Azure ポータルが6桁のMFAコードを求めるのに、Microsoft Authenticator は8桁コードを表示してしまいサインインできない――この“桁数不一致”は、ほぼ例外なく「個人用Microsoftアカウント（MSA）として登録されたAuthenticator」をAzure（組織アカウント）に使おうとしていることが原因です。本記事では仕組みから再登録手順、運用の落とし穴、再発防止までを実務目線で詳しく解説します。
問題の全体像（結論ファースト）
まずは発生条件と対処の全体像を押さえます。要点は「MSAの8桁 と Azure（Entra ID）の6桁 は別物」という一点です。
| 課題 | 原因 | 最短の解決策 |
|---|---|---|
| Authenticator は8桁コードを出すのに、Azureポータルは6桁コードを要求して通らない | Authenticator に個人用 Microsoft アカウント（MSA）として追加されている。MSAは仕様上8桁TOTPを採用。対して Azure（職場／学校アカウント＝Microsoft Entra ID）は6桁TOTPや番号一致プッシュ通知を用いるため不一致が起こる | Authenticator を正しい種類（職場／学校アカウント）で再登録する。 ブラウザーで mysecurityinfo.microsoft.com または aka.ms/mfasetup にサインイン → 既存の「Microsoft Authenticator」方式を削除 → 「認証方法を追加」→「Authenticator アプリ」→ 種別は職場または学校を選び、QRコードを再スキャン。以降は6桁コードまたは番号一致で認証可能 |
| そもそも自分は「職場／学校アカウント」を持っていないはず | Azure でサブスクリプションやリソースを扱う際は、裏側でテナント（組織ディレクトリ）が必ず存在する。MSAで契約していても、サインイン時には組織側の表現（ゲスト／メンバー）が使われることがある | サインイン画面で「個人用」と「職場または学校」の選択が出たら、Azureポータルでは職場または学校を選ぶ。Authenticator も同じ種別で登録 |
| プッシュ通知で番号一致が出る時は通るが、出ない時に困る | テナント側で「番号一致（Number Matching）」が既定・必須になっている可能性。ネットワークや端末状態によりプッシュが届かず、コード入力にフォールバックすると桁数不一致に直面 | Authenticator を職場／学校アカウントで再登録し、6桁TOTPも使えるようにしておく。併せてSMSや音声通話などバックアップ手段を登録し、オフラインや電波不良時に備える |
| 唯一の全体管理者（グローバル管理者）がロックアウト | MFA未完了で管理画面に入れない | 別端末のバックアップ方法（SMS/音声通話/FIDO2/一時アクセスパス等）を用意。無い場合はサポート経由で本人確認の上、復旧を依頼 |
なぜ「8桁」と「6桁」が存在するのか（技術的背景）
Microsoft Authenticator が表示する数字は、TOTP（Time-based One-Time Password）という時刻ベースのワンタイムパスワード方式に由来します。TOTPは一般に「桁数（digits）」「更新間隔（period）」「ハッシュ方式」などのパラメータを持ち、サービス側が許可した設定で認証サーバーが検証します。
- 個人用Microsoftアカウント（MSA）：Authenticator では8桁TOTPを使用する設計。
- Microsoft Entra ID（旧Azure AD、職場／学校アカウント）：Authenticator のプッシュ通知（番号一致）が既定で、TOTP を使う場合は6桁を用いるのが一般的。
つまり、同じ「Microsoft Authenticator」でもアカウントの種類が違えば出力されるコードの桁数も変わります。MSA用に出る8桁コードを、Entra IDが期待する6桁枠に入れても一致しません。逆もまた然りです。
「自分のアカウントはどっち？」を見分ける簡易チェック
