スマートフォンの紛失や機種変更で Microsoft Authenticator が使えず、サインイン時にError Code: 399287が表示されると、管理ポータルも業務アプリも閉ざされます。本記事は、日本の運用現場で即使える「役割別・状況別の最短復旧手順」と再発防止策を、表・手順・コピペ用テンプレートまで含めて一気通貫で解説します。
目次
エラー 399287 の位置づけと想定シナリオ
本稿で扱うケースは、Microsoft Authenticator による第二要素が利用できず、多要素認証 (MFA) が満たせないためにサインインが完了しない状況です。特に以下の条件が重なると影響が大きくなります。
- グローバル管理者（または業務上重要なアカウント）がロックアウト。
- 条件付きアクセスやセキュリティの既定が有効化され、MFA 回避の抜け道が存在しない。
- ブレークグラス（緊急）アカウントや代替認証手段が整備されていない。
この状況で表示される「Error Code: 399287」は、「サインインに要求される MFA を満たせない（登録済みの有効な方法がない／応答できない）」趣旨で現れることが多く、対処の本質は「本人確認のうえ、MFA を初期化して安全に再登録させる」ことに尽きます。
影響と初動（優先順位）
管理者がサインインできないと、テナント設定変更・ユーザー管理・アプリ発行・監査が停止し、全社業務の遅延やセキュリティ監視の穴を生みます。初動では以下の原則を徹底します。
- 可用性の回復を最優先：安全な手段で管理者の再入場（サインイン）を確保。
- 権限の最小化：復旧に使う一時的アカウント・方法は、完了後に速やかに無効化／削除。
- 監査の継続：復旧前後のサインイン・監査ログを確保し、不審挙動の有無を確認。
| 立場 | 具体的な復旧方法 | 補足 |
|---|---|---|
| ① 他にグローバル管理者がいる場合 | 別の管理者が該当ユーザーのMFA をリセット／再登録を要求。 ユーザー（本人）が新端末でサインインし、Authenticator を再構成。 | 最短・低リスク。TAP（Temporary Access Pass）併用推奨。 |
| ② 自分が唯一の管理者 | A. 電話サポート：本人確認後、Microsoft による MFA リセット依頼。 B. 無償トライアルテナント経由：仮の管理者でサポート要求を発行し、本来のテナントの MFA ロック解除を申請。完了後はトライアルを削除。 | トライアルは無料期間内に確実に解約。請求化を回避。 |
他に管理者がいる場合の最短復旧ハンドブック
Entra 管理センターからの復旧（GUI）
グローバル管理者または Privileged Authentication Administrator ロールを持つ管理者が実施します。
- Entra 管理センターにサインインし、ユーザー → 対象ユーザーを開く。
- 認証方法を選択し、次のいずれかを実行。
- 「再登録を要求」：次回サインイン時に MFA の再登録を強制。
- 「（不要・不明な）登録済み方法を削除」：使えない Authenticator/電話番号/トークンを削除。
- （推奨）「サインインセッションの取り消し」を実行し、古いセッションを無効化。
- ユーザーに新端末でサインインさせ、Authenticator を登録。以後、プッシュ通知または番号一致（Number Matching）で動作確認。
Temporary Access Pass（TAP）での安全な復旧
Authenticator が完全に失われた場合、一時アクセス パス（TAP）を発行すると、パスワード＋TAPのみで安全にサインインでき、即座に新しい MFA を登録できます。
- 管理ポータルで 保護 → 認証方法 → 一時アクセス パスを有効化。
- 対象ユーザーに TAP を作成（有効期間と一回限りの使用可否を設定）。
- 本人に TAP を安全な経路（面前確認、内線、秘匿チャネル）で伝達。
- 本人は パスワード＋TAPでサインインし、Authenticator／代替手段を再登録。
- 登録完了後、TAP を無効化／失効。不要な一時権限・方法は必ず削除。
PowerShell（Microsoft Graph）での一括初期化
運用自動化や緊急時のコマンドライン対応が必要な場合は、Microsoft Graph PowerShell を利用します。十分な権限（例：UserAuthenticationMethod.ReadWrite.All）が必要です。
# モジュールの準備
Install-Module Microsoft.Graph -Scope CurrentUser
Import-Module Microsoft.Graph
# Graph へ接続（必要なスコープを指定）
Connect-MgGraph -Scopes "User.ReadWrite.All","UserAuthenticationMethod.ReadWrite.All","Directory.ReadWrite.All"
