Active Directory のパスワードポリシーに関する包括的ガイド
Sep 11, 2025
弱いパスワードや盗まれたパスワードは、 Active Directoryを狙う攻撃者にとって、依然として主要な侵入口です。 強力なパスワードポリシー — 長さ、複雑さ、使い回し、ロックアウト、監査（ログ） — は、アカウント乗っ取りのリスクを低減し、コンプライアンスを確実にするうえで不可欠です。現代のベストプラクティスでは、セルフサービスのリセットやポリシーの強制などのツールを併用して、長く複雑なパスワードを推奨し、セキュリティと利便性のバランスを取ります。
攻撃者が企業ネットワークに忍び込む最も一般的な方法のひとつは、正当なユーザーアカウントのユーザー名とパスワードを侵害することです。ユーザー名は、組織内で確立された標準に従っていることが多いため、通常は推測が容易です。たとえば FirstnameLastname@domain.com。
残念ながら、基本的なパスワードの侵害も、今日では脅威アクターにとって意外なほど簡単です。たとえば、特定のユーザーアカウントに対して考えられるさまざまなパスワードを試すプログラムを実行できます。正解にたどり着くと、ネットワークに侵入して横方向に移動し、機密データの窃取、ランサムウェアの展開、またはその他の被害につなげることができます。
そのため、パスワードが推測されにくくなるように強力なパスワードポリシーを確立することが不可欠です。組織が Active Directory を主な ID ストアとして使用している（AD）場合、この資料が役立ちます。AD における利用可能なドメイン パスワード ポリシーの設定を説明し、現在のポリシーを確認する方法を示し、さらに最新の パスワードポリシーのベストプラクティス について詳しく解説します。続いて、サードパーティ製のソリューションが、ユーザーを困らせたりヘルプデスクへの問い合わせ件数を増やしたりすることなく、強力なパスワードポリシーのメリットを得るのにどのように役立つかを探ります。
強力なパスワードポリシーのメリット
パスワードポリシーは、最小パスワード長や複雑性要件など、パスワードの構成に関する基準を定めます。さらに、過去に使ったパスワードの再利用を防ぎ、パスワードをどれくらいの頻度で変更する必要があるかを制御し、失敗したログイン試行が過度に多い場合にはアカウントのロックアウトにつながるようにすることもできます。
すべてのユーザーアカウントに強力かつ一貫したパスワード要件を適用することで、password spraying、ブルートフォース（brute force）、およびクレデンシャルスタッフィング（credential-stuffing）攻撃を阻止し、アカウント侵害のリスクを大幅に低減できます。さらに、HIPAA や GDPR のような幅広い規制や業界標準へのコンプライアンスのためにも、強力なパスワードポリシーが必要です。
Active Directory のパスワードポリシーを設定する方法
パスワードポリシーを設定する方法
パスワード ポリシー（Password Policy）を設定するには、Windows サーバーで Group Policy Management コンソール（GPMC）を開き、[コンピューターの構成] > [Windows の設定] > [セキュリティの設定] > [アカウント ポリシー] に移動します。 Password Policy を選択し、右側にある各ポリシー設定を構成してください。
どの設定を選べばよいでしょうか？パスワード管理の考え方は近年大きく進化しており、現在のベストプラクティスでは、頻繁なパスワード変更よりもパスワードの強度に重点を置く傾向があります。Microsoft の既定設定は出発点として捉え、強固なセキュリティとコンプライアンスのために、次のガイダンスを検討してください：
Setting | Description | Default | Best Practices |
|---|---|---|---|
|
Enforce password history |
The number of unique passwords a user must create before reusing an old password |
24 |
Enforce password history to prevent users from reusing old passwords repeatedly. |
|
Maximum password age |
How long a password can exist before it expires and the user must choose a different one |
42 days |
Consider setting a high maximum password age and forcing users to change their passwords only when an event like a breach makes it prudent. |
|
Maximum password age |
How long a password must exist before the user is permitted to change it |
1 day |
Keep the default setting to prevent users from circumventing the “enforce password history” setting by performing multiple password resets in a row in order to reuse a preferred password. |
|
Minimum password length |
The fewest number of characters a password can have |
7 |
