「参照されたアカウントは現在ロックアウトされているため、ログオンできない可能性があります」というメッセージが出たとき、まず必要なのは解除です。この記事ではドメインアカウントとローカルアカウントに分けた解除手順と、解除してもすぐ再発する場合の原因の絞り込みをまとめます。
そもそも何がロックアウトを引き起こしているのかを先に知りたい場合は Windowsアカウントがロックアウトされる原因の調べ方を参照してください。本記事はいま解除する手順に絞ります。
先に確認する：本当にロックアウトか
「ログインできない」の原因はロックアウトだけではありません。アカウントの無効化、パスワードの有効期限切れ、プロファイルの破損でも同じように入れなくなります。対処が違うため、先に切り分けます。
ドメイン参加PCから、コマンドプロンプトで次を実行します。
net user ユーザー名 /domain出力の中で次の3行を見ます。
| 項目 | この値なら |
|---|---|
| アカウントの期限 | 日付が過ぎていれば、ロックアウトではなく期限切れ |
| アカウント有効 | No なら、無効化されている（解除ではなく有効化が必要） |
| パスワード有効期限 | 過ぎていれば、リセットが必要 |
PowerShellが使える環境なら、ロックアウト中のアカウントをまとめて確認できます。
Search-ADAccount -LockedOutここに複数のアカウントが並んでいる場合は、単なる打ち間違いではありません。総当たり攻撃を受けている可能性を疑ってください。判断の観点は後述します。
手順A：ドメインアカウントを解除する
Active Directoryのアカウントは、次のいずれかで解除します。解除はドメイン管理者権限で行います。
PowerShellで解除する（最も速い）
Unlock-ADAccount -Identity ユーザー名エラーが出なければ解除されています。確認は次のとおりです。
Get-ADUser ユーザー名 -Properties LockedOut | Select-Object Name,LockedOutLockedOut が False になっていれば解除済みです。
管理ツールの画面から解除する
「Active Directory ユーザーとコンピューター」（dsa.msc）で対象ユーザーを開き、「アカウント」タブの「アカウントのロックアウトを解除する」にチェックを入れて適用します。
この操作はパスワードを変更しません。利用者が正しいパスワードを覚えているなら、解除だけで再びログインできます。
パスワードも分からない場合
パスワードのリセットを併せて行います。
Set-ADAccountPassword -Identity ユーザー名 -Resetリセット後は、次回サインイン時に本人に変更させる設定を併用してください。管理者が設定した仮パスワードがそのまま使われ続ける状態は避ける必要があります。ヘルプデスク側の運用の組み立て方は パスワードリセットのヘルプデスク運用にまとめています。
手順B：ローカルアカウントを解除する
ドメインに参加していないPCの場合、手順が変わります。Unlock-ADAccount は使えません。
- Pro以上のエディション —
lusrmgr.mscを実行し、ユーザーのプロパティで「アカウントがロックアウトされています」のチェックを外す - 管理者がパスワードをリセットする — 別の管理者アカウントでサインインし、対象アカウントのパスワードを再設定する
- ロックアウト期間の経過を待つ — 設定された時間が過ぎれば自動的に解除される
いま設定されているロックアウト期間は、次で確認できます。
net accounts「ロックアウト期間」が表示されます。ここが長すぎると業務が止まり、短すぎると総当たりを許します。ドメイン全体の値を確認する場合は /domain を付けます。設定値全体の見方は Active Directoryのパスワードポリシーを確認するコマンドで扱っています。
管理者アカウントが1つしかない状態で、その管理者がロックアウトされると解除できなくなります。緊急時に使える管理者アカウントを別に用意しておく考え方は 緊急用の管理者アカウントを用意する手順にまとめています。
解除してもすぐ再発する場合
これが最も多い相談です。解除した数分後に再びロックされる場合、利用者の打ち間違いではなく、どこかで古いパスワードが自動的に送られ続けています。
- スマートフォンのメール設定 — 古いパスワードのまま同期を繰り返している
- マップされたネットワークドライブ — 保存された資格情報が古い
- サービスやタスクスケジューラ — 実行アカウントのパスワードが変更前のまま
- 別のPCに残ったサインイン状態 — ログオフしていない端末が再試行している
発生源は、ドメインコントローラーのセキュリティログで特定できます。イベントID 4740（アカウントがロックアウトされた）を探し、「呼び出し元コンピューター名」を見てください。そこに表示された端末が発生源です。
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4740} -MaxEvents 20ログが残っていなければ、この特定はできません。セキュリティログの保存期間が短く、上書きされているケースがあります。確認と延長の手順は イベントログの保存期間を確認・変更する手順にまとめています。
攻撃を疑うべきケース
次のいずれかに当てはまる場合、解除して終わりにしてはいけません。
- 複数のアカウントが同時期にロックアウトされている — 利用者名を変えながら試されている可能性
- 呼び出し元コンピューター名が社内の端末ではない
- 深夜や休日など、誰も使っていない時間帯に発生している
- 管理者アカウントが対象になっている
ロックアウトは、総当たり攻撃が「止められた」という記録でもあります。止まったこと自体は正常ですが、試行されている事実は残ります。攻撃の形については 総当たり攻撃、リスト型攻撃で整理しています。実際に侵入されていないかの確認手順は 不正ログインを確認する方法を参照してください。
そして根本的には、パスワードだけで入れる状態が続く限り、この試行は止まりません。ロックアウトは入口を一時的に閉じるだけで、認証の強さそのものは変わっていないためです。
よくある質問
ロックアウトを解除するコマンドは何ですか
Active Directoryのアカウントなら Unlock-ADAccount -Identity ユーザー名 です。ローカルアカウントにこのコマンドは使えず、lusrmgr.msc からの解除、管理者によるパスワードリセット、またはロックアウト期間の経過を待つ形になります。
解除するとパスワードは変わりますか
変わりません。ロックアウトの解除とパスワードのリセットは別の操作です。利用者が正しいパスワードを覚えている場合は、解除だけで再びログインできます。
解除してもすぐまたロックされます
どこかの端末やサービスが古いパスワードを送り続けている可能性が高い状態です。ドメインコントローラーのセキュリティログでイベントID 4740 を確認し、「呼び出し元コンピューター名」から発生源を特定してください。
ロックアウトが多発する場合、しきい値を緩めるべきですか
原因を特定せずに緩めると、総当たり攻撃を通しやすくなります。まず発生源を特定し、それが業務上の設定ミスであればその設定を直すのが先です。
自社の対応状況を確認するには
ロックアウトの解除は対症療法です。繰り返し発生している場合、その裏でパスワードが試され続けています。applippliの無料診断では、約3分の質問に回答するだけで、ID・パスワードに関連する対応状況を5段階で判定し、結果をPDFレポートでお届けします。個人情報の入力は不要で、会員登録もありません。
参考・出典
※ 本記事は2026年9月時点の一般的な解説です。コマンドの利用可否や画面の名称は、Windowsのエディション・バージョンおよび環境によって異なる場合があります。設定の変更は、影響範囲を確認のうえ実施してください。