突然 Microsoft 365 のデスクトップ アプリで「Access Denied（アクセスが拒否されました）」と表示され、Word・Excel・PowerPoint・新しい Outlook などに一括サインインできなくなる――本記事はその症状を最短で復旧し、再発も防ぐための“実務的な手順書”です。Windows 10（22H2）環境を想定し、オンライン修復・資格情報のリセット・不要バージョン整理・ネットワーク/ポリシー確認まで、現場で役立つ具体策を網羅します。
症状と前提環境
以下の条件に合致するケースを対象にしています。
- 症状：Microsoft 365 デスクトップ版の「すべてのアプリにサインイン」を押すと Access Denied などのエラー表示。Word/Excel/PowerPoint/新しい Outlook 等の一括サインインに失敗する。一方、各アプリの個別サインインや Outlook on the Web・Office Online は利用可能。
- 環境：Windows 10（22H2）、有効な Microsoft 365 サブスクリプション、正しい Microsoft アカウント/職場または学校アカウントで Windows にサインイン済み。
前日までは正常に動作していた。
最短復旧の結論（TL;DR）
もっとも成功率が高いのは Office の「オンライン修復」です。クイック修復では直らないことが多く、オンライン修復で構成ファイル・認証周りを含む広範な再構成を行うと解決しやすくなります。
続いて 不要な Office バージョンの共存解消、資格情報とキャッシュのリセット、Office 更新の適用、ネットワーク/ポリシーの確認の順に進めると、原因が複合的でも復旧率を高く保てます。
対処の全体像（要約表）
| 項目 | 内容 |
|---|---|
| Office のオンライン修復を実行 | 効果大（実際に解決例多数） Windows の「設定」→「アプリ」→「インストール済みのアプリ」→「Microsoft 365」を選択→変更→ダイアログでオンライン修復を選択して実行→再起動→Office を起動して再サインイン。 ポイント：クイック修復では改善しないことが多いため、最初からオンライン修復を選びます。 |
| 不要な Office バージョンを削除 | 旧製品版（永続版）や試用版、Visio/Project の古い Click-to-Run/ MSI 混在などがあると、認証トークンやライセンス検出が混乱します。「アプリと機能」で Microsoft Office / Microsoft 365 系の項目を確認し、不要なものをアンインストールして一本化。 |
| 資格情報とキャッシュのリセット | ① Windows の資格情報マネージャーで「MicrosoftOffice～」「aad:」等の Office 関連資格情報を削除。 ② 以下のキャッシュを削除またはリネーム退避： %LOCALAPPDATA%\Microsoft\Office\16.0\Identity\%LOCALAPPDATA%\Microsoft\Office\Licensing\%LOCALAPPDATA%\Microsoft\OneAuth\（存在する場合）③ Office を再起動して再サインイン。 |
| Office 更新プログラムを適用 | サインイン後、ファイル → アカウント → 更新オプション → 更新するで最新化。認証まわりの不具合が月例更新で解消されるケースがあります。 |
| ネットワーク・ポリシー確認 | 社内プロキシ/ファイアウォールで認証・ライセンス関連のエンドポイントがブロックされていないか確認。証明書の失効チェック無効化や TLS 1.2 無効化でも同種エラーが発生します。 |
| 応急処置 | 復旧中は Outlook on the Web（OWA） や Office Online を使って業務継続が可能。 |
なぜ「Access Denied」が起きるのか（技術的背景）
Microsoft 365 のデスクトップ版は、Windows の Web Account Manager（WAM） を介して Azure AD（Entra ID）とやり取りし、取得したトークンを Office 側の OneAuth／Identity キャッシュに保持します。以下の条件が重なると、「すべてのアプリにサインイン」のフローだけが失敗し、「Access Denied」や類似の拒否メッセージにつながることがあります。
- 旧 Office の残骸や複数バージョン混在により、トークンの解釈やライセンス検出が衝突する。
- WAM/AAD Broker Plugin または Edge WebView2 Runtime の破損・古さにより、認証 UI/埋め込みブラウザが正常に動かない。
- プロキシ認証・SSL 検査・証明書チェーン不備・時刻ずれなどで、トークン発行や失効確認が中断する。
