Windows デバイスでのプライマリ更新トークンの問題のトラブルシューティング

この記事では、Microsoft Entra 資格情報を使用して Microsoft Entra 参加済み Windows デバイスで認証するときのプライマリ更新トークン (PRT) に関連する問題をトラブルシューティングする方法について説明します。

Microsoft Entra ID またはハイブリッド Microsoft Entra ID に参加済みのデバイスでは、認証のメイン コンポーネントは PRT です。 このトークンは、Microsoft Entra 参加済みデバイスで Microsoft Entra 資格情報を使用して Windows 10 に初めてサインインすることによって取得します。 PRT はそのデバイスにキャッシュされます。 以降のサインインでは、デスクトップを使用できるようにするためにキャッシュされたトークンが使用されます。

デバイスのロックとロック解除、または Windows への再サインインのプロセスの一環として、PRT を更新するためにバックグラウンド ネットワーク認証が 4 時間ごとに 1 回試行されます。 トークンの更新を妨げる問題が発生した場合、PRT は最終的に期限切れになります。 有効期限は、Microsoft Entra リソースへのシングル サインオン (SSO) に影響します。 また、サインイン プロンプトが表示されるようになります。

PRT の問題が存在すると思われる場合は、まず Microsoft Entra ログを収集し、トラブルシューティング チェックリストに記載されている手順に従うことをお勧めします。 これを、できれば再現セッション内で、まず Microsoft Entra クライアントの問題に対して行います。 サポート要求を提出する前に、このプロセスを完了してください。

トラブルシューティングのチェックリスト

手順 1: プライマリ更新トークンの状態を取得する

1. PRT の問題が発生しているユーザー アカウントで Windows にサインインします。

2. [スタート] を選択し、[コマンド プロンプト] を検索して選択します。

3. デバイス登録コマンド (dsregcmd) を実行するには、dsregcmd /status を入力します。

4. デバイス登録コマンドの出力の SSO state セクションを見つけます。 次のテキストは、このセクションの例を示しています。

   +----------------------------------------------------------------------+
   | SSO State                                                            |
   +----------------------------------------------------------------------+
   
                   AzureAdPrt : YES
         AzureAdPrtUpdateTime : 2020-07-12 22:57:53.000 UTC
         AzureAdPrtExpiryTime : 2020-07-26 22:58:35.000 UTC
          AzureAdPrtAuthority : https://login.microsoftonline.com/00001111-aaaa-2222-bbbb-3333cccc4444
                EnterprisePrt : YES
      EnterprisePrtUpdateTime : 2020-07-12 22:57:54.000 UTC
      EnterprisePrtExpiryTime : 2020-07-26 22:57:54.000 UTC
       EnterprisePrtAuthority : https://msft.sts.microsoft.com:443/adfs
   
   +----------------------------------------------------------------------+
   

5. AzureAdPrt フィールドの値を確認します。 NO に設定されている場合は、Microsoft Entra ID から PRT 状態を取得しようとしたときにエラーが発生しました。

6. AzureAdPrtUpdateTime フィールドの値を確認します。 AzureAdPrtUpdateTime フィールドの値が 4 時間を超えている場合は、PRT の更新を妨げる問題が発生したと考えられます。 デバイスをロックしてからロックを解除して PRT の更新を強制的に実行し、時間が更新されるかどうかを確認します。

手順 2: エラー コードを取得する

次の手順では、PRT エラーの原因となるエラー コードを取得します。 PRT エラー コードを取得する最も簡単な方法は、デバイス登録コマンドの出力を調べることです。 ただし、この方法には、Windows 10 の 2021 年 5 月の更新プログラム (バージョン 21H1) 以降のバージョンが必要です。 もう 1 つの方法は、Microsoft Entra 分析ログと操作ログでエラー コードを見つけることです。

方法 1: デバイス登録コマンドの出力を調べる

PRT エラー コードを取得するには、dsregcmd コマンドを実行し、SSO State セクションを見つけます。 AzureAdPrt フィールドで、Attempt Status フィールドにエラー コードが含まれています。 次の例では、エラー コードは 0xc000006d です。

                AzureAdPrt : NO
       AzureAdPrtAuthority : https://login.microsoftonline.com/aaaa0000-bb11-2222-33cc-444444dddddd
     AcquirePrtDiagnostics : PRESENT
      Previous Prt Attempt : 2020-09-18 20:20:09.760 UTC
            Attempt Status : 0xc000006d
             User Identity : user@contoso.com
           Credential Type : Password
            Correlation ID : aaaa0000-bb11-2222-33cc-444444dddddd
              Endpoint URI : https://login.microsoftonline.com/aaaa0000-bb11-2222-33cc-444444dddddd/oauth2/token
               HTTP Method : POST
                HTTP Error : 0x0
               HTTP status : 400
         Server Error Code : invalid_grant
  Server Error Description : AADSTS50126: Error validating credentials due to invalid username or password.

