Box Status
印刷

Box for EMMで「アプリケーションエラー。 エラー: invalid_client」と表示され、ログインできない

Troubleshooting

問題

Box for EMMでMicrosoft Entra IDを使用したSSOログイン時、「アプリケーションエラー。 エラー: invalid_client」というエラーメッセージが表示され、ログインできない。

1.png

発生条件:

  • [管理コンソール] > [Enterprise設定] > [モバイル] タブで、[Intuneモバイルアプリケーション管理 (Intune MAM) を有効化する] を有効にしている
  • Microsoft Entra IDでSSOを構成している
  • Box for EMMのバージョン5.34以降を使用している
  • Boxアカウントのプライマリメールアドレスもしくは予備メールアドレスに、Microsoft Entra IDのユーザープリンシパル名 (UPN) が含まれていない

根本原因

Microsoft Entra IDの条件付きアクセスへのサポート拡充 (リリースの詳細についてはこちら) に伴い、MAM環境におけるモバイルアプリのログインフローが強化されています。

このため、上記の条件に当てはまる場合、Microsoft Entra IDのUPNがBoxアカウントのプライマリメールアドレスまたは予備メールアドレスのいずれかに登録されている必要があります。

解決方法

BoxアカウントにMicrosoft Entra IDのUPNを予備メールアドレスとして追加してください。

SSO必須モードが無効の場合

ユーザーのアカウント設定から予備メールアドレスを追加できます。 詳細については、https://support.box.com/hc/ja/articles/360044196513-アカウント設定の管理#h_01GKJF7FP5E54W06XSHYK5MG28を参照してください。

SSO必須モードが有効かつ無効化できない場合

Box APIを利用して予備メールアドレスを追加できます。

以下は、Box CLIを使用したコマンド例です。

 

準備

  • 管理対象ドメインの確認

    [管理コンソール] > [Enterprise設定] > [カスタム設定] タブ > [ドメイン管理] から、Microsoft Entra IDのUPNのドメインが、管理対象として登録されているかを確認します。

  • Box CLIのセットアップ

    詳細については、https://ja.developer.box.com/guides/cli/cli-docs/jwt-cli/を参照してください。

    アプリアクセスレベルが、App + Enterpriseとなっていることを確認してください。

    スコープとして [ユーザーを管理する] が含まれていることを確認してください。

  • 対象ユーザーのUser IDおよび追加メールアドレスを準備

 

手順

  1. 上記の準備が完了していることを確認します。
  2. 対象となるメールアドレスのドメインが管理対象ドメインとして登録されておらず、ユーザーによるメール検証を不要とする場合は、ドメインを追加し、検証を完了します。

  3. 以下のコマンドを実行します。 <User ID> に対象ユーザーのUser ID、<UPNメールアドレス> に追加する予備メールアドレスを記入してください。

    box users:email-aliases:add <User ID> <UPNメールアドレス> --confirm

    「--confirm」オプションを使用する場合、追加する予備メールアドレスのドメインがBoxテナントの管理対象ドメインとして登録されている必要があります。

    管理対象ドメインとして登録されていない場合は、「--confirm」オプションを使用せず、ユーザーに確認メールから承認してもらう必要があります。

  4. 対象ユーザーに予備メールアドレスが追加されたことを確認します。

一時的な回避策 (環境により推奨されません)

Box管理コンソールで [Enterprise設定] > [モバイル] > [Intuneモバイルアプリケーション管理 (Intune MAM) を有効化する] オプションを無効にすることで、従来のログインフローを使用できます。

ただし、アプリベースの条件付きアクセスのセキュリティ機能が利用できなくなる可能性があります。

 

上記の方法で解決しない場合

以下の情報を添えて、Box Supportまでお問い合わせください。

  • 事象再現時の動画またはスクリーンショット
  • 事象再現日時
  • 影響を受けているユーザーのメールアドレス
  • Box for EMMのバージョン
  • Microsoft Intuneのアプリ構成、保護ポリシー情報が確認できるスクリーンショット
  • 条件付きアクセスの有無
  • Box Mobileアプリのログ (ログの取得方法については、https://support.box.com/hc/ja/articles/35789233920147-Box-Mobileアプリのログの送信を参照してください。)

関連記事