- テナントの条件付きアクセス/Intune ポリシーで、デバイス状態とユーザー資格情報の不整合が生じている。
手順詳細（安全・再現性重視）
事前準備（復旧作業の前に）
- 可能なら Office アプリをすべて終了し、バックグラウンドの OfficeClickToRun.exe が処理中でないか確認します。
- 管理者権限のコマンドを扱う場面があります。会社 PC では IT 管理者の承認を得てから実施してください。
- キャッシュ削除はユーザープロファイル配下に限定し、業務データ（文書そのもの）は触れません。
1. Office を「オンライン修復」する
- Windows の「設定」→「アプリ」→「インストール済みのアプリ」→「Microsoft 365」を選択し、変更をクリック。
- ダイアログで オンライン修復 を選択して実行します（クイック修復では改善しない事例が多数）。
- 完了後に PC を再起動し、Word などを起動してサインインを確認します。
効果の理由：オンライン修復は Office の構成・コンポーネントを広範に再配置し、破損した認証関連モジュールや埋め込みブラウザ（WebView2）まわりの不整合を巻き戻せます。
2. 旧バージョン・重複インストールを整理する
「Office（永続版）」と「Microsoft 365（サブスク）」の混在、試用版残存、Visio/Project の異なる配布形態（MSI と Click-to-Run）の併存は、ライセンス検出や認証で矛盾を生みます。「アプリと機能」一覧が 1 本に集約されるように整理しましょう。
インベントリ確認に役立つ PowerShell 例（読み取りのみ）：
Get-ItemProperty `
'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\*',
'HKLM:\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\*' |
Where-Object { $_.DisplayName -match 'Microsoft (Office|365|Visio|Project)' } |
Select-Object DisplayName, DisplayVersion, Publisher | Sort-Object DisplayName
3. 資格情報マネージャーと Office キャッシュをリセット
- 「コントロール パネル」→「ユーザー アカウント」→「資格情報マネージャー」→「Windows 資格情報」を開く。
- Office 関連の項目（例：MicrosoftOffice～、aad:～、adfs:～）のみを選んで削除。
- 以下のフォルダーを一時退避（または削除）後、サインインし直す。
%LOCALAPPDATA%\Microsoft\Office\16.0\Identity\%LOCALAPPDATA%\Microsoft\Office\Licensing\%LOCALAPPDATA%\Microsoft\OneAuth\（存在する場合）
注意：削除対象は Office 認証に関わるユーザー単位のキャッシュです。Windows Hello for Business（指紋/顔）や業務アプリの資格情報は消さないよう、名称を必ず確認してください。
4. AAD Broker Plugin / WebView2 の健全性を点検
- Microsoft AAD Broker Plugin（WAM）の破損は、認証 UI が開かない・真っ白になる・直後に「Access Denied」となる要因です。異常が疑われる場合は アプリと機能で同プラグインの修復/リセット（提供されていれば）を実施します。
- Microsoft Edge WebView2 Runtime の更新/修復も有効です。Office の埋め込みブラウザを正しく描画できないと認証が完了しません。
5. Office を最新状態に更新
認証系の不具合はクライアント更新で解消されることがあります。Office いずれかのアプリで ファイル → アカウント → 更新オプション → 更新する を実行し、更新後に再サインイン動作を確認します。
6. ネットワークと証明書・時刻の確認
企業ネットワークやセキュリティ製品の設定で認証関連の通信が妨げられると、デスクトップ版だけ失敗することがあります。以下の代表的なポイントを確認します。
- プロキシ/SSL 検査：SSL インスペクションが login.microsoftonline.com や *.msauth.net 等に適用されると正規の証明書鎖でなくなり失敗します。
- TLS 1.2：古い既定値/方針で TLS 1.2 を無効化していると認証が拒否されます。
- 時刻同期：PC の日時・タイムゾーンずれはトークンの有効期限検証に失敗します。NTP 同期を確認。
