パスワードの有効期限そのものより、期限が切れたことに気づけない状態の方が実務上の問題になります。出張先でログインできない、長期休暇明けに全員が同時に変更を求められる、といった形で業務が止まります。この記事では、期限の確認方法と、事前に通知する設定を扱います。
期限を確認する
特定のユーザーの期限は、次のコマンドで分かります。
net user ユーザー名 /domain「パスワードの有効期限」の行に日時が表示されます。「無期限」と出る場合は、そのアカウントに期限が設定されていません。
全ユーザーをまとめて確認するには、ドメインコントローラーでPowerShellを使います。
Get-ADUser -Filter * -Properties msDS-UserPasswordExpiryTimeComputed | Select-Object Name,@{n='期限';e={[datetime]::FromFileTime($_.'msDS-UserPasswordExpiryTimeComputed')}} | Sort-Object 期限期限の近い順に並びます。同じ日付に多数のアカウントが集中している場合、その日に問い合わせが集中します。一括で作成されたアカウントでよく起こる状態です。
ドメイン全体の期限設定そのものは Active Directoryのパスワードポリシーを確認するコマンドで確認できます。
事前に警告を表示する
グループポリシーで、期限の何日前から警告を出すかを指定できます。
コンピューターの構成 → ポリシー → Windowsの設定 → セキュリティの設定 → ローカル ポリシー → セキュリティ オプション
「対話型ログオン: パスワードの有効期限が切れる前にユーザーに変更を促す日数」を開き、日数を指定します。
日数は、週末や連休をまたげる長さにしてください。短すぎると、金曜に警告が出て月曜には期限切れ、という事態が起こります。
警告が届かない典型的な場面
この設定はログオン時に表示されるものです。そのため、次の場合は機能しません。
| 状況 | なぜ届かないか |
|---|---|
| PCを毎日スリープ運用している | ログオンが発生しないため表示されない |
| テレワークでドメインに接続していない | キャッシュされた資格情報でログインしており、期限の情報が更新されない |
| 長期休暇・休職中 | 警告の期間中に一度もログインしない |
| クラウドのみを利用している社員 | そもそもドメインへのログオンがない |
2つ目が最も厄介です。社外では期限切れに気づかず、社内ネットワークに接続した瞬間に変更を求められます。出張先や客先で起きると、その場で作業ができなくなります。持ち出し端末の運用は 持ち出しPCのID管理、テレワーク環境の考え方は テレワークのセキュリティで扱っています。
対策としては、画面の警告だけに頼らず、管理側から先回りして知らせる運用が要ります。前述のPowerShellで期限の近いユーザーを定期的に抽出し、メールで案内する形が現実的です。
期限切れでログインできなくなった場合
通常のログイン画面であれば、その場で新しいパスワードを設定できます。問題になるのは、それができない経路です。
- リモートデスクトップ経由 — 接続時に期限切れと表示され、変更画面に進めない構成があります
- VPN接続 — 認証自体が通らず、社内に到達できません
- スマートフォンのメール設定 — 古いパスワードで認証を繰り返し、アカウントのロックにつながります
3つ目は、ロックアウトの原因として非常によく見られます。本人はPCで正常に使えているため、原因に気づきません。切り分け方は アカウントロックアウトの原因を特定して解除する手順にまとめています。
管理者による対処は、パスワードのリセットです。
Set-ADAccountPassword -Identity ユーザー名 -Reset続けて、次回ログイン時の変更を求める場合はこちらです。
Set-ADUser -Identity ユーザー名 -ChangePasswordAtLogon $trueこの際、本人確認を必ず行ってください。「パスワードが切れて入れない」という電話は、なりすましの入口として使われる典型的な口実です。窓口の運用は パスワードリセットの問い合わせ対応で扱っています。
そもそも期限を設けるべきか
定期的な変更の強制は、現在では推奨されない方向に整理されています。頻繁に変更を求められると、利用者は覚えられる範囲の単純な変形に流れます。末尾の数字を1つ増やす、季節の名前を入れ替える、といった形です。結果として、推測されやすいパスワードが定期的に量産されます。
ただし「期限をなくせばよい」という単純な話ではありません。期限をなくすなら、その代わりに次が必要になります。
- 漏えいが疑われたときに、確実に変更する手順
- 使い回されていないことの確認 — 使い回しを確認する方法
- パスワード以外の認証要素 — Windowsログインの二要素認証
期限の撤廃は、これらとセットで初めて成立します。順序を逆にすると、単に守りが薄くなるだけです。設計の考え方は パスワードポリシーの設計で整理しています。
なお、認証の取得・更新を行っている場合、期限を撤廃した判断とその理由を記録に残してください。「規程を変更した理由が説明できない」状態は、審査で問われやすい箇所です。関連は JIS Q 15001とパスワード管理を参照してください。
よくある質問
パスワードの有効期限を確認するコマンドは
個別のユーザーは net user ユーザー名 /domain で「パスワードの有効期限」の行を確認します。全ユーザーをまとめて見る場合は、PowerShellで msDS-UserPasswordExpiryTimeComputed 属性を取得します。
有効期限の警告が表示されないのはなぜですか
警告はログオン時に表示されるため、スリープ運用で日々ログオンが発生しない場合や、テレワークでドメインに接続していない場合には届きません。管理側から期限の近いユーザーを抽出し、メールで案内する運用を併用してください。
パスワードの有効期限は設定すべきですか
定期変更の強制は単純な変形を招くため、現在は推奨されない方向に整理されています。ただし撤廃するなら、漏えい時の変更手順、使い回しの確認、パスワード以外の認証要素をあわせて用意する必要があります。
自社の対応状況を確認するには
パスワードの期限管理は運用の一部にすぎません。期限を設けるかどうかより、パスワードだけに依存していないかの方が重要です。applippliの無料診断では、約3分の質問に回答するだけで、ID・パスワードに関連する対応状況を5段階で判定し、結果をPDFレポートでお届けします。個人情報の入力は不要で、会員登録もありません。
参考・出典
※ 本記事は2026年9月時点の一般的な解説です。設定項目の名称や動作は、Windowsのバージョン・エディションおよび環境によって異なる場合があります。パスワードポリシーの変更は影響範囲が広いため、検証環境での確認のうえ実施してください。