Active Directory のドメインでは、不正なサインインを防ぐために、ユーザーのパスワードに長さや複雑さの条件を付けるのが普通です。一方で、来客に短い期間だけ社内の PC を使ってもらう場合など、特定のユーザーだけ簡単なパスワードを許したいこともあります。
この記事では、細かい設定が可能なパスワード ポリシー（PSO：パスワード設定オブジェクト）を使い、一時的なユーザーにだけ簡単なパスワードを許可する手順を確認します。
- Active Directory ユーザーとコンピューターで、一時的なユーザーを作成する
- Active Directory 管理センターで、複雑さを求めない PSO を作成する
- ユーザーに PSO を割り当て、簡単なパスワードに変更できることを確かめる
PSO（パスワード設定オブジェクト）とは
ドメインのパスワード ポリシーは、通常は Default Domain Policy（GPO）で設定し、ドメインのすべてのユーザーに同じ条件が適用されます。PSO を使うと、特定のユーザーやグループにだけ、別のパスワード ポリシーとアカウント ロックアウト ポリシーを適用できます（図1）。
PSO には、パスワードとロックアウトの設定がひとそろい入っています。適用されたユーザーには、ドメインのポリシーではなく、その PSO の設定が使われます。
| 項目 | 内容 |
|---|---|
| 適用できる相手 | ユーザーと、グローバル セキュリティ グループ。OU には適用できない |
| 複数の PSO が当たる場合 | ユーザーに直接適用された PSO が、グループ経由の PSO より優先される。同じ条件どうしでは「優先順位」の値が小さい PSO が使われる |
| PSO が当たらない場合 | ドメインのパスワード ポリシー（Default Domain Policy）が使われる |
| 作成できる人 | 既定では Domain Admins のメンバー（ほかのユーザーに権限を委任することもできる） |
| 保存場所 | System ›› Password Settings Container。Active Directory 管理センターか PowerShell で作成する |
仮パスワードを持つユーザーを作成する
まず、一時的に使うユーザーを Active Directory に作成します。
この記事の画面は、実際の画面ではなく、検証時の画面から設定する項目（見るポイント）を抜き出して描いたイメージです。バージョンによって、項目の並びや表記は変わります。
ユーザーを作成する
ドメイン コントローラーのサーバー マネージャーで ツール ›› Active Directory ユーザーとコンピューター を開きます。ユーザーを作成する OU（今回は営業部 OU）を右クリックし、新規作成 ›› ユーザー を選びます。
ユーザー ログオン名を入力して［次へ］を押し、次の画面で初期パスワードを入力します。今回のユーザー ログオン名は guest001 です。「ユーザーは次回ログオン時にパスワード変更が必要」にチェックを入れて［次へ］を押します。
| 姓 | |
| 1名 | guest001 |
| フル ネーム | guest001 |
| 2ユーザー ログオン名 | guest001 @hirotanoblog.local |
| ユーザー ログオン名（Windows 2000 より前） | HIROTANOBLOG\ guest001 |
| 3パスワード | ●●●●●●●●●●●● |
| パスワードの確認入力 | ●●●●●●●●●●●● |
| 4オプション | ☑ ユーザーは次回ログオン時にパスワード変更が必要 ☐ ユーザーはパスワードを変更できない ☐ パスワードを無期限にする ☐ アカウントは無効 |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | 名 | guest001（フル ネームにも同じ値が入る） |
| 2 | ユーザー ログオン名 | サインインに使う名前。今回は guest001 |
| 3 | パスワード | 初期パスワード。ドメインのパスワード ポリシー（複雑さの要件など）を満たすものにする |
| 4 | オプション | 「次回ログオン時にパスワード変更が必要」にチェックを入れ、最初のサインインでユーザー自身にパスワードを変えてもらう |
この時点では、まだ guest001 に PSO を割り当てていません。そのため、初期パスワードにはドメインのパスワード ポリシーが適用され、簡単なパスワードは設定できません。簡単なパスワードを使えるのは、PSO を割り当てたあとです。
確認の画面に、作成されるオブジェクトの内容が表示されます。内容を確かめて［完了］を押すと、ユーザーが作成されます。
