「PCのパスワードを忘れて、サインインできません」。朝いちばんや連休明けに、情シスや総務に届く問い合わせの定番です。Webサービスのパスワードと違い、PCにサインインできないと、本人は社内の案内を見ることも、チャットで問い合わせることもできません。電話か口頭で呼ばれ、その場で対応することになります。
この記事では、まず目の前の1件を解決する手順を環境別に整理し、そのあとで問い合わせそのものを減らす方法を扱います。
まず、そのPCがどの種類のアカウントかを確かめる
再設定の方法は、PCのアカウントの種類で決まります。サインイン画面に表示されている名前で、おおよそ見分けられます。
| 種類 | 見分け方 | 再設定する人・場所 |
|---|---|---|
| ローカルアカウント | PCごとのアカウント（「ユーザー名」だけでサインインする） | そのPCの別の管理者アカウントで再設定 |
| Active Directory | 会社のドメインに参加している（「ドメイン名¥ユーザー名」） | 管理者がADで再設定 |
| Entra ID（Microsoft 365） | 会社のメールアドレスでサインインする | 管理センターで再設定、または本人がセルフリセット |
それぞれの違いはWindowsのID管理｜ローカル・Active Directory・Entra IDの違いで詳しく扱っています。
どの場合も、再設定の前に本人からの依頼であることを確かめてください。電話1本でパスワードを再設定する運用は、なりすましの入口になります。本人確認の方法はパスワードリセット運用の落とし穴にまとめています。
ローカルアカウントの場合
そのPCにある別の管理者アカウントでサインインして再設定します。
- 管理者アカウントでサインインし、スタートボタンを右クリックして「コンピューターの管理」を開きます。
- 「ローカル ユーザーとグループ」→「ユーザー」で対象のユーザーを右クリックし、「パスワードの設定」を選びます。
- 新しいパスワードを設定し、本人に伝えます。
コマンドで行う場合は、管理者として開いたコマンドプロンプトで net user ユーザー名 * と入力すると、新しいパスワードの入力を求められます。
Windows 10以降で本人がセキュリティの質問を設定していれば、サインイン画面の「パスワードのリセット」から本人が再設定することもできます。
Active Directory（ドメイン参加PC）の場合
- 管理用のPCで「Active Directory ユーザーとコンピューター」を開きます。
- 対象のユーザーを右クリックし、「パスワードのリセット」を選びます。
- 仮のパスワードを入力し、「ユーザーは次回ログオン時にパスワード変更が必要」にチェックを入れます。
- 何度も間違えてロックされている場合は、同じ画面の「ユーザーのアカウントのロックを解除する」にもチェックを入れます。
PowerShellで行う場合は次のとおりです。
Set-ADAccountPassword -Identity ユーザー名 -Reset -NewPassword (Read-Host -AsSecureString "仮のパスワード")
Set-ADUser -Identity ユーザー名 -ChangePasswordAtLogon $true
Unlock-ADAccount -Identity ユーザー名ロックされた原因が「忘れた」ではなく、古いパスワードを覚えたままの端末やアプリにある場合は、解除してもすぐに再びロックされます。その場合の調べ方はアカウントロックアウトの原因を特定する手順を参照してください。
テレワーク中のPCでは新しいパスワードが通らない
ドメイン参加のPCは、社内ネットワークにつながっていないとき、前回サインインしたときのパスワードをPCの中に覚えていて、それで照合します。自宅のPCでADのパスワードを再設定しても、新しいパスワードは通りません。
この場合は、古いパスワードでサインインできるならそのままサインインし、VPNで社内に接続してから、画面をロックして新しいパスワードで解除します。これでPC側の記録が新しいパスワードに置き換わります。古いパスワードも分からない場合は、社内ネットワークにつなげる場所にPCを持ってくる必要があります。
Entra ID（Microsoft 365）の場合
- Microsoft 365 管理センターで「ユーザー」→「アクティブなユーザー」を開きます。
- 対象のユーザーを選び、「パスワードのリセット」を選びます。
- 仮のパスワードを設定し、「初回サインイン時にこのユーザーにパスワードの変更を要求する」を有効にします。
