの管理者全員がロックアウトされた場合

もっとも厄介なのは、

• グローバル管理者が 1 人だけだった
• break-glass アカウントも用意していなかった
• その 1 人がロックアウトされ、誰もテナントに入れない

という状態です。この場合、Microsoft 側に「テナント所有者」であることを証明し、アクセス復旧を依頼するしかありません。

代表的な手順は次のようになります。

1. もし別の Azure テナント（個人の無料テナントなど）を持っている場合は、そのアカウントで https://portal.azure.com にサインインします。
2. ポータル右上の「ヘルプ + サポート」または「サポート」から新しいサポート リクエストを作成します。
3. サポート種別で「アカウント / サブスクリプション」や「ID / テナントアクセス」など、近いカテゴリを選択します。
4. 問題のテナント ID、カスタム ドメイン名（例：example.com）、ロックアウトの経緯などを詳しく記載します。
5. 必要に応じて、ドメインの DNS 設定や請求書のコピーなど、テナント所有者であることを示す証跡の提出を求められます。

もし他に Azure テナントがない場合は、Microsoft の「グローバル カスタマー サービス」など、電話窓口からサポートに入るルートが案内されています。いずれにしても、証跡が不十分だと復旧が拒否される可能性があるため、次節の「準備しておくべき証跡」を参考にできるだけ揃えておきましょう。

サポートに備えて用意しておきたい情報

• テナント ID（ディレクトリ ID）
• テナント名（contoso.onmicrosoft.com など）
• カスタム ドメイン名とその DNS 管理画面へのアクセス権
• Azure / Microsoft 365 の請求書や契約メール、請求書 ID
• Azure サブスクリプション ID / 名前
• ロックアウトが発生した日時や、直前に行った設定変更（条件付きアクセス、MFA など）

CSP / リセラー経由で契約している場合は、販売店のサポート窓口から Microsoft へエスカレーションしてもらうルートもあります。自社で直接 Microsoft と契約しているのか、販売パートナー経由なのかを社内で確認しておくと、いざというときの動きがスムーズです。

なぜロックアウトが起きるのか：ありがちな原因

今回のようなロックアウトは、単なる「パスワード忘れ」だけではなく、設定や運用のクセが重なって起きることがほとんどです。ありがちなパターンを整理しておきます。

本人確認手段のマスク表示による「思い込み」

先ほど見たように、SSPR の本人確認画面では連絡先がマスク表示されます。この仕様はセキュリティ上必須ですが、同時に「自分の連絡先に見えない」という心理的なトラップを生みます。

• 昔使っていたフリーメールやサブアドレスを登録していたことを忘れている
• 電話番号を変更したあと、古い番号が残っている
• 業務用と個人用で似たアドレスを複数持っており、マスク表示では区別がつきにくい

マスク表示を見たときは、「もしかしたら自分のものかも？」と一度立ち止まって考えることが大切です。

条件付きアクセス / セキュリティ強化による「自爆」

Entra ID では、MFA 必須やアクセス元制限などを行うための条件付きアクセス ポリシーを柔軟に組めます。しかし、

• テストをせずにいきなり「すべてのユーザー」に厳しいポリシーを適用した
• 管理者自身のデバイス登録や Authenticator の再登録を想定していなかった
• 誤った条件で「ブロック」ポリシーを有効化してしまった

といった理由で、管理者自身がテナントから締め出されるケースが現実に多く発生しています。最近ではテナント全体に対する MFA 必須化の流れもあり、設定を誤ると影響が非常に大きくなります。

管理者が 1 アカウントしかいない

中小規模の環境では、「IT 担当者 1 名のみがグローバル管理者」という構成も珍しくありません。しかし、この構成は

• その担当者が退職・長期休暇・事故・端末紛失などでアクセスできなくなる
• 今回のように 1 アカウントがロックアウトすると即テナント全体が孤立する

といった意味で、BCP（事業継続）の観点からも非常に危険です。

再発防止：管理者ロックアウトを避けるためのベストプラクティス

最後に、同じトラブルを繰り返さないための再発防止策をまとめます。「今すぐできること」から順に潰していくと効果的です。

管理者アカウントは必ず複数 + 緊急アクセス（break-glass）を用意

• グローバル管理者は最低 2 名以上を別アカウントで用意する。
• さらに、条件付きアクセスの対象外となる緊急アクセス（break-glass）アカウントを 1〜2 個作成しておく。
• 緊急アクセス アカウントは
  • <tenant>.onmicrosoft.com ドメインのクラウド専用アカウントとする
  • 強力で長いパスフレーズを設定し、パスワード有効期限を無効にする
  • 資格情報を金庫や企業のパスワードマネージャーなどで厳重に保管する
  • 通常は日常運用に使わず、ログインがあった場合は即座に監査する