Microsoft recommends a setting of at least 12 characters because modern password cracking tools can crack 8-character strings in seconds. |
|
Minimum password length audit |
Allows administrators to audit password changes that would violate a potential new minimum password length policy before actually enforcing it. |
1 |
Microsoft recommends leaving the auditing policy enabled for three to six months to detect all software that does not support the proposed minimum password length. |
|
Password must meet complexity requirements |
Controls whether passwords must meet the following two requirements: A password may not contain the user’s account name value or display name.A password must include characters from 3 of the following categories:Uppercase letters Lowercase letters Base 10 digits Special characters, such as $ or % |
Enabled |
Keep the password complexity setting enabled. Requiring passwords to meet complexity requirements can slow down automated attacks and reduce the likelihood of users reusing passwords across multiple accounts. |
|
Store passwords using reversible encryption |
Supports apps that require users to enter a password for authentication |
Disabled |
Keep this setting disabled to prevent attackers from decrypting passwords that they manage to steal. |
Netwrix Password Policy Enforcer でセキュリティを強化
Netwrix が、安全でコンプライアンスに準拠したパスワード ポリシーの適用をどのように簡素化するかをご覧ください
アカウント ロックアウト ポリシーの設定方法
攻撃者がアカウントのパスワードを推測するための試行を無制限に行えないようにするには、Password Policy に加えて Account Lockout Policy を補完してください。
GPMC で Account Policies の下から Account Lockout Policies を選択します。使用可能な設定は右側に表示されます。特に、ロックアウトをトリガーする失敗したログオン試行回数と、ロックアウトが継続する時間を指定できます。
アカウントのロックアウト期間: 最大数の失敗したログイン試行に達した後、アカウントがロックされるまでの分数です。
アカウントのロックアウトのしきい値: アカウントのロックアウトをトリガーする失敗したログイン試行回数
Administrator アカウントのロックアウトを許可: 内蔵の Administrator アカウントが、アカウント ロックアウト ポリシーの対象になるかどうかを決定します。
アカウント ロックアウト カウンターのリセット間隔: 失敗したログイン試行の後、失敗したログイン試行カウンターが 0 にリセットされるまでに経過する必要がある分数を決定します。
パスワードポリシーを変更する方法
ある時点で、パスワード ポリシーまたはアカウント ロックアウト ポリシーを更新する必要が出てくるかもしれません。たとえば、セキュリティ インシデントの後に別の設定にしたい場合や、新しい規制要件に対応する必要がある場合などです。既存のパスワード ポリシー GPO を変更するのは、GPMC に戻って設定を変更するだけで済みます。作業は完了まで数分で終わります。
グループごとに異なるパスワード ポリシーを作成する方法
Active Directory では、きめ細かなパスワード ポリシーをサポートしています。これにより、異なるグループやユーザーに対して異なるポリシーを適用できます。（フォレストの機能レベルは少なくとも Windows Server 2008 である必要があります。）たとえば、管理者などの高リスク グループには、他のユーザーよりも長いパスワードを設定し、より頻繁に変更することを求めることができます。
きめ細かなパスワード ポリシーは、次の 2 つの方法で作成・管理できます。
- Active Directory Management Center (ADAC) で、ドメインをクリックし、System フォルダーに移動して、Password Settings コンテナーをクリックします。その後、Password Settings オブジェクト (PSO) を構成します。最後に、目的のグループに PSO を適用してください。
- 別の方法として、PowerShell コマンド New-ADFineGrainedPasswordPolicy.
