Microsoft 365（職場 / 学校アカウント）で「Authenticator の承認」または「電話番号へのコード送信」しか選べず、どちらも使えない—この詰み状態から脱出する最短ルートを、管理者・利用者双方の視点で具体的に解説します。単一管理者テナントや解約希望のケース、将来の再発防止策まで網羅します。
目次
状況の整理（前提とよくある誤解）
ご相談の典型例は次のとおりです。
- スマートフォンを初期化し、Microsoft Authenticator の登録情報を喪失。
- ワークアカウント（例：
@eastgatetech.onmicrosoft.com）のサインインで Authenticator 承認 または SMS/音声通話コード の二択を強制される。 - 全体管理者（Global Admin）であってもポータルへ入れないため、自分で MFA（多要素認証）をオフにできない。
- 代替メールは登録済みだが、サインイン選択肢に表示されない。
- 解決できない場合、Microsoft 365 サブスクリプションの解約も視野。
重要なポイント
- 裏ワザで MFA を回避する方法は存在しません。 セキュリティ設計上、本人確認を伴う正規の復旧手順のみが許可されています。
- 職場 / 学校アカウント（Microsoft Entra ID、旧 Azure AD）では、代替メールやセキュリティ質問で本人確認できる仕組みは原則ありません（個人用 Microsoft アカウントとは仕様が異なります）。
- テナントに自分以外の全体管理者がいれば、その管理者があなたの MFA をリセットまたはTAP（Temporary Access Pass：一時アクセスパス）発行で救済可能です。
- 全体管理者が自分ひとり（単一管理者テナント）の場合は、Microsoft 365 管理者向け電話サポート → Data Protection チームへのエスカレーションが唯一かつ最短の解決策です。
結論（最短で確実に復旧するには）
| 手段 | 内容 | 補足・前提 |
|---|---|---|
| Microsoft 365 管理者向け電話サポートへ連絡（推奨） | 1) 国別の管理者専用窓口に発信 2) 自動音声で「① ビジネス利用」「① 技術サポート」を選択 3) 契約情報（会社名 / 課金 ID / 請求宛先など）を提示し、Data Protection チームへのエスカレーションを依頼 4) 本人確認後、MFA を一時解除 / リセット、または TAP を発行してもらう | 最も確実。単一管理者テナントでも有効 |
| 別の全体管理者による MFA リセット | 同じテナントの別管理者が Entra 管理センターからあなたの認証方法を削除し、再登録またはTAP を発行 | 複数管理者がいるテナントのみ |
| バックアップ手段の利用 | 事前に準備した Authenticator のクラウド復元、FIDO2 セキュリティキー、OATH/TOTP などで認証 | 今回のケースでは未準備のため不可 |
| サブスクリプション解約 | 電話サポートで本人確認が取れれば、解約や課金停止も同時に依頼可能 | MFA が解除できない限りポータル操作での解約は不可 |
最短ルートの詳しい手順：管理者向け電話サポート → Data Protection
通話前に揃えるもの（本人確認に役立つ情報）
| 項目 | 例 | 備考 |
|---|---|---|
| テナント名 / ドメイン | eastgatetech / eastgatetech.onmicrosoft.com | カスタム ドメインを追加済みならそれも |
| テナント ID（GUID） | XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX | 請求書や社内台帳に控えがあれば最速 |
| 課金 ID / 契約番号 | 取引明細の記載番号 | 請求先担当の連絡先とともに |
| 管理者氏名・役職・会社名 | 山田 太郎 / 情シス部長 / EastGate Tech | 名刺・社員証など |
| 請求情報の一部 | 登録済み決済手段の下4桁 等 | 可能な範囲で。全面開示は不要 |
| ドメイン保有の証跡 | DNS 変更権限の所在 | 必要に応じて TXT レコード追加で確認されることあり |
電話の進め方（実践スクリプト）
自動音声のメニューで「ビジネス → 技術サポート」を選び、オペレーターに次の要点を簡潔に伝えます。
- 「全体管理者のスマートフォン初期化により Authenticator 情報を喪失。MFA が要求されてサインイン不可です」。
- 「Data Protection チームへのエスカレーションをお願いします」。
- 「本人確認のため必要情報（上記表）を提示します。MFA の一時解除またはリセット / TAP 発行をご支援ください」。
サポートが提示しうる解決オプション
- MFA 一時バイパス：短時間だけ MFA を無効化して管理者サインインを可能にする（ログイン後に新しい認証方法を登録）。
- MFA 登録のリセット：既存の Authenticator / 電話番号などの登録を削除し、再登録を促す。
- Temporary Access Pass（TAP）の発行：サインイン画面で「別の方法」から使える一時コードを発行（有効期限と回数を限定）。
- 解約の受付：本人確認が済めば、同じ通話で解約や課金停止手続きの起票も可能。
通話メモ用テンプレート（コピーしてお使いください）
【ケース番号】
【発信者名 / 連絡先】
【テナント名 / ドメイン / テナントID】
【事象】Authenticator と電話番号が使えずサインイン不能