# 対象ユーザー（UPN 例）
$User = "[[email protected]](mailto:[email protected])"
# 現在の認証方法を一覧化
Get-MgUserAuthenticationMethod -UserId $User
# 不要な方法を削除（例：Authenticator/電話など、Password 以外）
$methods = Get-MgUserAuthenticationMethod -UserId $User | Where-Object { $_.AdditionalProperties["@odata.type"] -ne "#microsoft.graph.passwordAuthenticationMethod" }
foreach ($m in $methods) {
Remove-MgUserAuthenticationMethod -UserId $User -AuthenticationMethodId $m.Id -ErrorAction SilentlyContinue
}
# 再登録を促すために、暫定的に TAP を発行（一次利用・60分）
New-MgUserAuthenticationTemporaryAccessPassMethod -UserId $User `
-IsUsableOnce:$true -LifetimeInMinutes 60 -StartDateTime (Get-Date) 上記は方法の削除＆TAP 発行の最短例です。実運用では、監査ログ確保・本人性確認記録・実行者の承認プロセスを合わせて運用設計してください。
自分が唯一の管理者でロックアウトした場合の復旧
A. 電話サポートでの復旧
テナントの真正性とアカウントの本人性を確認できれば、サポートによる MFA リセットの道が開けます。事前に以下の情報を用意します。
- テナントのプライマリ ドメイン（例：contoso.onmicrosoft.com または独自ドメイン）。
- 請求先情報（担当者名・会社名・電話番号・住所）と過去の請求書情報。
- 契約 ID／サブスクリプション情報（わかる範囲で）。
- ロックアウトの具体的な画面メッセージ（PII は必ずマスク）。
本人確認に通過すると、サポート側で MFA 初期化／代替手段の設定案内を受けられます。実施後は、条件付きアクセスとサインインログで不審な試行がなかったかを即確認してください。
B. 無償トライアルテナント経由でのサポート依頼
電話が混雑している、もしくは記録を残す形で依頼したい場合の回避策です。
- 「Microsoft 365 Business」無償トライアルを作成し、仮のグローバル管理者を取得。
- その管理者で管理センターのHelp & Support（ヘルプとサポート）からSupport request（サポートのリクエスト）を作成。
- 本来のテナント名・ドメイン・連絡先、エラーコード（399287）、実施済み対応、緊急度（運用停止の恐れ）を明記。
- 解決後は、トライアルテナントを削除して自動課金を防止。
注意：トライアルで作成した仮管理者は本番運用に使用しないでください。サポート依頼のためだけに利用し、完了後に必ず廃止します。
端末が見つかった・バックアップがある場合の簡易復旧
Authenticator のクラウドバックアップを有効化していれば、新端末でバックアップから復元して MFA を再利用できる場合があります。復元できた場合でも、サインインログの確認と条件付きアクセスの健全性チェックは必須です。また、復元不可のサービス（プッシュ承認のみ登録していた等）があれば、上記の「再登録を要求」または「TAP 発行」で再構成します。
再発防止：運用設計のベストプラクティス
バックアップと代替手段の多重化
- Authenticator のクラウドバックアップを必ず有効化。
- 代替 SMS/音声通話番号や復旧用メールを登録。
- FIDO2 セキュリティキーやパスキーを追加し、端末紛失リスクを分散。
ブレークグラス（緊急）アカウント運用
- 2 つ以上のクラウド専用緊急管理者（MFA 無効）を用意。
- 超長・ランダム・保管厳格なパスワードをオフライン保管し、条件付きアクセスから除外。
- 監視：サインインアラートを設定し、通常業務で使われたら即調査。
- 訓練：月次でサインイン確認（ドリル）を実施し、動作確認を記録。
登録フローの改善
- Temporary Access Pass（TAP）を標準化し、端末交換・入社初日・ロックアウト復旧の共通レーンに。
- Combined registration（セキュリティ情報の統合登録）を有効化し、初回で複数手段を登録させる。
- 標準手順書・動画・FAQを整備し、ヘルプデスクの一次解決率を向上。