パスワード ポリシーを監視し、トラブルシュートする方法
Active Directory でパスワード ポリシーを確認する方法
お使いの Active Directory のパスワード ポリシー 設定は、常に注意深く確認する必要があります。具体的な方法には、次のようなものがあります:
- グループ ポリシー管理コンソール — 1つの方法は、先ほどのように GPMC を使用することです。
- ローカル セキュリティ ポリシー — ドメインに参加しているコンピューターでこのツールを開くには、［ファイル名を指定して実行］または検索バーで secpol.msc と入力します。次に、［パスワード ポリシー］の設定に移動します。
- コマンド プロンプト — 管理者権限でコマンド プロンプトを開き、次のコマンド net accounts を使用して、現在のパスワード ポリシー設定を表示できます。
- PowerShell — ドメインのパスワード ポリシー設定を表示する別の方法は、次の Get-ADDefaultDomainPasswordPolicy コマンドを使用することです。
パスワード ポリシーの問題をトラブルシュートする方法
ユーザーが最新のパスワード ポリシーを受け取っていない場合、問題を調査し、解決を試みるために、次のコマンドをそのユーザーのマシン上で実行できます:
- gpresult /r — ユーザーとコンピューターに適用された GPO を表示します
- gpupdate /force — 現在の GPO 設定を適用します
パスワード ポリシーの問題は、ドメイン コントローラー（DC）のレプリケーションの問題に関連している場合もあります。すべての DC が同じパスワード ポリシー設定を持っていない場合、どの DC に認証するかによって、ユーザーが一貫しない結果を経験することがあります。ドメイン コントローラー間でのレプリケーションの失敗や遅延を確認するには、repadmin /replsummary コマンドを使用します。
よくあるパスワード ポリシーの課題への対処
パスワードポリシーを実装する際の最も根本的な課題は、強固なセキュリティへの欲求と、ユーザーが過度に厳格なルールに対してセキュリティを損なう形で対応してしまうことが現実として起こり得る、という状況とのバランスを取ることです。たとえば、頻繁なパスワード変更を求めることは盗まれたパスワードデータベースによるリスクを軽減しますが、その一方で、より弱いパスワードを選ぶ、あるいは毎回パスワード末尾に単に数字をインクリメントする、のようにセキュリティを損なう回避策にユーザーが走ってしまう可能性があります。同様に、ユーザーに長く複雑なパスワードを作成させることで、ハッカーがそれらを推測または解読して企業ネットワークにアクセスするリスクは下がります。しかし、ユーザーはイライラするロックアウトを避けるために、パスワードを書き留めてしまうこともあります。
適切なコミュニケーションは、この問題の軽減に役立ちます。セキュリティチームは、ユーザーに対してパスワード要件が何であるかを伝えるだけでなく、それがなぜ必要なのか、そしてそれを回避しようとすることがどのように侵害（ブリーチ）やその他のセキュリティインシデントにつながり得るのかを説明すべきです。パスワードポリシーが変更されるたびに、ユーザーへの追加サポートを提供できるよう、ヘルプデスクチームを準備しておきましょう。
また、支援できるサードパーティ製ツールもあります。特に、次のようなタイプのソリューションを検討してください。
- パスワードポリシー強制執行ソフトウェア を使用すると、パスワードポリシーの変更を段階的に導入でき、新しい要件に従うようユーザーを後押ししつつも強制はしない猶予期間を設けられます。
- パスワードマネージャー ツール は、ユーザーが厳格なポリシーに従うことを簡単にします。このソフトウェアは、各アカウントごとに強力で一意のパスワードを生成して保存し、必要に応じてユーザーの代わりに入力します。その結果、ユーザーは作成して覚える必要があるのは、パスワードマネージャーアプリケーション用の1つのパスワードだけになります。
- セルフサービスのパスワードリセットソフトウェア により、ユーザーはヘルプデスクに連絡せずに、自分のパスワードを安全にリセットまたは変更し、アカウントのロックを解除できます。ロックアウトの負担が軽いほど、ユーザーは不安な回避策でロックアウトを避けようとする可能性が低くなります。
結論
強固なパスワードポリシーは、堅牢なサイバーセキュリティ戦略における重要な要素です。ここで詳述しているベストプラクティスに従うことで、攻撃者によるアカウント乗っ取りのリスクを低減でき、その結果、セキュリティとコンプライアンスを強化できます。
セキュリティをさらに強化するには、ユーザーIDとパスワードだけでなく、多要素認証（MFA）を必須にしてください。特に、管理者ログオンや、機微情報または規制対象データへのアクセス要求などのリスクが高いユースケースにおいて重要です。
