AzureAD joined PCでサインインできなくなったので初期化した

5219 ワード
クリーンインストール autopilot AzureAD AzureActiveDirectory Windows10 Windows10 テキストリンク

AzureADに参加しているPC（＝AzureAD joinedされたデバイス）の一部でサインインできなくなった。
具体的には、表示されているAzureADアカウントではサインインできず、画面左下（下画像黄枠）に「他のユーザー」も表示されない状態。

Windows Autopilotで展開したデバイスではローカルアカウントは無効化され、AutopilotでサインインしたアカウントがAzureADのグローバル管理者であればWindowsの管理者権限を持つ。
なので、Intune上でデバイスを削除したり、リタイヤさせると、Windowsにサインインできるアカウントは居なくなるのだが、今回そのような操作はしていないらしい。

原因不明で初期化することになったので手順を残す。

初期化の方法

Windows10を初期化する方法には、

  • メディアから起動して行う方法
  • 回復パーティションを使う方法
  • 「ローカル再インストール」を使う方法（バージョン1507から導入）
  • 「クラウドからダウンロード」を使う方法（バージョン2004から導入）

がある。

メディアから初期化する場合、DVD-ROM等のインストールメディア、マイクロソフトのサイトで作成したUSBメモリ、回復ドライブが保存されているUSBメモリ、この何れかが必要。

「ローカル再インストール」は、今ローカルにある既存のWindowsファイルを元に再インストールするもので、回復パーティションを必要としないのでディスク領域を節約できる。

「クラウドからダウンロード」は、今のOSと同じバージョン、エディションをクラウドからダウンロードして再インストールする機能。

今回は従前からある回復パーティションを使って初期化した。

回復パーティションとは

回復パーティションはハードドライブ上の特殊なパーティションで、システムに問題が発生した場合にシステムを工場出荷時に戻すために使用される。

回復パーティションがあるかどうかは「ディスクの管理」で確認できる。

回復パーティションには、出荷前にDELLやHP等のコンピュータ製造メーカによって作成されたOEMパーティションと、Windows回復環境（WinRE）を保持するパーティションがある。
OEMパーティションなら、ドライバやビルトインアプリケーションも含めて復元できるため、メーカが提供する復元手順を試みる。

DELLを使っていたのでPC起動時にF12キーを連打してBoot Menuを開いたが、Dell SupportAssist OS Recoveryの選択肢が無い。どうやら初期設定では表示されないらしく、F2キー連打でBIOSに入り、SupportAssist OS Recoveryにチェックを入れようとするも項目が無い。対応しない古いPCと判明。

WinREからリカバリーする。

WinREから初期化

サインイン画面で、右下の電源アイコンをクリックし、Shiftキーを押しながら [再起動] をクリックする。
もしくはコマンドプロンプトからshutdown /r /oでもOK。

「オプションの選択」画面で「トラブルシューティング」をクリックする。
「デバイスの使用」を選ぶとUSBドライブ等からブートできる。

「トラブルシューティング」画面で「このPCを初期状態に戻す」をクリックする。

もし「工場出荷時のイメージの復元（Factory Image Restore）」が選択できる場合は、迷わず使用した方が早い。

「このPCを初期状態に戻す」画面で「すべて削除する」をクリックする。

続けて「ドライブを完全にクリーンアップする」をクリックする。
Windows10 May 2020 Update（バージョン2004）以降では「クラウドのダウンロード」を選択できる場合がある。

最後に「初期状態に戻す」をクリックする。

このまま30分くらい放置する。

再起動後、TPMをクリアするか聞いてくるのでF12キーで応答。
TPMというのはマザーボードにあるセキュリティチップで、BitLockerのキーが保存されている。
マザーボードを交換すると回復キーの入力を求められるのはそういう理由だ。
今回は初期化しているのだからTPMをクリアして構わない。

A configuration change was requested to enable, activate, and clear the TPM.
This action will clear and turn on the computer's TPM (Trusted Platform Module)

WARNING: This request will remove any keys stored in the TPM.

Press F12 to enable, activate, and clear the TPM.
Press Esc to reject this change request and continue.

▼ マザーボード交換時などに出るBitLocker回復画面

▼ エンドポイントマネージャの画面（AAD参加PCであれば鍵の設定はAADにバックアップされる）

なお、コマンドプロンプトから管理者権限でreagentc /disableコマンドを実行すると、次の機能更新プログラムがインストールされるまでWinREを無効にできるようだ。

アップデート

OEMパーティションを使わなかった場合、ドライバ類は手動で入れることになる。
Windows Update と、メーカが提供するアップデーター（Dell Update）で最新になるはずだ。