以下の観点で、あなたのサインイン対象が「個人用」か「職場／学校」かを切り分けます。
- サインイン画面に「個人用アカウント」と「職場または学校アカウント」の選択が出るか。
- Azure ポータルやAzureリソース、Microsoft 365管理センターなど組織向けサービスにアクセスしようとしているか。
- Authenticator に同じメールアドレスが2つのタイル（個人用／職場・学校）で並んでいないか。
- 会社や学校からライセンスを配布されている、管理者がいる等の組織管理の痕跡がないか。
Azure に関わる作業であれば、基本的に職場／学校アカウント側を使います。Authenticator も同じ種別で再登録すれば桁数の齟齬は起こりません。
最短で直す：Authenticator を「職場／学校アカウント」で再登録する
以下の手順は、余計な混乱を避けるため「既存のMSA向け登録を一度外してから、Azure用に入れ直す」流れに整理しています。作業時間は数分程度です。
事前準備（安全のために）
- スマホの時刻設定を自動（ネットワーク時刻）にする。TOTPは時刻のずれに敏感です。
- Authenticator のアカウント復元が必要な人は、クラウドバックアップを有効化しておく（iOS/Android で機能あり）。
- 管理者アカウントでロックアウトリスクがある場合、別手段（SMS/音声通話/FIDO2/一時アクセスパス）を先に有効化しておくと安全。
手順
- ブラウザーで
mysecurityinfo.microsoft.com（またはaka.ms/mfasetup）にアクセスし、対象アカウントでサインイン。 - 「セキュリティ情報」「認証方法」の一覧から、既存のMicrosoft Authenticatorを一度削除。
- 「認証方法を追加」→「Authenticator アプリ」を選択。案内に従って職場または学校アカウントとしてQRコードを表示。
- スマホの Authenticator を起動し、「アカウントを追加」→「職場または学校」を選んで、ブラウザーに出たQRコードをスキャン。
- 画面の指示に従い、テストプッシュの承認や、必要に応じて6桁コードの検証を実施。6桁TOTPが表示される／番号一致が通ることを確認。
作業後に確認するポイント
- Authenticator に同じメールアドレスが二重登録されていないか（個人用と職場／学校で重複しやすい）。不要なMSA側タイルは削除。
- Azure ポータルのサインイン時に、必ず「職場／学校アカウント」を選んでいるか。
- バックアップ手段（SMS/音声通話/FIDO2/パスキー）も1つ以上登録しておく。プッシュ不達や機種変更に強くなります。
サインイン画面での“選択ミス”を防ぐコツ
同じメールアドレス（例：[email protected]）でも、MSAと職場／学校アカウントが共存することがあります。サインイン画面で「個人用」と「職場または学校」が並ぶ場合、Azure の操作は後者を選択します。
- ブラウザーのプロファイル機能（例：Edgeのプロファイル）で、MSA用とAzure用を分けると誤選択が減る。
- 既存のログイン状態やキャッシュにより、自動でMSAに誘導されることがある。うまくいかないときはシークレットウィンドウで試す。
- Authenticator のタイル名に［個人］／［職場・学校］など目印を付けておくと実務で混乱しにくい。
番号一致（プッシュ通知）と6桁コードの関係
多くのテナントでは、Authenticator の番号一致が既定で有効になっています。これは画面に出た2桁の数字をスマホ側で選ぶ方式です。番号一致が使える限り、6桁または8桁のコード入力は不要です。
ただし、以下のような状況ではコードにフォールバックするため、正しく6桁コードが使える構成を用意しておくと安心です。
- スマホが圏外・機内モード・通知制限でプッシュが届かない。
- MDM等のポリシーでプッシュが抑制される。
- テナントの認証方法ポリシーが一時的に変更される。
「MSAでAzureを使う」ケースの落とし穴