監査・可視化
- サインインログ・監査ログの保持期間を業務要件に合わせて拡張。
- リスク検出（利用可能な場合）をダッシュボード化し、ロックアウト前後の挙動を可視化。
- 復旧時の操作（方法削除・TAP 発行・ロール付与/剥奪）を必ず記録。
復旧後の確認チェックリスト
| 項目 | 確認内容 | 合格基準 |
|---|---|---|
| MFA 再登録 | Authenticator・電話・FIDO2 等、2 方式以上が登録済み | ○：複数手段かつプッシュ承認の動作確認済み |
| 条件付きアクセス | 緊急時に追加した例外や一時ポリシーを撤廃 | ○：本番ポリシーのみ有効 |
| 監査ログ | ロックアウト前後のサインイン・操作ログに不審なし | ○：異常なし／必要に応じ是正 |
| TAP・仮アカウント | TAP の失効、一時アカウントや追加ロールの削除 | ○：不要資産を完全廃棄 |
| 訓練と教育 | ユーザーへ復旧後の注意・再発防止の周知 | ○：案内済み・FAQ 更新 |
セキュリティと個人情報（PII）への配慮
- スクリーンショットやログを共有する場合、テナント名・メールアドレス・Request Id等の PII を必ずマスク。
- 復旧に用いる TAP・一時パス・回復コードは最小人数・短時間・安全経路でのみ共有。
- ヘルプデスク台帳には、本人確認の方法・確認者・実施内容・時刻を記録。
よくある誤り（アンチパターン）
- 全社で一時的に MFA を無効化：即時の利便性は高いが、攻撃面を広げるだけで推奨されません。
- ブレークグラスを 1 件のみ：単一障害点（SPOF）になります。必ず 2 件以上用意。
- Authenticator 1 本足運用：端末紛失で全社停止に。代替手段と FIDO2/パスキーを併用。
- 復旧後の削除忘れ：TAP や一時的ロールの消し残しはリスク。
ケース別 詳細手順（コピペ用）
ケース 1：他管理者が在籍（GUI）
- 管理者 A が Entra 管理センターで対象ユーザーを開く。
- 認証方法 → 再登録を要求を実行。
- 必要に応じて既存の方法を削除（旧端末の Authenticator、古い電話番号）。
- サインインセッション取り消しを実施。
- ユーザー本人が新端末でサインイン→Authenticator 登録・番号一致の動作確認。
ケース 2：他管理者が在籍（TAP 併用）
- 管理者 A が一時アクセス パス（TAP）をユーザーに発行（60 分／一回限り等）。
- TAP を安全経路で伝達。
- ユーザーはパスワード＋TAPでサインインし、Authenticator・FIDO2 を再登録。
- 登録完了後、TAP を失効。
ケース 3：唯一の管理者（電話サポート）
- 本人確認に必要な書類・情報（会社登記情報、請求情報、テナントドメイン）を準備。
- サポートに連絡し、「管理者が MFA でロックアウト。エラー 399287。MFA 初期化を要請」と伝える。
- 指示に従い、身元確認の手続と必要資料の提出。
- 初期化後、Authenticator の再登録と監査を実施。
ケース 4：唯一の管理者（トライアルテナント経由）
- 無償トライアルで仮グローバル管理者を作成。
- 管理センターのヘルプとサポートから、本番テナントのMFA ロック解除依頼を作成。
- エラー 399287、影響範囲、緊急度、希望する対応（MFA 初期化/TAP 案内）を明記。
- 解決後、トライアルを解約・削除して後始末。
社内連絡のテンプレート
ユーザー本人への案内（例）
件名：MFA 復旧のご案内（Authenticator 再登録のお願い）
〇〇様
端末紛失により多要素認証が利用できない件、管理側で再登録を要求しました。
以下の手順で新端末に Authenticator を設定してください。
1. PC でご自身のアカウントにサインイン
2. 画面の指示に従い、スマートフォンに Microsoft Authenticator をインストール
3. 表示された QR コードをスキャンし、プッシュ通知の番号一致で承認
※ 別手段として一時アクセス パス（TAP）も用意できます。必要な場合は返信ください。
情報システム部 サポート依頼文（トライアル経由・例）
件名：【至急】テナント管理者が MFA ロックアウト（Error 399287）— MFA 初期化のお願い
状況：
・グローバル管理者が Authenticator 紛失によりサインイン不可。Error Code: 399287 を確認。
・条件付きアクセスにより MFA 必須。ブレークグラス未整備。
要望：
・当該管理者の MFA 初期化、または一時アクセス パスの付与支援。
テナント情報：
・プライマリ ドメイン：xxxxx
・連絡先：xxxxx
・影響：管理ポータルおよび業務アプリ運用に重大な支障 設計強化：ロールと責務分離