【希望】Data Protection へエスカレーション / TAP 発行 or MFA 一時解除 or 登録リセット
【本人確認で提示した情報】
【サポート側の提案】
【次回アクション / 期限】
別の全体管理者がいる場合の復旧フロー（GUI / PowerShell / TAP）
GUI（Entra 管理センター）で MFA をリセット
- 全体管理者 A が Entra 管理センターにサインイン。
- ユーザー → 対象ユーザー → 認証方法（または「セキュリティ情報」）を開く。
- 登録済みの Microsoft Authenticator、電話、FIDO2 キー などを 削除。
- 必要に応じてユーザーに 再登録の要求（強制登録）をトリガー。
この操作でユーザーは次回サインイン時に新しい Authenticator / 電話番号等を登録できます。
Temporary Access Pass（TAP）の発行（強く推奨）
TAP は、MFA 喪失時のために設計された公式の「一時コード」です。SMS が使えない環境でも、ブラウザーから直接入力できます。
- 管理センターで 認証方法 > Temporary Access Pass を有効化（対象グループを限定）。
- 対象ユーザーを選択し、有効期限（例：2 時間）、使用回数（1 回）を設定して TAP を発行。
- TAP を安全な経路で本人へ伝達（口頭のみ / 画面共有での表示に留める等）。
- ユーザーはサインイン画面で「別の方法」→「一時アクセスパス」を選んでログインし、直後に Authenticator や FIDO2 キーを再登録。
PowerShell（Microsoft Graph）で登録を削除する例
自動化や遠隔対応が必要なときは PowerShell が便利です。以下は概念例です（実運用では変更履歴と監査ログを必ず保全）。
# 管理者端末で実行（要: 適切な特権ロール）
Install-Module Microsoft.Graph -Scope CurrentUser
Import-Module Microsoft.Graph
# 認可スコープを付与
Connect-MgGraph -Scopes "User.ReadWrite.All","UserAuthenticationMethod.ReadWrite.All"
Select-MgProfile -Name "v1.0"
# 対象ユーザー
$userId = (Get-MgUser -UserId "[[email protected]](mailto:[email protected])").Id
# 登録済みの認証方法一覧を取得
Get-MgUserAuthenticationMethod -UserId $userId
# 例: 特定の認証方法を削除（AuthenticationMethodId を前段の結果から控えて指定）
Remove-MgUserAuthenticationMethod -UserId $userId -AuthenticationMethodId "XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX"
# 必要に応じて一括削除 → 再登録を強制
Conditional Access（条件付きアクセス）の注意
- 管理者復旧のため、一時的に対象ユーザーを MFA 必須のポリシーから除外することも可能ですが、期間限定・対象限定で実施してください。
- 復旧後は除外設定を必ず戻し、監査ログで変更を記録します。
単一管理者テナントの場合：サポート以外に抜け道はない
全体管理者がひとりしかいないテナントで、その管理者がロックアウトされた場合、自己解決はできません。電話サポート → Data Protectionを必ず使い、本人確認の後に MFA 一時解除 / リセット / TAP 発行 のいずれかで復旧します。
社内のガバナンス上、復旧のために第三者へアカウント資格情報を共有することは避け、コールの録音・作業ログの保全・事後の権限見直しを実施してください。
「代替メール」が選べない理由（職場 / 学校アカウントの仕様）
個人用 Microsoft アカウント（Outlook.com など）では、代替メールやセキュリティ質問が復旧の選択肢になることがあります。しかし職場 / 学校アカウント（Entra ID）では、管理者が許可した認証方法のみが利用でき、ポリシーでメール認証が無効になっている環境も多く、サインインの選択肢に表れません。これは設計上の仕様であり、不具合ではありません。
サブスクリプション解約の進め方（入れない場合 / 入れた場合）
入れない場合（今回のケース）
- 電話サポートで本人確認の上、解約・課金停止の手続きを依頼します。
- 必要に応じて、解約前に一時的にポータルへ入れるよう MFA 一時解除 or TAP を出してもらい、データのエクスポート・引継ぎを完了させます。
入れた場合（復旧後）
- Microsoft 365 管理センター → 請求 → 製品とサービス から対象サブスクリプションを開く。
- サブスクリプションのキャンセル を選択し、表示される注意事項に従う。
- キャンセル後の データ保持期間・復元可否・返金条件 を確認して完了。
解約時の注意点
- キャンセル直後にすべてのサービスが即時停止されるわけではありません。保持期間内に必要なデータを確実に退避してください。
- カスタム ドメインの扱い（DNS レコードのクリーンアップ）も忘れずに。
再発防止：ロックアウトを二度と起こさないための設計と運用
必須チェックリスト
| 施策 | 具体的な設定 / 運用 | 効果 |
|---|---|---|