個人用のMSAでAzureサブスクリプションを作った場合でも、背後にはEntra IDテナントが存在し、ディレクトリにゲストとして表現されることがあります。この場合、AzureポータルでのMFA要求は職場／学校アカウントのフローに乗るため、Authenticator は職場／学校として登録されている必要があります。MSA向けの8桁コードでは通りません。
うまくいかない時の詳細トラブルシュート
| 症状 | 想定原因 | 対処 |
|---|---|---|
| 6桁に直したのに「コードが違います」 | 端末の時刻ずれ／タイムゾーン誤り | スマホの日時を自動に設定。時刻同期後、再試行 |
| プッシュが全く届かない | 通知が無効、電池最適化、MDM制御、ネットワーク制限 | アプリ通知許可、バッテリ最適化の例外化、Wi‑Fi/モバイル切替、VPN/フィルタを一時無効化。届かない時はTOTP 6桁で入る |
| Authenticator のタイルが複数ありどれが正しいか不明 | MSA／職場・学校が重複 | Azure 用は職場・学校。不要なMSAタイルは削除し、名称に目印を付ける |
| 機種変更後に全てのコードが無効 | QR再登録未実施／バックアップ未復元 | PCで mysecurityinfo.microsoft.com を開き、Authenticator を再追加。復旧不能ならSMSやFIDO2を使って一度入ってから再登録 |
| 管理者アカウントで完全に閉め出された | 代替認証方法なし | 別の管理者、もしくはサポート経由で一時アクセスパス（TAP）やMFAリセットを依頼。今後は2つ以上の認証方法を必須化 |
管理者向け：テナント設定の見直しポイント
組織管理者の立場では、以下の設定で“桁数不一致迷子”を未然に防げます。
- 認証方法ポリシー：Microsoft Authenticator（プッシュ＋TOTP）を許可。番号一致を必須化しつつ、TOTP（6桁）も並行可に。
- 登録キャンペーン：ユーザーに職場／学校としての再登録を促す案内を表示。
- Authentication Strengths：FIDO2/パスキーを含む強度でアクセス制御。高リスク操作にはより強い要素を要求。
- パスワードレス併用：Windows Hello、FIDO2 セキュリティキー、Passkey を用意してMFA依存のボトルネックを緩和。
- バックアップ手段の必須化：SMS/音声通話、メールリンク、管理者発行の一時アクセスパス（TAP）等を併用。
- デバイス要件：企業端末には通知制限ポリシーの影響を事前に検証して展開。
実務で役立つ“再発防止”の型
- アカウントの二面性を見える化：MSA用と職場／学校用でブラウザープロファイルを分け、Authenticator のタイル名に［MSA］［Org］などを付ける。
- 二経路以上の認証手段：Authenticator（プッシュ/6桁）＋SMS or FIDO2 の少なくとも二重体制。
- 定期点検：機種変更前後／OS大型アップデート直後に、テストサインインで確認。
- ドキュメント化：チーム手順書に「MSAの8桁はAzureでは使わない」と赤字で明記。ヘルプデスクの一次切り分け表に追加。
よくある質問（FAQ）
Q. 同じメールアドレスなのに「個人用」「職場・学校」が出てくるのはなぜ？
MSAとEntra IDは別系統のID基盤ですが、同一メール文字列で両方が存在し得ます。Azureは組織向けのため、サインイン時は「職場・学校」を選ぶのが基本です。
Q. 8桁表示を6桁に変更できますか？
MSAのTOTPは8桁が前提です。Azureで使うには、Authenticator を職場／学校アカウントとして登録し直してください。
Q. プッシュ通知だけでよくないですか？
電波や通知制限の影響を受けるため、6桁TOTPの併用を強く推奨します。特に出張・機内・地下などで差が出ます。
Q. MSAしか持っていないのにAzureを使っています。どうすれば？
MSAで契約していても、実際のサインインはテナント（組織ディレクトリ）を経由します。Authenticator を職場／学校として再登録し、Azureポータルでは同種別を選択してください。
現場でそのまま使える復旧フロー（テンプレート）
- ユーザーの症状を確認：「8桁コード表示」「Azure側は6桁要求」か。