| 1作成されるオブジェクト | フル ネーム: guest001 ユーザー ログオン名: guest001@hirotanoblog.local ユーザーは次回ログオン時にパスワード変更が必要 |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | 作成されるオブジェクト | 入力した名前と、次回ログオン時のパスワード変更が設定されていることを確かめる |
| 2 | ［完了］ | ユーザーを作成する |
簡単なパスワード用の PSO を作成する
次に、Active Directory 管理センターで、複雑さを求めない PSO を作成します。
PSO を作成する
サーバー マネージャーで ツール ›› Active Directory 管理センター を開きます。左のナビゲーションで hirotanoblog（ローカル） ›› System ›› Password Settings Container を開き、右のタスクで 新規 ›› パスワードの設定 を選びます。
「パスワードの設定 の作成」の画面が開きます。名前と優先順位は必須の項目です。今回は名前を Password_Simple、優先順位を 1 にし、パスワードの最小の長さを 3 にします。さらに、パスワードの履歴、複雑さ、最小と最大のパスワード有効期間のチェックを外し、［OK］を押します。
| 1名前 | Password_Simple |
| 優先順位 | 1 |
| 2☑ パスワードの最小の長さを適用する | パスワードの最小の長さ（文字数）3 |
| 3☐ パスワードの履歴を記録する | 記録するパスワードの数 24（無効） |
| ☐ パスワードは要求する複雑さを満たす | |
| ☐ 暗号化を元に戻せる状態でパスワードを保存する | |
| ☑ 誤って削除されないように保護する |
| 4☐ 最小パスワード有効期間を適用する | ユーザーがパスワードを変更できない期間 1（無効） |
| ☐ 最大パスワード有効期間を適用する | ユーザーによるパスワードの変更が必要 42（無効） |
| 5☐ 適用するアカウント ロックアウト ポリシー | 失敗したログオン試行回数のカウントのリセット 30 期間（分）30（無効） |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | 名前・優先順位 | Password_Simple、1。優先順位は、同じユーザーに複数の PSO が当たったときに使われ、値が小さいほど優先される |
| 2 | パスワードの最小の長さ | 3 文字にする（画面を開いたときの値は 7） |
| 3 | 履歴・複雑さ | チェックを外す。過去のパスワードの再利用や、英大文字・英小文字・数字・記号を組み合わせない短いパスワードも使えるようになる |
| 4 | パスワード有効期間 | 最小・最大ともチェックを外す。パスワードをすぐに変更でき、期限切れにもならない |
| 5 | アカウント ロックアウト | 今回はチェックを入れていない（画面を開いたときのまま） |
| 6 | ［OK］ | PSO を作成する |
チェックを外した項目は、画面を開いたときに次の値（初期値）が入っていました。チェックを外すと、その項目の制限はなくなります。
| 項目 | 初期値 | 意味 |
|---|---|---|
| パスワードの履歴を記録する | 24 | 新しいパスワードを 24 個使うまで、過去のパスワードを再び使えない |
| パスワードは要求する複雑さを満たす | オン | 英大文字・英小文字・数字・記号などを組み合わせたパスワードが必要になる |
| 最小パスワード有効期間 | 1 日 | パスワードを変更してから 1 日たつまで、もう一度変更できない |
| 最大パスワード有効期間 | 42 日 | 同じパスワードを 42 日使うと、次のサインインで変更を求められる |
PSO が適用されたユーザーには、ドメインのアカウント ロックアウト ポリシーも使われず、PSO の設定が使われます。この PSO ではアカウント ロックアウト ポリシーを適用していないため、guest001 はパスワードを何度間違えてもロックアウトされません。簡単なパスワードと組み合わせるなら、ロックアウトを有効にしておくほうが安全です。
ユーザーに PSO を割り当てる
作成した PSO を guest001 に直接割り当てます。
guest001 に PSO を割り当てる
Active Directory 管理センターで、営業部 OU にある guest001 を右クリックし、プロパティ を選びます。「パスワードの設定」の項目にある「直接関連付けられたパスワードの設定」で［割り当て］を押します。
「パスワード設定オブジェクトの選択」の画面で、オブジェクト名に Password_Simple を入力して［名前の確認］を押し、［OK］を押します。