新しいパスワードでPCにサインインするには、そのPCがインターネットにつながっている必要があります。
Microsoft 365では、セルフサービス パスワード リセット（SSPR）を有効にすると、本人がサインイン画面の「パスワードのリセット」から、あらかじめ登録した電話番号や認証アプリで確認して再設定できます。オンプレミスのADと同期している環境で、リセットしたパスワードをADにも書き戻すには、Entra ID P1 以上のライセンスが必要です。
問い合わせを減らす：なぜ忘れるのかから考える
再設定の手順を整えても、1件ごとに本人は仕事が止まり、担当者は呼ばれます。件数を減らすには、忘れる原因のほうを減らす必要があります。多いのは次の3つです。
1. 定期変更で、覚えたそばから変わる
90日ごとなどの定期変更は、忘れる原因の筆頭です。総務省は、利用者にパスワードの定期的な変更を求める必要はなく、漏えいが分かったときに変更すればよいという考え方を示しています。変更期限の直後や連休明けに問い合わせが集中しているなら、まずここを見直します。期限を残す場合は、有効期限が切れる前に通知する設定で、期限切れで締め出される事態だけは防げます。
2. 覚えるパスワードが多すぎる
PC、メール、業務システム、共有フォルダでパスワードが別々だと、1つを変えたときにどれがどれだか分からなくなります。Webサービスはシングルサインオンでまとめられますが、PCのサインインはシングルサインオンの外に残ります。ここが最後まで手で覚えるパスワードになります。
3. たまにしか使わない
長期休暇明け、育休からの復帰、週1回しか使わない共用PCなど、間隔が空くと忘れます。こうしたPCほど付箋に書かれがちです。付箋の代わりの方法はパスワードを付箋で管理している状態の危険と代替手段で扱っています。
パスワードを打たないサインインに切り替える
原因を減らしても、PCのサインインにパスワードを打つ限り、忘れる人はゼロになりません。問い合わせを根本からなくすには、サインインのたびにパスワードを思い出して打つ運用そのものをやめる方法があります。
- Windows Hello（PIN・顔・指紋）：PC単位のPINや生体情報でサインインします。PINは忘れても本人がその場で作り直せます。導入の手順はWindows Hello for Businessの導入手順を参照してください。
- 物理キーやスマートフォンでのサインイン：キーやスマートフォンを近づける・タッチする操作でサインインします。PCを複数人で使う現場や、Windows Helloの顔・指紋に対応していないPCでも使えます。仕組みはハードウェアキーとはで整理しています。
どの方式を選ぶにしても、先にいま月に何件「忘れました」が起きているかを数えておくと、切り替えの効果を社内に説明できます。問い合わせを受けたら、日付・部署・原因（定期変更・休み明け・その他）だけでも記録しておきます。
よくある質問
Q. パスワードをリセットしたのに、テレワーク中のPCで新しいパスワードが通りません。
A. Active Directoryのドメインに参加しているPCは、社内ネットワークにつながっていないと、以前にサインインしたときのパスワードで照合します。そのため新しいパスワードは通らず、古いパスワードなら通ることがあります。古いパスワードでサインインしてからVPNに接続し、画面をロックして新しいパスワードで解除すると、PC側の記録が更新されます。
Q. ローカルアカウントで、管理者アカウントが他にない場合はどうしますか？
A. Windows 10以降でローカルアカウントにセキュリティの質問を設定していれば、サインイン画面の「パスワードのリセット」から再設定できます。質問も設定しておらず、ほかの管理者アカウントもない場合は、Windowsの再インストールが必要になることがあります。業務PCでは、ローカルの管理者アカウントを1つ別に用意しておくのが基本です。
Q. パスワードの定期変更をやめてもよいのですか？
A. 総務省は、利用者にパスワードの定期的な変更を求める必要はなく、漏えいが分かったときに変更すればよいという考え方を示しています。定期変更は忘れる原因の上位で、覚えやすい連番などの弱いパスワードも生みやすくなります。取引先のチェックシートや社内規程で定期変更を求められていないかは、先に確認してください。
Q. Windows Hello のPINを忘れた場合も同じ対応ですか？
A. PINはPC単位の設定なので、サインイン画面の「PINを忘れた場合」から、本人がアカウントのパスワードで確認して作り直せます。パスワードまで忘れている場合は、先にこの記事の手順でパスワードを再設定します。