Microsoft でログインしようとすると「管理者の承認が必要」と出る

ログイン画面の Microsoft のボタンを押した後、Microsoft の画面に次のどちらかが出て先へ進めないときは、会社の Microsoft 365 が、社員が自分でアプリを承認できない設定になっています。Microsoft 365 の管理者が Subel を会社全体で 1 回承認すると、ログインできるようになります。

• 「管理者の承認が必要」（英語の画面では「Need admin approval」。AADSTS90094）
• 「承認が必要」（英語の画面では「Approval required」。AADSTS90095）

AADSTS50105（The signed in user is not assigned to a role for the application）が出るときは、承認ではなく、管理者があなたを Subel の利用者に追加する必要があります。管理者に利用者を追加するを頼んでください。

ログインする方がすること

1. 会社の Microsoft 365 の管理者（情報システムの担当の方など）に、このページの URL を送り、Subel の承認を頼みます。
2. 承認が済んだら、https://app.subel.ai を開き直します。まだ Subel のアカウントがない方は「無料で始める」を押し、Microsoft のボタンから登録します。アカウントがある方は「アカウントをお持ちの方はログイン」を押し、Microsoft のボタンからログインします。

「承認が必要」の画面に承認を求めるボタンがあるときは、Subel を使う理由を書いて、そこから管理者に承認を頼むこともできます。

メールアドレスとパスワードで登録する

まだ Subel のアカウントがない方は、承認を待てないときに、https://app.subel.ai/start を開いて「無料で始める」を押し、メールアドレスとパスワードでアカウントを作れます。その後も、メールアドレスとパスワードでログインします。

すでに Microsoft で登録した方（会社が後から承認を取り消したときなど）は、同じメールアドレスでは新しく登録できません。別のメールアドレスでは今の組織やデータに入れないので、管理者の承認を待ってください。

Microsoft 365 の管理者が Subel を承認する

Microsoft 365 のグローバル管理者・特権ロール管理者・アプリケーション管理者・クラウド アプリケーション管理者・AI 管理者のどれかの方がします。アプリへの許可を与える権限を持つカスタムロールでもできます。これらの役割がない方がリンクを開くと、ログインする方に出たのと同じ「管理者の承認が必要」の画面が出ます。

1. Subel を会社全体で承認するを開きます。外部の会社の方がゲストとして会社の Microsoft 365 を管理しているときは、リンクを押さずに、次の URL をコピーし、organizations を会社のドメイン（例: example.co.jp）に書き換えて、ブラウザのアドレスバーに貼り付けて開きます。

   https://login.microsoftonline.com/organizations/v2.0/adminconsent?client_id=5140726e-7a46-4bc5-9fd0-311cdc4f5372&scope=openid%20profile%20email%20https%3A%2F%2Fgraph.microsoft.com%2FUser.Read&redirect_uri=https%3A%2F%2Fdocs.subel.ai%2Ftroubleshooting%2Fmicrosoft-admin-approval%2F

2. 管理者のアカウントで Microsoft にサインインします。

3. 「要求されているアクセス許可」の画面で、Subel が求める許可を確かめて、「承諾」を押します。Subel の名前の下には「未確認」と出ます。Microsoft の発行元の確認を、Subel がまだ済ませていないためです。

4. 「承諾」を押すと、このページがもう一度開きます。アドレスバーに admin_consent=True があり error= がなければ、承認は済んでいます。ログインする方に、はじめからもう一度ログインしてもらい、確かめます。まだ同じ画面が出るときは、承認が正しい組織に届いていないか、途中でやめています。

Subel が求めるのは、サインインと基本のプロフィールの読み取り、メールアドレスの読み取りだけです（Microsoft Graph の openid・profile・email・User.Read）。Subel が使うのは、名前とメールアドレスだけです。承諾の画面では、これらが「Sign in and read user profile」の 1 行にまとまって出ます。もう 1 行の「Maintain access to data you have given it access to」は、Microsoft がどのアプリの承諾の画面にも出す項目で、Subel がほかに求めている許可ではありません。

利用者を追加する

Subel の「割り当てが必要ですか?」が「はい」のときは、使う方を管理者が追加しないと、承認の後も AADSTS50105 が出ます。「エンタープライズ アプリケーション」の Subel を開き、「ユーザーとグループ」に使う方かグループを追加します。

ほかの承認のしかた

• Microsoft Entra 管理センターの「エンタープライズ アプリケーション」に Subel があるときは、Subel の「アクセス許可」の「（組織の名前）に管理者の同意を与えます」からも承認できます。Subel が一覧にあるのは、会社の誰かが前に Subel を承認したときなどです。
• 管理者の承認を頼める設定にしているときは、「エンタープライズ アプリケーション」の「管理者の同意要求」に届いた Subel の頼みを承認します。