- 名前解決：Split DNS やホストファイルの独自設定で Microsoft 365 関連 FQDN が誤解決していないか確認。
代表的な認証/ライセンス関連の FQDN 例（遮断しない運用を推奨）：
login.microsoftonline.com
login.windows.net
aadcdn.msauth.net
aadcdn.msftauth.net
graph.microsoft.com
*.office.com
*.live.com
7. 応急運用（業務を止めない）
復旧作業と並行して、メールやドキュメント編集は Outlook on the Web（OWA） と Office Online を利用すれば継続可能です。ローカルに保存が必要なファイルは OneDrive 同期クライアントを経由し、Web からダウンロードして編集 → 再アップロードの流れで回避できます。
管理者/IT 担当者向けの深掘り
条件付きアクセス／デバイス準拠性
テナントに条件付きアクセス（MFA 必須、準拠デバイス必須等）があると、Windows アカウント と Office のサインイン状態 が不整合のときに WAM が「拒否」することがあります。Intune の準拠性評価、加入状態（Hybrid Azure AD Join / Azure AD Join）、ユーザーの MDM スコープを点検してください。
グループ ポリシー/Office Cloud Policy の影響
- WAM の無効化や古い ADAL 設定が残っていると、現行の MSAL/WAM フローと衝突します。
- Office Cloud Policy でサインイン関連設定（EnableADAL 等）を旧値のまま配布していないか確認し、不要なものは撤廃します。
イベント ログ/ログ採取
- イベント ビューアー：Applications and Services Logs → Microsoft → Windows → AAD/TokenBroker/Office* を確認。認証 UI の起動失敗やトークン取得失敗が記録されます。
- Support and Recovery Assistant（SaRA）：自動診断で認証関連の一般的な破損を検出/修復し、必要なログを収集できます。
WAM/AAD Broker Plugin 再登録（管理者向け）
破損が顕著なときの再登録例。実行は自己責任で、会社 PC では必ず Change 管理の下で実施してください。
PowerShell（管理者）:
Get-AppxPackage *AAD.BrokerPlugin* | ForEach-Object {
Add-AppxPackage -DisableDevelopmentMode -Register "$($_.InstallLocation)\AppXManifest.xml"
}
併せて WebView2 Runtime の修復/再配布（ソフトウェア配布ツール経由）を行うと安定化します。
エラー表示別の見分け方と対処の優先度
| 表示/挙動 | 想定原因 | 優先対処 |
|---|---|---|
| Access Denied（すぐ戻る） | WAM/認証 UI 破損、トークンキャッシュ不整合 | オンライン修復 → 資格情報/キャッシュ削除 → WebView2 修復 |
| 認証画面が白/真っ黒のまま | WebView2 ランタイム不具合、TLS/証明書検証失敗 | WebView2 修復・更新 → 証明書/プロキシ確認 → 時刻同期 |
| ユーザー/パスワード入力は通るが最終で失敗 | 条件付きアクセス、デバイス準拠性、CAE（継続的アクセス評価） | Intune/条件付アクセス評価 → Windows の職場/学校アカウント再接続 |
| Web 版は使えるがデスクトップのみ不可 | Office ローカル構成破損または旧版混在 | 旧版整理 → オンライン修復 → 更新適用 |
チェックリスト（作業漏れ防止）
- Office はクイックではなくオンライン修復を実行したか？
- 「アプリと機能」で Office 系が 1 本に集約されているか？（古い Visio/Project/試用版が残っていないか）
- 資格情報マネージャーで Office 関連の資格情報を整理したか？
%LOCALAPPDATA%\Microsoft\Office\16.0\IdentityとLicensing、OneAuthを退避したか？- WebView2 Runtime / AAD Broker Plugin を修復/更新したか？
- TLS 1.2 / 証明書失効チェックが有効で、プロキシ/SSL 検査の例外が設定されているか？
- PC の時刻とタイムゾーンは正しいか？
- 条件付きアクセス・Intune 準拠性に矛盾がないか？
よくある質問（FAQ）
Q. Web 版ではログインできるのに、デスクトップだけ失敗します。