- スマホの時刻自動設定を確認・適用。
- PCで
mysecurityinfo.microsoft.comを開き、Authenticator 方式を一度削除。 - 「Authenticator アプリ」→「職場または学校」を選び、QRで再登録。
- 番号一致で承認 → 予備に6桁TOTPも表示されることを確認。
- SMS/音声通話/FIDO2 などのバックアップを追加。
- 不要なMSAのタイルを削除し、命名規則（［Org］など）で識別性を高める。
用語の整理（超要点）
- MSA（個人用Microsoftアカウント）：Outlook.com、Xbox等で使う私的ID。AuthenticatorのTOTPは8桁。
- Microsoft Entra ID（旧Azure AD）：組織が管理するID。Azureポータル等で利用。Authenticatorは番号一致プッシュや6桁TOTP。
- TOTP：時刻ベースのワンタイムコード。サービス側が桁数を定義。
- 番号一致：サインイン画面に出た番号をAuthenticatorで選ぶ方式。プッシュが前提。
チェックリストの総まとめ（印刷推奨）
| チェック項目 | OK基準 |
|---|---|
| サインイン種別は「職場／学校」を選択している | Azure作業時は常に「職場／学校」 |
| Authenticator は職場／学校として再登録済み | 6桁TOTP表示／番号一致が通る |
| 不要なMSAタイルを削除した | 同一メールの二重登録がない |
| バックアップ手段を2つ以上登録 | SMS/音声通話/FIDO2/TAP 等を併用 |
| スマホの時刻は自動同期 | 端末時刻のずれが±30秒以内 |
ケーススタディ：個人Outlook.comでAzureを触る場合
「@outlook.com しか持っていない」という利用者が、学習や検証用にAzureを始めることは珍しくありません。このとき多いのが、MSA（8桁）でAuthenticatorを作ったまま AzureポータルでMFAに当たり、6桁要求に固まってしまうパターンです。解は「職場／学校として再登録」の一択です。以後は、プッシュ通知が来れば番号一致で、来ない状況でも6桁TOTPで入れます。
セキュリティを落とさずに“ラク”にする設計
- パスキー／FIDO2の併用：日常はパスキー、例外時はAuthenticator（プッシュ／6桁）にフォールバック。
- 条件付きアクセス＋認証強度：重要操作だけ追加要素を要求。ユーザー体験と防御の両立。
- 番号一致の徹底：MFA疲れ攻撃を抑止。SMSのみの運用は避け、Authenticator を主役に。
最後に：迷ったら“種別をそろえる”
今回のトラブルは、アカウント種別の不一致という単純な構造がほとんどです。Azureで作業するなら、サインインの選択もAuthenticatorの登録も職場／学校で統一する。これだけで「8桁 vs 6桁」問題は解消します。さらにバックアップ手段を整え、端末の時刻同期を徹底すれば、現場でのつまづきは激減します。
付録：一目で分かる“桁数と使い分け”早見表
| 場面 | 使うアカウントの種別 | Authenticator の想定動作 | 入力桁数 |
|---|---|---|---|
| Outlook.com / Xbox / 個人用サービス | MSA（個人） | TOTP（表示） | 8桁 |
| Azure ポータル / Microsoft 365 管理 | 職場／学校（Entra ID） | 番号一致（プッシュ）／ TOTP（代替） | 6桁（TOTP時） |
手早く直したい人向け“超短縮版”
- PCで
mysecurityinfo.microsoft.comに入る。 - Authenticator を一度削除し、職場／学校として追加。
- プッシュの番号一致 or 6桁TOTPで認証成功することを確認。
- 不要なMSAタイルを片付け、SMS/FIDO2も追加。
以上の手順で、Microsoft Authenticator の「8桁」と Azure ポータルの「6桁」の溝は確実に埋まります。アカウント種別をそろえ、複数の認証方法で二重化しておけば、今後の運用も安定します。
コメント