方法 2: イベント ビューアーを使用して AAD の分析ログと運用ログを調べる

1. [スタート] を選択し、[イベント ビューアー] を検索して選択します。

2. コンソール ツリーが [イベント ビューアー] ウィンドウに表示されない場合は、[コンソール ツリーの表示/非表示] アイコンを選択してコンソール ツリーを表示します。

3. コンソール ツリーで、[イベント ビューアー (ローカル)] を選択します。 子ノードがこの項目の下に表示されない場合は、選択内容をダブルクリックして表示します。

4. [表示] メニュー項目を選択します。 [分析ログとデバッグ ログの表示] の横にチェックマークが表示されていない場合は、そのメニュー項目を選択してその機能を有効にします。

5. コンソール ツリーで、[アプリケーションとサービス ログ]>[Microsoft]>[Windows]>[AAD] の順に展開します。 [操作] と [分析] の子ノードが表示されます。

   注意

   Microsoft Entra クラウド認証プロバイダー (CloudAP) プラグインでは、エラー イベントは 操作イベント ログに書き込まれ、情報イベントは分析イベント ログに書き込まれます。 PRT の問題をトラブルシューティングするには、操作イベント ログと分析イベント ログの両方を調べる必要があります。

6. コンソール ツリーで、[分析] ノードを選択して、AAD 関連の分析イベントを表示します。

7. 分析イベントの一覧で、イベント ID 1006 と 1007 を検索します。 イベント ID 1006 は PRT 取得フローの開始を表し、イベント ID 1007 は PRT 取得フローの終了を表します。 イベント ID 1006 とイベント ID 1007 の間で発生した AAD ログ (分析と操作の両方) 内のすべてのイベントは、PRT 取得フローの一部としてログに記録されます。 次の表にイベント一覧の例を示します。

   Level	日時	source	イベント ID	Task Category
   情報	6/24/2020 3:35:35 AM	AAD	1006	AadCloudAPPlugin Operation
   情報	6/24/2020 3:35:35 AM	AAD	1018	AadCloudAPPlugin Operation
   情報	6/24/2020 3:35:35 AM	AAD	1144	AadCloudAPPlugin Operation
   情報	6/24/2020 3:35:35 AM	AAD	1022	AadCloudAPPlugin Operation
   エラー	6/24/2020 3:35:35 AM	AAD	1084	AadCloudAPPlugin Operation
   エラー	6/24/2020 3:35:35 AM	AAD	1086	AadCloudAPPlugin Operation
   エラー	6/24/2020 3:35:35 AM	AAD	1160	AadCloudAPPlugin Operation
   情報	6/24/2020 3:35:35 AM	AAD	1007	AadCloudAPPlugin Operation
   情報	6/24/2020 3:35:35 AM	AAD	1157	AadCloudAPPlugin Operation
   情報	6/24/2020 3:35:35 AM	AAD	1158	AadCloudAPPlugin Operation

8. イベント ID 1007 を含む行をダブルクリックします。 このイベントの [イベントのプロパティ] ダイアログ ボックスが表示されます。

9. [全般] タブの説明ボックスで、エラー コードをコピーします。 エラー コードは、0x で始まり、8 桁の 16 進数が続く 10 桁の文字列です。

手順 3: 特定のエラー コードのトラブルシューティング手順を取得する

状態コード ("STATUS_" プレフィックス、"0xc000" で始まるコード)

共通 CloudAP プラグイン エラー コード ("AAD_CLOUDAP_E_" プレフィックス、"0xc004" で始まるコード)

共通 XML エラー コード ("0xc00c" で始まるコード)

共通サーバー エラー コード ("AADSTS" プレフィックス)

サーバー エラー コードの完全なリストと説明については、「Microsoft Entra 認証と承認のエラー コード」を参照してください。

共通ネットワーク エラー コード ("ERROR_WINHTTP_" プレフィックス)

ネットワーク エラー コードの完全な一覧と説明については、「エラー メッセージ (Winhttp.h)」を参照してください。

手順 4: ログとトレースを収集する

通常のログ

1. Auth スクリプト アーカイブをダウンロードし、スクリプトをローカル ディレクトリに抽出します。 必要に応じて、KB 4487175 で手順を確認します。

2. 管理 PowerShell セッションを開き、現在のディレクトリを Auth スクリプトを保存したディレクトリに変更します。

3. エラー トレース セッションを開始するには、次のコマンドを入力します。

   .\Start-auth.ps1 -v -acceptEULA
   

4. Windows ユーザー アカウントを切り替えて、問題のあるユーザーのセッションに移動します。

5. デバイスをロックします。

6. デバイスが Microsoft Entra ハイブリッド参加済みデバイスの場合は、PRT 取得タスクが完了するまで少なくとも 60 秒待ちます。

7. デバイスのロックを解除します。

8. Windows ユーザー アカウントを切り替えてトレース セッションを実行している管理セッションに戻ります。

9. 問題を再現したら、次のコマンドを実行してトレース セッションを終了します。

   .\stop-auth.ps1
   

10. すべてのトレースが完全に停止するまで待ちます。

タイム トラベル トレース

次の手順では、タイム トラベル デバッグ (TTD) 機能を使用してトレースをキャプチャする方法について説明します。

1. [スタート] を選択し、「cmd」と入力し、検索結果で [コマンド プロンプト] を見つけて右クリックし、[管理者として実行] を選択します。

2. コマンド プロンプトで、一時ディレクトリを作成します。

   mkdir c:\temp
   

3. 次の tasklist コマンドを実行します。

   tasklist /m lsasrv.dll
   

4. tasklist コマンドの出力で、PID のプロセス識別子 () を見つけます。

5. lsass.exe プロセスのトレース セッションを開始するには、次のタイム トラベル デバッグ コマンド (TTD.exe) を実行します。

   TTD.exe -attach <lsass-pid> -out c:\temp
   

6. ドメイン アカウントでサインインしているデバイスをロックします。

7. デバイスのロックを解除します。

8. タイム トラベル トレース セッションを終了するには、次の TTD コマンドを実行します。

   TTD.exe -stop all
   

9. 最新の lsass##.run ファイルを取得します。