| Authenticator のクラウドバックアップ | iOS/Android の Authenticator で バックアップ を有効化。新端末で 復元。 | 端末紛失・初期化時の迅速復旧 |
| FIDO2 セキュリティキーの追加 | 鍵を 2 本以上登録（管理者は保管場所を分散）。 | スマホ不通でも MFA 代替を確保 |
| TAP（Temporary Access Pass）の常備運用 | 対象グループ限定で有効化。ヘルプデスクが発行できるように SOP を整備。 | ロックアウト時の安全なオンボーディング |
| 複数の全体管理者 | 最低 2 名以上。相互に MFA リセットが可能な体制。 | 単一管理者の単一障害点を排除 |
| Break-glass アカウント | クラウド専用・長く強固なパスフレーズ、MFA/CA から除外、使用は金庫番承認がある緊急時のみ。監査・アラート設定。 | 全体障害時の最後の砦 |
| 条件付きアクセスの設計 | 管理者/緊急アカウント用の除外・緊急手順を定義。定期演習。 | セキュリティと可用性の両立 |
| 登録方法の二重化 | Authenticator（通知）に加え、コード、FIDO2、OATH/TOTP などを併用。 | 一方式の故障に強くなる |
| 資産管理と連絡網 | 管理者端末・セキュリティキー・SIM 回線の管理台帳、緊急連絡手順。 | 復旧の初動を高速化 |
ユーザー向け周知テンプレート（社内ポータル掲載用）
【多要素認証の再登録が必要なとき】
1) 新しいスマートフォンに Microsoft Authenticator をインストール
2) 社内ポータル「MFA 再登録フォーム」から申請（本人確認あり）
3) ヘルプデスクが TAP を発行 → サインイン時に「別の方法」から TAP を入力
4) ログイン後すぐに Authenticator / FIDO2 キーを再登録
トラブルシューティング：それでも入れないときの確認ポイント
- SSPR（Self-Service Password Reset）と MFA の違い：SSPR を有効にしていても、サインイン時に要求される認証要素は条件付きアクセスや認証方法ポリシーの影響を受けます。SSPR 成功 = サインイン成功とは限りません。
- デバイスの時刻ズレ：OATH/TOTP を使う場合、スマホの時刻がずれているとコードが無効になります。自動時刻をオンに。
- 番号詐称 / 迷惑電話対策：SMS/音声通話の着信拒否やキャリアの迷惑ブロック設定が原因で受信できないことがあります。
- フェデレーション / ハイブリッド：AD FS 連携やハイブリッド環境では、IdP 側の設定やネットワーク到達性も確認が必要。クラウド側の MFA 以前で止まっていないかを切り分けます。
- CA の地理条件：国外出張やモバイル回線で、信頼済みの場所から外れたために追加要素が必須になる場合があります。
セキュリティと可用性のバランス（実務のコツ）
- 「強すぎるポリシー」≠「安全」：管理者まで SMS/Authenticator の単一手段に依存すると、今回のようなロックアウトで業務停止します。FIDO2 + Authenticator + TAP の三層が現実的です。
- 監査とアラート：MFA のリセット、TAP の発行、CA の変更はすべてログに残し、アラートを設定。四半期レビューで「誰が」「何を」「なぜ」実施したかを点検します。
- 演習：年 1–2 回、管理者が実際に「端末紛失を想定した復旧リハーサル」を行い、手順の鮮度と人の慣れを維持します。
ケーススタディ：今回の環境に対する推奨アクション（時系列）
- 今すぐ：管理者向け電話サポートへ発信 → Data Protection へエスカレーション → MFA 一時解除 / TAP 発行のいずれかでサインインを回復。
- 当日中：サインイン後ただちに Authenticator を再登録し、FIDO2 キー（2 本）を追加。CA の除外設定や一時緩和を元に戻す。
- 翌日まで：TAP 運用と Break-glass アカウントを整備。複数管理者体制へ移行。ヘルプデスク手順を確定。
- 1 週間以内：社内ルール・台帳・アセット管理を更新。演習を計画し、四半期ごとの棚卸しサイクルに組み込む。
FAQ（よくある質問）
Q. Authenticator を再インストールしたが、アカウントが復元されません。
A. バックアップを有効にしていないと自動復元はできません。今回は管理者リセットまたは TAP による再登録が必要です。
Q. 代替メールにコードを送ってほしい。
A. 職場 / 学校アカウントでは、ポリシーで許可された方法しか選べません。多くの環境でメールは無効化されており、サインインの選択肢に表示されません。
Q. 一時的に MFA を外して自分で外せませんか？
A. 自分が入れない状態では不可。別管理者によるリセット、またはサポート経由の本人確認が必要です。
Q. 解約だけしたいのですが。
A. サポート側の本人確認が取れれば、ポータルに入れなくても解約の起票が可能です。データ退避の観点から、一時的にポータルへ入れる措置（TAP 等）を併用するのが安全です。
まとめ
Authenticator も電話番号も使えず Microsoft 365 に入れない状況は、Data Protection へのエスカレーションが鍵です。複数管理者体制・FIDO2・TAP・Break-glass の 4 点セットを整えておけば、端末紛失や初期化でも業務は止まりません。今回の手順でまずは確実に復旧し、その後の設計・運用を見直して「二度と詰まない」環境へアップデートしましょう。
コメント