Microsoft 365 （更新: 2026年9月20日）

「デバイスは組織のコンプライアンス要件に準拠している必要があります」と出てサインインできないときの対処法

Microsoft 365 にサインインしようとすると、次のメッセージが表示されて先に進めないことがあります。

デバイスは組織のコンプライアンス要件に準拠している必要があります エラーコード: 53000

このエラーは端末の故障でも、パスワードの間違いでもありません。会社の Entra ID（旧 Azure AD）に「準拠していると確認できた端末だけを通す」というルールが設定されていて、今使っている端末がその確認を通らなかった、という意味です。

本記事では、利用者側で試せることと、管理者側で確認すべきことを分けて説明します。コンプライアンスポリシーそのものの設計はIntuneコンプライアンスポリシー設計｜条件付きアクセスとの連携で解説しているので、ここでは「今ブロックされている端末を通す」ことに絞ります。

仕組み：2つの部品が組み合わさって出るエラー

このエラーは、次の2つが揃ったときに出ます。

  1. Microsoft Entra 条件付きアクセスのポリシーで、許可の条件に「デバイスは準拠としてマーク済みである必要があります」が入っている
  2. アクセス元の端末が、Microsoft Intune から「準拠（Compliant）」と報告されていない

Intune は端末を登録（エンロール）したうえで、コンプライアンスポリシー（暗号化されているか、OSは最新か、PINは設定されているか等）で評価し、その結果を Entra ID に報告します。条件付きアクセスはその報告を見て通す・通さないを決めます。

つまり原因は「端末が Intune に登録されていない」「登録はされているが非準拠」「準拠しているが、その情報が Entra ID に届いていない」の3種類に分けられます。ここを押さえると、切り分けが早くなります。

利用者側でできること

情シスに連絡する前に、次の順で確認してください。5分で直るケースが半分以上です。

1. 会社支給の端末で、正しいアカウントを使っているか

  • 個人のPC・スマートフォンからアクセスしていないか。会社のルールで個人端末が許可されていない場合、このエラーは正常な動作です
  • 個人の Microsoft アカウント（outlook.jp など）や、別会社のアカウントでサインインしていないか
  • Edge や Chrome で複数のプロファイルを使っている場合、職場アカウントでサインインしたプロファイルで開いているか

2. ポータルサイト（Company Portal）で端末の状態を確認する

Windows なら「ポータルサイト」アプリ、スマートフォンなら「Intune ポータルサイト」アプリを開き、自分の端末を選びます。

  • 端末が一覧に出てこない → Intune に登録されていません。管理者の案内に従って登録します
  • **「準拠していません」**と表示され、理由が書かれている → その理由（例: BitLocker が無効、OS 更新が必要、PIN 未設定）を解消します
  • **「準拠しています」**なのにブロックされる → 次の3へ

「デバイスの状態を確認」や「同期」を押すと、Intune への再チェックインが走ります。設定を直した直後は、これを押してから数分待ってください。

3. ブラウザ・アプリが端末情報を提示できる状態か

Entra ID は「どの端末からのアクセスか」を、ブラウザなら端末の証明書、アプリなら PRT（プライマリ更新トークン）で判断します。これが提示できないと、端末が準拠していても「判断できない」として同じエラーになります。

  • Windows の Edge: 職場アカウントで Edge にサインイン（プロファイル）していること。サインインしていない Edge やゲストウィンドウ、InPrivate では端末情報が渡りません
  • Windows の Chrome: Microsoft の拡張機能「Microsoft Single Sign On」が必要です。入っていなければ Edge を使ってください
  • iPhone / iPad: Microsoft Authenticator がインストールされ、職場アカウントが登録されていること。Safari や Outlook アプリは Authenticator を経由して端末情報を提示します
  • Android: Intune ポータルサイトアプリがインストールされていること
  • サードパーティ製アプリ（メールアプリ、ブラウザ）: 端末情報の提示に対応していないものが多く、Microsoft 純正アプリに切り替えると通る場合があります

4. サインアウトして再起動する

上記を確認したら、アプリやブラウザから一度完全にサインアウトし、端末を再起動してから再度サインインします。古い認証トークンが残っていると、直したはずの状態が反映されないことがあります。

ここまでで直らなければ、情シスに**「エラーコード 53000」「端末名」「発生したアプリ（Edge、Outlook アプリ等）」「発生時刻」**を伝えてください。管理者側の切り分けが一気に早くなります。

管理者側で確認すること

1. サインインログでブロックしたポリシーを特定する

Microsoft Entra 管理センター → 「監視と正常性」→「サインイン ログ」で、該当ユーザーの失敗したサインインを開きます。

  • 「基本情報」タブのエラーコードが 53000 であることを確認
  • 「条件付きアクセス」タブで、結果が「失敗」になっているポリシー名を確認。ここに出るポリシーが原因です
  • 「デバイス情報」タブで、デバイスID・準拠状態・参加の種類・ブラウザを確認。デバイスIDが空なら端末情報が提示できていない、デバイスIDはあるが準拠: No なら Intune 側の判定が原因です

デバイスIDが空のケースは、前節3の「端末情報を提示できていない」パターンです。利用者にブラウザのサインインや Authenticator の導入を案内します。

2. Intune で端末の準拠状態と理由を見る

Intune 管理センター → 「デバイス」→ 該当端末 → 「デバイスのコンプライアンス」で、どのポリシーのどの設定が非準拠かが分かります。中小企業で多い理由は次の4つです。