詳細については、AD における強固なセキュリティのためのパスワードポリシーのベストプラクティス。
FAQ
Active Directory のパスワード ポリシーとは何ですか？
AD のグループ ポリシーには、パスワード ポリシーが用意されており、管理者がユーザー パスワードの標準を設定できるようになります。たとえば、最小パスワード長を設定したり、以前のパスワードの再利用を防止したり、パスワードを変更する必要がある頻度を制御したりできます。
Active Directory のパスワード要件はどこで確認できますか？
次のいずれかの方法を使用して、グループ ポリシーのパスワード ポリシー設定を表示できます。
- グループ ポリシー管理コンソール — コンピューターの構成 > ポリシー > Windows の設定 > セキュリティの設定 > アカウントのポリシー > パスワードのポリシー に移動します。
- PowerShell — 次の Get-ADDefaultDomainPasswordPolicy コマンドレットを使用します。
- ローカル セキュリティ ポリシー ツール — ドメインに参加しているコンピューターで secpol.msc を実行します。
- Active Directory 管理センター — パスワード設定コンテナーを確認します。
Active Directory のパスワード ポリシーはどのように編集しますか？
Group Policy Management Console を使用すると、AD のパスワード ポリシーを簡単に編集できます。ほとんどの場合、パスワードの設定は Default Domain ポリシーの一部になります。
Active Directory でパスワードの有効期限（到達期限）を確認するにはどうすればよいですか？
これを行う方法はいくつかあります。以下に 2 つのオプションを示します：
- Group Policy Management Console で、Computer Configuration > Policies > Windows Settings > Security Settings > Account Policies > Password Policy に移動します。
- 次の PowerShell コマンドを実行します：Get-ADDefaultDomainPasswordPolicy | Select MaxPasswordAge。
AD パスワードはどれくらいの長さにできますか？
AD ユーザー アカウントのパスワードの最大長は 256 文字です。ただし、標準ユーザーの場合は 12〜14 文字で十分です。
パスワードの複雑性とは何ですか？
パスワードの複雑性とは、パスワードそのものの構成を制御するルールのことです。目的は、ユーザーが弱いパスワード、たとえば単純な辞書の単語や名前のように、ハッカーが推測したり解読したりしやすいものを選ばないようにすることです。有効にすると、AD のパスワード複雑性ポリシーによって、ユーザーは次の条件を満たすパスワードを選択する必要があります。
- 含めないでください。 ユーザーのアカウント名の値または表示名
- 次の いずれかのカテゴリから3種類の文字を含めてください：大文字、小文字、10進数の数字、および $ や % のような特殊文字
パスワードに対してグループ ポリシーはどのように割り当てればよいですか？
Active Directory では、パスワード ポリシーは Group Policy を使用して構成および適用されます。Microsoft は一般的に、グループ ポリシーを組織単位（OU）レベルに割り当てることを推奨していますが、ベスト プラクティスとして、すべてのユーザーとコンピューターに適用される Default Domain Policy を使って GPO のパスワード ポリシー設定を制御することをお勧めします。これは Active Directory ドメイン に適用されます。これにより、パスワード ポリシーがすべてのドメイン ユーザー アカウントに適用されることが保証されます。
よくある質問
共有する
もっと詳しく
著者について
Ian Andersen
Pre Sales Engineering の VP（副社長）
Ian は、データとアクセスのガバナンスに重点を置いた 20 年以上の IT 経験を持っています。Netwrix の Pre Sales Engineering の VP（副社長）として、世界中のお客様に対し、製品の円滑な導入と identity management の統合が行えるように責任を負っています。長年のキャリアにより、あらゆる規模の組織のニーズに応えられる体制が整っており、Fortune 100 の米国金融機関でセキュリティ アーキテクチャ チームを率いた経験や、中小企業に対してセキュリティ ソリューションを提供してきた経験などがあります。