ログオン時間の経過時に強制ログオフする方法｜WindowsセキュリティポリシーとActive Directory設定ガイド

はじめに

Windows環境では、ユーザーがネットワークにログオンできる時間帯を制限し、許可された時間が経過した際に自動的にログオフさせることで、セキュリティを大幅に強化できます。本記事では、セキュリティポリシーやグループポリシーを使った強制ログオフの設定方法、Active Directoryでのログオン時間制限、ログオン先の制限など、実践的な手順をわかりやすく解説します。

ログオン時間の経過時に強制ログオフを有効にする方法

ログオン時間の有効期限が切れた時点でユーザーを自動的にログオフさせたい場合は、以下の手順でポリシーを有効にします。

[コンピューターの構成] >> [Windowsの設定] >> [セキュリティの設定] >> [ローカルポリシー] >> [セキュリティオプション] の順に展開し、「ネットワーク セキュリティ: ログオン時間の経過時に強制的にログオフする」を探して「有効」に設定してください。

グループポリシーで強制ログオフを設定する方法

複数のコンピューターへ一括適用したい場合は、グループポリシーを利用します。まず、グループポリシーの管理コンソール（GPMC）を起動して現在のポリシー設定を確認します。次に、[グループポリシーオブジェクト] を右クリックして新しいGPOを作成し、わかりやすい名前（例：Force Logoff）を入力して [OK] をクリックすれば完成です。作成したGPOを対象のOUにリンクすることで、組織全体へ設定を展開できます。

ログオン時間制限の基本

ログオン時間の機能とは

「ログオン時間」機能を使うと、ユーザーがいつネットワークにログオンできるかを細かく制御できます。Windows Serverファミリーに含まれる Active Directory ユーザーとコンピューター（Microsoft 管理コンソール MMC のスナップイン）により、管理者はActive Directory上のユーザーやコンピューターを一元的に管理できます。

ログオン時間の制限とは

Windowsでは、ユーザー単位でログオン時間に制限を設けることができます。システム管理者は、ユーザーが自分のアカウントにログオンできる曜日や時間帯を限定できます。これにより、業務時間外の不正アクセスや情報漏洩のリスクを低減できます。

Active Directoryにおけるログオン時間

Active Directoryでも同様に、ログオン時間の設定機能によってユーザーがネットワークへアクセスできる時間帯を管理できます。ログオンを許可するか拒否するかは、運用方針や個別の状況に応じて判断しましょう。

ログオフに関する各種操作方法

通常のログオフ方法

Active Directory環境でセッションを終了するには、[スタート] をクリックし、[設定] を開いて右上のユーザー名をクリック、[サインアウト] を選択します。これにより現在のセッションが終了し、他のユーザーが同じ端末にログオンできるようになります。

ユーザーセッションを強制的にログオフさせる方法

管理者権限でコマンドプロンプトを開き、TASKMGR と入力してタスクマネージャーを起動します。[ユーザー] タブから対象ユーザーを選択し、右クリックメニューからログオフを実行すれば、そのセッションを強制的に切断できます。

/fオプションによる強制ログオフ

アプリケーションの確認メッセージを表示せずに即座にログオフしたい場合は、/f オプションを付けてコマンドを実行します。exeファイルは単体で実行できるため、バッチ処理などにも組み込みやすいのがメリットです。

特定の時刻にユーザーをログオフさせる設定

[スタート] >> [プログラム] >> [管理ツール] >> [ドメイン ユーザー マネージャー] を起動します。対象ユーザー（例：savillj）をダブルクリックして選択し、[時間] をクリックします。既定ではすべての時間帯でログオンが許可されているため、必要に応じて許可時間を変更し、[OK] をクリックしてダイアログを閉じます。

グループポリシーでスクリプトを展開する方法

編集したいグループポリシーオブジェクトを右クリックして [編集] を選択します。コンソールツリーの [スクリプト (スタートアップ/シャットダウン)] は、[コンピューターの構成] >> [ポリシー] >> [Windowsの設定] 配下にあります。結果ウィンドウの [スタートアップ] をダブルクリックすると、スクリプトの追加画面が開きます。

ログイン時間の動作仕様

特定の曜日にログインを一切禁止したい場合は、開始時刻を「午前0時」、終了時刻を「24時（日の終わり）」に設定します。なお、ログイン時間の終了時点でユーザーがログイン中だった場合、表示中のページは引き続き閲覧できますが、それ以降の操作は行えなくなります。

ログオン時間の設定手順

Active Directory ユーザーとコンピューターで、制限をかけたいユーザーオブジェクトのプロパティを開きます。[アカウント] タブにある [ログオン時間] ボタンをクリックし、許可する曜日と時間帯を指定して [OK] をクリックします。

「サービスとしてログオン」権限とは

「サービスとしてログオン」のユーザー権利を持つユーザーは、誰もログオンしていない状態でも、コンピューター上で常時稼働するネットワークサービスを開始できます。この権限の付与を管理者権限を持つユーザーだけに限定することで、セキュリティリスクを最小限に抑えられます。

ログオンを特定のコンピューターに制限する方法

[設定] >> [Windowsの設定] >> [セキュリティの設定] >> [ローカルポリシー] >> [ユーザー権利の割り当て] >> [ローカルでのログオンを許可] の順に開きます。ログオンを許可しないユーザーやグループを削除し、許可したいユーザーを追加してください。Administratorsグループは絶対に削除しないよう注意が必要です。

対話型ログオンの制限方法

対話型ログオンの権限を制限するには、ユーザーがログオンできるコンピューターを限定する方法が非常に効果的です。Active Directoryの「ログオン先...」プロパティを使えば、ドメイン管理者はドメインユーザーが対話的にログオンできるマシンを制御できます。

Active Directoryでユーザーのログオン先を制限する

Active Directory ユーザーとコンピューター（MMCスナップイン）でユーザーアカウントのプロパティを開き、[アカウント] タブの [ログオン先...] をクリックします。「次のコンピューター」を選択して、ログオンを許可するコンピューター名を入力し、[追加] ボタンで登録していきます。