AADのエンタープライズアプリケーションで、Teamsのグループ(Microsoft 365グループ)を割り当てできない【解決しました】

7/23/2021

Azure AD Microsoft 365

 Azure AD でシングルサインオンを構成するために、対象グループにTeamsで作成したグループを割り当てようとしたところ、意図したグループが検索して表示されずに割り当てできません。

シングルサイオンや、App Proxyの割り当て、ライセンスの自動割り当てなど応用範囲は広いのに、使えないのは困ります。

その原因と、解決方法を備忘を兼ねてまとめてみました。


解決方法

症状

原因

余談ですが・・・

Power Appsでも

参考資料

解決方法

Azure AD のPowerShell コマンドレットで、以下を実行すると、割り当てが可能になります。

    Set-AzureADGroup -ObjectId "<ObjectId>" -securityEnable $true


また、こちらのコマンドレットで有効化されているか確認できます。

    Get-AzureADGroup -ObjectId "<ObjectId>" |  select-object displayname,securityenabled


症状

Azure AD 管理センターや、Microsoft 365 管理センター上で、利用したいMicrosoft 365 グループ(Teamsからユーザーが作成したグループです)が表示されることは確認しました。


Azure AD のエンタープライズアプリケーションにて、上記のグループに割り当てたいのですが、検索しても表示されません。


かといって、すべてのグループが割り当てできないというわけではなく、試したところ以下の通りとなりました。

グループの種類 可・不可
セキュリティグループ
メールが可能なセキュリティグループ
Microsoft 365 グループ 可のグループ、不可のグループがある
配布リスト 不可

配布リストは不可なのは当然として、Microsoft 365 グループで可不可混在というのが気になります。

古いM365グループは基本的に割り当て可。比較的新しいM365グループは不可でした。


Azure AD管理センターでプロパティを見ても違いが見つけられず、これはPowerShellで設定するような属性があるに違いありません。



原因

結論からいうと、上記のPowerShellコマンドレットで securityEnable 属性をTrueに変更したところ、割り当て可能になりました。

Docsのgroupリソースの種類に以下の記述がありました。

  • securityEnabled
  • ブール値
  • グループがセキュリティ グループであるかどうかを指定します。既定で返されます。 $filter (eq、ne、NOT、in) をサポートします。


上記をPowerShellでTrueにすると、即時割り当てが可能になりました。解決!



問い合わせしてみたところ、この属性、

  • Teamsのチームを作成した場合は、False
  • Azure AD で作成した場合は、True
となる挙動だと回答いただきました。必要に応じて有効化すればよさそうです。


余談ですが・・・

以前、グループのメンバーに入れたら、自動でMicrosoft 365 のライセンスを割り当てる(グループベースのライセンス割り当て)にて、「Microsoft365グループはライセンス自動割り当てには使えません」って書いてましたが、これを有効化したら利用できますね。


Power Appsでも

この記事をTwitterに投稿したところ、hrfmjpさんよりPower Appsのキャンバスアプリの共有にも同じ設定が必要だと教えていただきました!ありがとうございます。




参考資料

Set-AzureADGroup - Docs
https://docs.microsoft.com/ja-jp/powershell/module/azuread/set-azureadgroup

group リソースの種類 - Docs
https://docs.microsoft.com/ja-jp/graph/api/resources/group

Power Apps のキャンバスアプリを Microsoft Teams のチーム(Office 365 グループ)のメンバーと共有する
https://idea.tostring.jp/?p=5094