複数のパスワードおよびアカウント ロックアウト ポリシーの設定方法

Windows Server 2008 以降、Microsoft は管理者が複数の パスワード ポリシー を Active Directory のドメインに対して作成できるようにしました。現代のクラウド対応環境では、権限の高いアカウントをポリシーで厳格に保護し、定期的に監査することが重要です。

環境で Multiple Password and Account Lockout Policies を有効にする手順を、ステップバイステップで説明します。これはファインチューニングされたパスワード ポリシー（fine-grained password policy）とも呼ばれます。

無料の AD account tool を Netwrix から利用して
ユーザーアカウントのロックアウトをより迅速に調査できることを忘れないでください。

この操作を試す前に、ドメインとフォレストの機能レベルが少なくとも 2008 以上であること、またドメイン管理者（またはそれ以上）の権限でログインしていることを確認してください。

Active Directory は、これらの新しいパスワード ポリシーを Password Settings Container (PSC) に保存します。ここから始めます：

1. スタートメニューから adsiedit.msc を開きます
2. 左側のペインで「ADSI Edit」を右クリックし、「Connect To」を選択します。
3. 「name」ボックスに、この設定を適用したいドメイン名を入力してから「OK」をクリックします。
4. 左側のツリーを展開します：DC=Your Domain -> CN=System -> CN= Password Settings Container

1. 右側の空いている場所を右クリックして、「New」->「Object」-> msDS-PasswordSettings -> Next を選択します。
2. このポリシーに名前を付けます。ここでは「Chief Executives」とします -> Next
3. ウィザードから提示される各属性について、適切な値を入力してください：
   1. パスワード設定の優先順位 - 0以上
      • これは、パスワード ポリシーがユーザーに適用される順序です。より
        小さい数値ほど優先度が高くなります（他を上書きします）。
   2. 可逆暗号化を有効にする - true または false
      • 可逆暗号化を使用してパスワードを保存します - 推奨されません！
   3. パスワード履歴の長さ – 0 ～ 1024
      • ユーザーがパスワードを変更した後に、どれだけのパスワードを記憶するか。
   4. パスワードの複雑性を有効にする – true または false
      • パスワードは複雑性要件を満たさなければなりません（例：数字、記号、大文字と小文字を含むこと）。
   5. パスワードの最小長 – 0 ～ 255
   6. 最小パスワード有効期間（Minimum Password Age）— dd:hh:mm:ss で記述された期間、または（なし）
      • ユーザーがパスワードを変更できるようになるまでに、そのパスワードを保持しなければならない期間（変更を一度止めてから再び元に戻すことを防止）
   7. 最大パスワード有効期間（Maximum Password Age）— dd:hh:mm:ss で記述された期間、または（なし）
   8. ロックアウトのしきい値（Lockout Threshold）— 0 〜 65535
      • アカウントがロックされるまでに、パスワードを誤って入力できる回数
   9. ロックアウト観察ウィンドウ（Lockout Oberservation Window）— dd:hh:mm:ss 形式で記述された時間幅、または（なし）
      • 以前の誤ったパスワードを確認し、必要に応じてロックアウトするための時間です。
   10. ロックアウト継続時間（Lockout Duration）— dd:hh:mm:ss 形式で記述された時間幅、または（なし／無期限）
       • 不正なパスワードの回数が規定に達したら、アカウントをロックアウトする期間
   11. 「完了」をクリックし、その後、新しいパスワード ポリシーを右クリックして「プロパティ」をクリックします。
   12. 属性「msDS-PSOAppliesTo」を見つけてダブルクリックし、その後「Add Windows Account」を選択します

このパスワード ポリシーを適用するグループまたはユーザーを指定します：

1. 作業が終わったら、OK を押してすべての画面を閉じてください！

新しいパスワード ポリシーが他のドメイン コントローラーに複製されると、ほぼ瞬時に適用されます。

Windows Server 2012 のドメインがある、またはリモート サーバー管理ツールがインストールされた Windows 8 以上のコンピューターを使える場合は、この手順はやや簡単です：

1. Active Directory Administrative Centre を開き、ドメインに接続します
2. ADSI 内と同じ場所へ移動します：Domain -> System -> Password Settings Container
3. 右クリックして「New」->「Password Settings」を選択します

上記で説明した内容とほぼ同じオプションが表示されますが、一部の期間については制御の自由度が低くなります（たとえば、最小/最大のパスワード有効期間で時間または分単位の期間を設定できません。

1. オプションを設定し、このパスワード ポリシーを適用するユーザー/グループを追加してから、OK を押します。

または、次のように PowerShell コマンドを2つ使って一連の作業をまとめて実行することもできます…

パスワード ポリシーを作成します：

New – ADFineGrainedPasswordPolicy – ComplexityEnabled: $true -LockoutDuration: “00:30:00” – LockoutObservationWindow: “00:30:00” – LockoutThreshold: “5” – MaxPasswordAge: “42.00:00:00” -MinPasswordAge: “1.00:00:00” – MinPasswordLength: “7” -Name: “FriendlyNameHere” – PasswordHistoryCount: “24” – Precedence: “5” -ReversibleEncryptionEnabled: $false – Server: “domaincontroller.domain.local”

それをグループまたはユーザーに適用します：

Add – ADFineGrainedPasswordPolicySubject – Identity: “CN=FriendlyNameHere, CN=Password Settings Container, CN=System, DC=domain, DC=local” – Server: “domaincontroller.domain.local” – Subjects: “DNPathToUserOrGroup”

繰り返しになりますが、属性の説明は上にあります。

ぜひ Fine-Grained Password Policies の設定をおすすめします。こちらが、私たちが用意した4つの階層です：

• ゲストアカウントおよび「Throwaway（使い捨て）」アカウント
  – 簡単なパスワードを許可、5文字超、期限なし
• 一般スタッフ
  – 簡単なパスワードを許可、12文字超、30日で期限切れ
• 財務および機密資料を扱うスタッフ
  – 複雑なパスワード、12文字超、30日で期限切れ、直近12個のパスワードを記憶
• ICT スタッフおよび管理者
  – 複雑なパスワード（12 文字を超える）、14 日で期限切れ、直近 12 個のパスワードを記憶