A. デスクトップ版は WAM とローカルのトークン/ライセンスキャッシュに依存するため、構成破損・旧版混在・WebView2 問題の影響を強く受けます。オンライン修復 → 旧版整理 → キャッシュ/資格情報リセットの順に対応してください。
Q. 「すべてのアプリにサインイン」だけが失敗します。個別サインインは可能です。
A. 一括フローでのみ利用されるトークン連携や UI パスに破損がある可能性が高いです。Identity/OneAuth キャッシュの退避とWebView2 の修復を重点的に行うと改善します。
Q. クイック修復では改善しませんでした。
A. クイック修復はファイル整合性チェック中心で、認証関連の深い不整合までは直らないことがあります。オンライン修復を選択してください。
Q. 会社 PC でユーザーの資格情報が頻繁に消えます。
A. ローミング/プロファイル管理、資格情報クリーンアップの GPO、サインアウト時のプロファイル削除、またはセキュリティ製品の干渉が疑われます。IT 管理者に GPO/Intune ポリシー とログオン スクリプトを点検してもらってください。
Q. 新しい Outlook だけサインインできません。
A. 新しい Outlook は Web 技術（WebView2）やアカウント コンポーネントの依存度が高いため、WebView2 修復とWindows の「職場/学校アカウント」再接続（設定 → アカウント → アクセスする職場または学校）を試してください。
再発防止のベストプラクティス
- 配布の統一：Office、Visio、Project は Click-to-Run に統一し、バージョンを揃えて配布。
- 月例の運用ルーチン化：OS/Office/Edge/WebView2 を定期更新し、証明書ストア/プロキシ例外のメンテナンスを徹底。
- 端末の時刻管理：ドメイン環境では NTP を一本化。スタンドアロン端末でも時刻同期を監視。
- ポリシーの棚卸し：歴史的に残った ADAL 設定や不要な Office Cloud Policy は除去し、WAM/ MSAL 前提に最適化。
- ログ収集の標準化：イベント ログ・SaRA・デバイス準拠性レポートの採取手順をナレッジ化し、インシデント発生時の初動を高速化。
実行に役立つコマンド/操作スニペット（任意）
以下は 情報取得や再登録に限定した保守的なコマンド例です。実行前に IT ポリシーをご確認ください。
| 目的 | コマンド/操作 | 補足 |
|---|---|---|
| Office 系インストールの一覧 | PowerShell: Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\*', 'HKLM:\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\*' | ? { $_.DisplayName -match 'Microsoft (Office|365|Visio|Project)' } | Select DisplayName, DisplayVersion | Sort DisplayName | 重複/旧版の発見に。 |
| AAD Broker Plugin 再登録 | PowerShell（管理者）: Get-AppxPackage *AAD.BrokerPlugin* | % { Add-AppxPackage -DisableDevelopmentMode -Register "$($_.InstallLocation)\AppXManifest.xml" } | WAM 側の破損が疑われる時。 |
| 名前解決の健全性テスト | コマンド プロンプト: nslookup login.microsoftonline.com nslookup aadcdn.msauth.net | 誤った Split DNS/ホスト書き換えを検出。 |
注意点・やってはいけないこと
- レジストリを無差別に消す、Ngc フォルダー（Windows Hello for Business の鍵）を安易に削除する、といった強攻策は避けてください。
- 業務アプリの資格情報を誤って削除しないよう、名称を必ず確認。迷う場合は一旦リネーム退避して巻き戻せるようにしておきます。
- プロキシや SSL 検査の緩和は、セキュリティ方針に沿って最小限・例外ベースで実施します。
まとめ
Microsoft 365 デスクトップ版で「Access Denied」となり一括サインインできない場合、オンライン修復が最有力の解決策です。あわせて旧版の整理、資格情報/キャッシュのリセット、WebView2・AAD Broker Plugin の健全性確保、ネットワーク/ポリシーの点検を順に進めれば、ほとんどのケースで正常化します。企業環境では条件付きアクセスや準拠性の観点も絡むため、IT 管理者と連携し、再発防止を含む運用見直しまで行うと安心です。
コメント