Teamsのゲスト招待で自分だけ入れない（同じドメインの同僚は入れる）

#Microsoft365 #Teams #EntraID #認証 #トラブルシュート

Teamsのゲスト招待で自分だけ入れない（同じドメインの同僚は入れる）

取引先が自社のTeamsにゲスト招待してくれた。招待メールは届いている。リンクを開いて会社のメールアドレスを入れると、そこで止まる。

同じ会社ドメインの同僚は同じ招待で普通に入れている。自分だけ入れない。

Gmailで招待し直してもらおうとしたら「規定で個人メールは不可」。取引先が丁寧に「シークレットウィンドウで試して」と手順をくれたが、それでもダメ。「Microsoftに問い合わせます」と返して、そこで止まっていた。

結局、原因は30秒で特定できるものだった。同じ状況の人のために記録しておく。

結論を先に

会社ドメインのMicrosoft 365（Entra ID）テナントは存在していて、そこに自分のユーザーが無かった。

Microsoftは会社ドメインを「管理されたドメイン」と判定すると、そのドメインのアドレスを必ず「職場アカウント」として扱う。テナントに自分のユーザーが無ければ、ユーザー名を入力した直後の「アカウント特定」で止まる。個人アカウントとしての逃げ道も塞がれる。

同僚が入れるのは、同僚のユーザーがテナントに存在するから。それだけだった。

症状

招待メール（invites.microsoft.com）は届く
リンクを開く → メールアドレス入力 → 「このユーザー名は間違っているかもしれません。正しく入力したか確認してください。そうでなければ管理者に連絡してください」
Teamsデスクトップアプリでもブラウザでも、シークレットウィンドウでも同じ
招待元は「招待先アドレスに誤りはない。貴社ドメインがMicrosoft 365に登録されていることも確認した」と言う

最後の一文が実はヒントだった。「登録されている」ことは知らなかったので。

30秒でテナントの有無を確認する

ログイン不要。ブラウザで開くだけ。

https://login.microsoftonline.com/getuserrealm.srf?login=you@example.co.jp&json=1

返ってくるJSONの NameSpaceType を見る。

値	意味
`Managed`	そのドメインのテナントが存在する。パスワードはMicrosoft側で管理
`Federated`	テナントが存在し、認証は外部IdP（ADFSなど）に委譲
`Unknown`	テナント未登録

今回は Managed。FederationBrandName に会社名らしきものまで入っていた。誰かが過去に会社メールで何かのMicrosoftサービスに登録したとき、Microsoftが勝手にテナントを作ったのだと思う（いわゆるアンマネージド／バイラルテナント）。

テナントIDも取れる。

https://login.microsoftonline.com/example.co.jp/.well-known/openid-configuration

token_endpoint などのURLに含まれるGUIDがテナントID。管理者に「このIDのテナントに心当たりある？」と聞ける材料になる。

個人アカウントの線を潰す

もう一つの定番原因は「同じメールアドレスで個人用Microsoftアカウント（旧Live ID）が存在していて衝突している」パターン。これは signup.live.com で会社メールを入れると分かる。

You can't sign up with a work or school email. Use your personal email instead.

こう出たら、個人アカウントは存在しないし、作れもしない。ドメインがEntra管理下にあるからだ。原因候補が「テナントにユーザーが無い」一本に絞れる。

セルフサインアップは効くか

Microsoftの一部サービス（Power Apps、Power BI、Teams無料版など）には、会社メールでのセルフサービスサインアップがある。既存テナントに自分のユーザーを作る抜け道になることがある。

試したが、今回は導線が出なかった。ログイン画面にメールを入れて「このユーザー名は間違っているかもしれません」で終わり。「アカウントを作成」のリンクは個人アカウント作成に飛ぶだけで、さっき潰した線に戻る。

管理者側でセルフサインアップが無効になっているか、アンマネージドテナントの仕様か。どちらにせよ、ここは期待しない方がいい。

対処

優先順位の高い順に。

1. テナントの管理者に自分のユーザーを作ってもらう
同僚（入れている人）に https://entra.microsoft.com を開いてもらう。「ユーザー」一覧が見えれば管理者。新規ユーザーで自分のアドレスを作れば終わり。ゲスト招待の受け口になるだけなので、Microsoft 365のライセンスは不要。

「ユーザー」が開けなくても、自分の行の「割り当てられたロール」で誰がグローバル管理者か分かることがある。

2. 誰も管理者でない場合：admin takeover
アンマネージドテナントは、ドメインのDNSにMicrosoft指定のTXTレコードを置いて所有権を証明すれば管理者権限を取れる。DNSを触れる人が必要なので、小さい会社だとここで待ちが発生する。

3. 保険：別の組織ドメインで招待してもらう
招待元が拒んだのは「フリーメール」であって「別ドメイン」ではない。自分が管理している別の法人ドメインがあれば、そちらでEntraの無料テナントを自分で作って招待してもらう手もある。ただし所属の説明が必要になる。

今回は1を進めている。解決したら追記する。

教訓

「同じドメインの人は入れる、自分だけ入れない」は、ほぼ「テナントに自分がいない」。

Microsoftのエラー文言は「管理者がいる世界」しか想定していない。「管理者に連絡してください」と言われても、小さな会社では「管理者が誰か分からない」こと自体が問題だったりする。誰かが勢いで作ったテナントが放置されている、自社はGoogle Workspaceで Microsoft は取引先のためだけに使う、という会社は多いはず。

そういう「想定外の立場」にいるときは、頑張って道を探すより、想定内の立場に自分を置き直す（＝テナントにちゃんと自分のユーザーを作る）のが最短だった。

もう一つ。取引先からの「画面共有で一緒に見ましょうか」という申し出を、流れの中でスルーしていた。トラブル対応のメールは、相手の提案を全部拾ってから返す。

診断コマンド集

# テナントの有無と種別（ログイン不要）
curl -s "https://login.microsoftonline.com/getuserrealm.srf?login=you@example.co.jp&json=1" | jq .

# テナントID
curl -s "https://login.microsoftonline.com/example.co.jp/.well-known/openid-configuration" | jq -r .token_endpoint

NameSpaceType が Managed で、かつログイン画面で「ユーザー名が間違っているかも」と出たら、テナントに自分がいない。管理者を探すところから始める。