| オブジェクトの種類の選択 | パスワード設定オブジェクト |
| 場所の指定 | hirotanoblog.local |
| 1選択するオブジェクト名を入力してください | Password_Simple 名前の確認 |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | オブジェクト名 | Password_Simple を入力して［名前の確認］を押す。名前が確認されると下線付きの表示になる |
| 2 | ［OK］ | PSO を選択する |
guest001 のプロパティに戻ると、「直接関連付けられたパスワードの設定」に Password_Simple が表示されます。［OK］を押して閉じます。
| 名前 | 優先順位 | |
|---|---|---|
| 1Password_Simple | 1 | 割り当て… クリア |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | Password_Simple ／ 1 | guest001 に直接割り当てた PSO と、その優先順位 |
| 2 | ［OK］ | 設定を保存して閉じる |
PSO の割り当ては、PSO のプロパティにある「直接の適用先」からも追加できます。複数のユーザーに同じ PSO を使う場合は、グローバル セキュリティ グループを作ってメンバーにし、そのグループに PSO を適用すると管理が楽です。
ユーザーに実際に適用される PSO は、Active Directory 管理センターでユーザーを右クリックし、結果のパスワード設定の表示 を選ぶと確認できます。PowerShell では Get-ADUserResultantPasswordPolicy -Identity guest001 で確認できます。
動作確認
クライアント PC で、ユーザー名 guest001 と初期パスワードでサインインします。初回のサインインなので、パスワードの変更を求められます。新しいパスワードには、3 文字の簡単なパスワード（今回は 123）を入力します。
| 1サインイン | guest001 ●●●●●●●●●●●● サインイン先: HIROTANOBLOG |
| 2メッセージ | サインインする前にユーザーのパスワードを変更する必要があります。 OK キャンセル |
| 3パスワードの変更 | guest001 ●●●●●●●●●●●●（現在のパスワード） ●●●（新しいパスワード） ●●●（パスワードの確認入力） |
| 4メッセージ | パスワードは変更されました。 OK |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | サインイン | guest001 と初期パスワードを入力する |
| 2 | パスワード変更の要求 | 「次回ログオン時にパスワード変更が必要」を設定したので、変更を求められる。［OK］を押す |
| 3 | 新しいパスワード | 3 文字の 123 を入力する |
| 4 | 変更完了 | 3 文字で複雑さのないパスワードが受け付けられた。［OK］を押すとサインインされる |
ドメインのパスワード ポリシーでは受け付けられない短いパスワードに変更できたので、guest001 には PSO の Password_Simple が適用されていることが分かります。
簡単なパスワードは推測されやすく、不正なサインインの入口になります。PSO を適用するユーザーは必要な人だけに絞り、使う期間が決まっている場合は、ユーザーのプロパティでアカウントの有効期限を設定しておくと安全です。使い終わったユーザーは、無効にするか削除します。
まとめ
PSO を使うと、ドメイン全体のパスワード ポリシーを変えずに、特定のユーザーやグループにだけ別のパスワード ポリシーを適用できます。今回の手順と設定は次のとおりです。
| 手順 | 使うツール | 設定 |
|---|---|---|
| ユーザーの作成 | Active Directory ユーザーとコンピューター | guest001 を営業部 OU に作成。初期パスワードはドメインのポリシーを満たすものにし、次回ログオン時の変更を必須にする |
| PSO の作成 | Active Directory 管理センター | Password_Simple、優先順位 1、最小 3 文字。履歴・複雑さ・有効期間のチェックを外す |
| PSO の割り当て | Active Directory 管理センター | guest001 の「直接関連付けられたパスワードの設定」に Password_Simple を割り当てる |
| 動作確認 | クライアント PC | 初回サインインで、3 文字のパスワード 123 に変更できた |
コメント