  • BitLocker（暗号化）が無効、または暗号化が完了していない。特に中古PCや、キッティング直後の端末
  • OS の最小バージョンを満たしていない。Windows Update が失敗し続けている端末
  • Defender ウイルス対策のリアルタイム保護が無効、または定義が古い
  • 最後のチェックインから時間が経ちすぎている。既定では30日間報告がないと非準拠扱いになります（「コンプライアンス状態の有効期間」で1〜120日に変更可）

理由が分かれば、端末側でその設定を直し、ポータルサイトから同期させます。

3. 見落としがちなテナント設定

コンプライアンスポリシーを一つも割り当てていない端末が非準拠になっているなら、Intune 管理センター → 「エンドポイント セキュリティ」→「デバイスのコンプライアンス」→「コンプライアンス ポリシー設定」の**「コンプライアンス ポリシーが割り当てられていないデバイスをマークする」**を確認してください。

  • 既定値は「準拠」ですが、条件付きアクセスと組み合わせる際に「非準拠」へ変更することが推奨されています
  • 「非準拠」になっていると、ポリシーが割り当てられていない端末（新しいOS種別、新しく登録した端末グループ等）はすべてブロックされます
  • 対処は設定を戻すことではなく、該当端末を含むグループにコンプライアンスポリシーを割り当てることです。macOS だけポリシーがない、Android のポリシーを作り忘れた、という形で起きがちです

4. 登録の種類と条件付きアクセスの条件が合っているか

  • **Entra 登録（Registered）**だけで Intune に登録されていない端末は、準拠判定の対象になりません。ポータルサイトからの登録、または自動登録の設定を確認します
  • ハイブリッド参加の端末で 53001 が出る場合は、参加が完了していない（デバイスオブジェクトが同期されていない）ことが多いです
  • 条件付きアクセスのポリシーで「準拠デバイスを要求」と「ハイブリッド参加デバイスを要求」を**「いずれか」ではなく「すべて」**にしていないか確認します。両方を満たせる端末は少数です

5. 一時的な回避は期限を決めて

業務が止まっている場合、該当ユーザーをポリシーの除外に入れれば即時に通ります。ただしそれは条件付きアクセスに穴を開ける行為です。除外する場合は期限と解除の担当を決めて記録し、原因が解消したら必ず戻してください。緊急用の「ブレークグラス」管理者アカウントを除外設定と一緒に用意しておくと、管理者自身が締め出される事故も防げます。

再発を防ぐ設計

このエラーは「準拠デバイスを要求」を入れた直後に集中して起きます。導入時に次の3点を押さえると、問い合わせが激減します。

  1. レポート専用モードで先に影響を見る。条件付きアクセスのポリシーを「レポート専用」で数日動かし、サインインログでブロックされる予定のユーザーと端末を洗い出してから「オン」にします
  2. コンプライアンスポリシーを全プラットフォームに用意する。Windows だけ作って macOS・iOS・Android を忘れると、その端末はすべて非準拠になります
  3. 非準拠時のアクションに「猶予期間」と「メール通知」を入れる。判定直後にブロックせず、数日の猶予の間に利用者が自分で直せる形にします

条件付きアクセスのポリシー設計そのものはMicrosoft Entra IDの「条件付きアクセス」とは？とEntra ID 条件付きアクセスのテンプレート活用で、Intune の初期構築はMicrosoft Intune導入ガイドで解説しています。

まとめ

  • エラー 53000 は「準拠デバイスを要求する条件付きアクセス」と「Intune が準拠と報告していない端末」が組み合わさって出る
  • 利用者側は、会社端末か・正しいアカウントか → ポータルサイトの状態 → ブラウザやアプリが端末情報を提示できるか → サインアウトと再起動の順で確認する
  • 管理者側は、サインインログの「条件付きアクセス」タブと「デバイス情報」タブで、ブロックしたポリシーと端末の状態を特定する。デバイスIDが空なら提示の問題、準拠 No なら Intune 側の問題
  • 非準拠の理由は BitLocker・OS更新・Defender・チェックイン切れの4つが大半
  • 「コンプライアンス ポリシーが割り当てられていないデバイスをマークする」が非準拠のとき、ポリシー未割り当ての端末は全部ブロックされる
  • 除外による回避は期限付きで。導入時はレポート専用モードで影響を見てからオンにする

このエラーが頻発している場合、原因は個々の端末ではなく、端末管理と条件付きアクセスの設計が噛み合っていないことにあります。自社の端末台帳・Intune の登録状況・条件付きアクセスの構成をまとめて棚卸ししたい場合は、IT環境診断で読み取り専用の調査と、優先順位付きの是正ロードマップをお渡ししています。

参考

Support365 — 運用代行・ヘルプデスク

Microsoft 365の運用管理・トラブル対応・アカウント管理まで、日々のIT業務をまるごとサポート。

サービス詳細を見る → 60分無料相談

情シスのお悩み、ご相談ください

専門スタッフが貴社の課題に合わせたご提案をいたします。

60分無料相談はこちら 資料ダウンロード
メールでのお問い合わせはこちら →
60分無料相談