近年のガイダンスでは、緊急アクセス アカウントであっても FIDO2 などの強力な MFA を組み合わせることが推奨されています。

管理者 1 人あたり複数の認証方法を登録しておく

Entra ID の SSPR / MFA では、複数の認証方法を登録できます。

• Microsoft Authenticator（通知 / ワンタイムコード）
• 電話（音声通話 / SMS）
• 予備メール アドレス（個人 Gmail など）
• FIDO2 セキュリティキー / パスキー

管理者アカウントについては、最低 2 種類以上の認証方法を登録しておくと安心です。特に、

• 業務用スマホとは別経路の個人メールや固定電話を登録しておく
• 物理デバイスの紛失に備えて FIDO2 キーを 2 本用意し、別々の場所で保管する

といった「多重化」が効いてきます。

試用開始時に「終了日」と「解約手順」を必ずメモする

試用版を有効化するときには、次の 2 つをセットで運用に組み込むと良いでしょう。

• カレンダーに「試用終了日 – 7 日」「試用終了日 – 1 日」の予定を登録し、通知を飛ばす。
• 「どのポータルで」「どのサブスクリプションを」「どうやって止めるか」を簡単な運用手順書として残す。

たとえば、社内 Wiki や OneNote に次のようなテンプレートを作っておくと便利です。

項目	記入例
テナント名	contoso.onmicrosoft.com
試用開始日 / 終了日	2025-07-01 / 2025-08-31
Azure サブスクリプション名	Azure free trial
解約手順メモ	Azure ポータル > Cost Management + Billing > サブスクリプション > 試用版を選択 > キャンセル
Microsoft 365 試用版	有 / 無（ある場合はプラン名）
解約手順メモ（M365）	admin.microsoft.com > 請求 > 製品とサービス > 試用版を選択 > 定期請求オフ

重大なポリシー変更は「検証テナント」か「パイロット」で先に試す

条件付きアクセスや MFA の強化、SSPR の有効化など、影響範囲が大きい設定変更は、いきなり本番全体に適用せず、

• 別の検証テナントで試す
• 本番テナント内に「パイロット グループ」を作成し、限定的に適用してログやサインイン履歴を確認する
• 条件付きアクセスでは「レポート専用」モードで事前検証する

といった段階的なアプローチを取りましょう。特に管理者アカウントについては、常に最低 1 つはポリシー対象外の退避アカウントを確保しておくことが重要です。

定期的な棚卸し：サインインログと認証方法を確認する

最後に、定期的な「棚卸し」をルーチンに組み込みます。

• Entra 管理センターの「サインイン」ログで、不審な国・IP アドレスからのアクセスがないか確認する。
• 「セキュリティ > ID 保護」などでリスクの高いサインインが検出されていないか確認する。
• 管理者アカウントの認証方法を半年〜年 1 回程度棚卸しし、不要な連絡先・古い端末登録を削除する。
• 緊急アクセス アカウントが問題なくサインインできるか、年に数回テストログインする。

チェック項目	推奨頻度	備考
管理者の認証方法の棚卸し	6〜12 か月ごと	利用していないメール・電話番号・端末を削除
緊急アクセス アカウントの動作確認	3〜6 か月ごと	サインインできるか、ロールが正しく付与されているか確認
条件付きアクセス ポリシーの見直し	年 1 回以上	新しいセキュリティ要件や業務変更に合わせて調整
試用版・不要サブスクリプションの棚卸し	四半期ごと	未使用のライセンスや試用版を停止

まとめ：本人確認 → パスワード リセット → 試用解約の順で落ち着いて対処

試用版の Microsoft Entra ID でグローバル管理者がサインインできなくなり、試用終了後の課金も心配……という状況は、経験がないと非常に焦ります。しかし、実際の事例と Microsoft の公式情報から整理すると、取るべきステップは比較的シンプルです。

• まずは SSPR の本人確認画面を見直し、「マスク表示の連絡先が本当に他人のものか？」を冷静に確認する。
• 自分の予備メールや電話番号で本人確認できるなら、そのままパスワードをリセットしてログインを回復する。
• ログイン直後に、認証方法の棚卸しと試用サブスクリプションの解約 / 自動更新オフを必ず実施する。
• 自力復旧が難しい場合は、別の管理者・break-glass アカウント・Microsoft サポートという順に頼る。
• 再発防止として、複数管理者・緊急アクセス・複数認証手段・試用管理の 4 本柱を整備する。

ひとことで言えば、「登録済みの予備メールで本人確認 → パスワード リセット → ログイン後に試用を解約」が王道パターンです。自分の連絡先でもマスク表示で見落としやすい点に注意しつつ、緊急アクセスや代替認証の多重化で、次回以降は「ロックアウトしない設計」を目指していきましょう。