MFA 復旧は権限の濫用リスクがあるため、責務分離と承認フローを設計します。
| 役割 | 主な権限 | 復旧時の責務 |
|---|---|---|
| Privileged Authentication Administrator | ユーザーの認証方法の管理全般 | MFA 初期化、TAP 発行、方法の削除 |
| Global Administrator | 全体管理 | 最終承認、ブレークグラス運用の監督 |
| ヘルプデスク（1 次） | 限定的 | 本人確認、手順案内、記録・エスカレーション |
| セキュリティ | 監査・検知 | 復旧前後のログ分析、再発防止提案 |
時間目安と期待成果
| シナリオ | 主手段 | 所要の目安 | 成果物 |
|---|---|---|---|
| 他管理者あり | 再登録要求／TAP 発行 | 15〜30 分 | サインイン再開、方法多重化、ログ記録 |
| 唯一の管理者（電話） | サポート経由で初期化 | 数十分〜半日 | MFA 初期化記録、本人確認記録 |
| 唯一の管理者（トライアル） | チケット発行 | 作成〜数日 | 対応履歴、トライアル廃止証跡 |
トラブルシューティング補遺
- 番号一致が出ない：旧端末の残留登録が原因の場合、方法削除→再登録を実施。
- SMS が届かない：国際 SMS 制限やキャリア設定を確認。代替として TAP や音声通話を利用。
- FIDO2 の PIN を忘れた：鍵のリセット／再登録。登録手段は複数化。
- プレビュー機能の混在：本番では安定版設定を使用し、プレビューは限定検証環境のみで。
まとめ：最短で復旧し、強くする
- 他に管理者がいる：その管理者にMFA リセット／再登録要求を依頼。TAP を併用すると安全かつ迅速。
- 唯一の管理者：まず電話サポート、難しければ無償トライアルテナントでサポートチケットを発行。
- 復旧後は、バックアップ・代替手段の多重化、ブレークグラス 2 件以上、監査と訓練で再発防止を徹底。
付録：運用チェックリスト（印刷推奨）
- [ ] Authenticator バックアップ有効化／復元手順の周知
- [ ] 代替 SMS/音声番号・予備メールの登録義務化
- [ ] FIDO2/パスキーの追加登録
- [ ] ブレークグラス 2 件（CA 除外・監視・月次ドリル）
- [ ] TAP 標準化（発行・伝達・失効の手順化）
- [ ] ロール分離（PAA/GA/ヘルプデスク）
- [ ] 復旧台帳（本人確認・操作・時刻・実行者）
- [ ] 復旧後の CA・ログ点検の必須化
- [ ] トライアル・一時アカウントの確実な廃止
参考：コマンド断片（高度運用者向け）
Graph PowerShell による方法列挙・削除・TAP 発行の簡易スニペットを再掲します。実運用では権限・承認・ロギングを必ず整備してください。
# 接続
Connect-MgGraph -Scopes "UserAuthenticationMethod.ReadWrite.All","Directory.ReadWrite.All"
# 認証方法の一覧
Get-MgUserAuthenticationMethod -UserId [[email protected]](mailto:[email protected])
# Password 以外を削除（例）
Get-MgUserAuthenticationMethod -UserId [[email protected]](mailto:[email protected]) |
Where-Object { $*.AdditionalProperties["@odata.type"] -ne "#microsoft.graph.passwordAuthenticationMethod" } |
ForEach-Object { Remove-MgUserAuthenticationMethod -UserId [[email protected]](mailto:[email protected]) -AuthenticationMethodId $*.Id }
# TAP を 30 分・一回限りで発行
New-MgUserAuthenticationTemporaryAccessPassMethod -UserId [[email protected]](mailto:[email protected]) `
-IsUsableOnce:$true -LifetimeInMinutes 30 -StartDateTime (Get-Date) 最後に：運用者へのメッセージ
MFA は組織の最後の砦です。失われた端末＝失われたアクセスにならないよう、多重化・訓練・監査で復旧の速さと安全性を両立させてください。エラー 399287 に直面しても、本記事のフローに沿えば、最短で安全に管理者のサインインを取り戻せます。
コメント