Windows Serverでリモートアクセスクライアントアカウントのロックアウトを構成する方法

Windows Serverを導入して社内のコンピュータや各種ポリシーを管理している企業にとって、サーバーへのリモートアクセスは欠かせない機能です。サーバー管理の大きな利点は、物理的にその場にいなくても、どこからでもリモートでログインできることです。しかし、これは同時に、第三者が不正にログインを試みるリスクもあることを意味します。本記事では、Windows Serverにおいてリモートアクセスクライアントアカウントのロックアウトをレジストリを使用して構成する方法を解説します。

リモートアクセスクライアントアカウントロックアウトとは

アカウントロックアウトを設定する最大の目的は、攻撃者からサーバーを守ることです。この設定を行うことで、総当たりでパスワードを推測しようとする攻撃者だけでなく、辞書攻撃を実行する攻撃者からもアカウントを保護できます。また、正しいパスワードを思い出せない正当なユーザーが誤ってロックアウトされるケースもあります。ロックアウトによって一定期間ログイン試行が制限されるため、システム全体のセキュリティが向上します。

ただし、その一方で正当なユーザーまでロックアウトされてしまい、業務に支障をきたす可能性もあります。そこで本記事では、リモートアクセスクライアントを手動でロック解除する方法についてもご紹介します。

使用している認証方式に応じて、レジストリを構成するサーバーを使い分けてください。Microsoft Windows認証を使用している場合は、リモートアクセスサーバー上でレジストリを構成します。一方、RASにRADIUSを使用している場合は、インターネット認証サービス(IAS)サーバー上で構成します。

今回構成する項目は以下の2つです。

• ロックアウトが発生するまでの失敗試行回数
• ロックアウトカウンターがリセットされるまでの時間

変更を加える前に、必ずレジストリのバックアップを取得しておいてください。

リモートアクセスクライアントアカウントロックアウトを有効にする

「ファイル名を指定して実行」に「Regedit」と入力し、Enterキーを押してレジストリエディターを開きます。次のレジストリキーへ移動します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteAccess\Parameters\AccountLockout

MaxDenials値を見つけてダブルクリックします。0より大きい値を設定してください。この値が失敗試行回数の上限を意味します。例えば「2」に設定した場合、3回目の試行でロックアウトが発生します。設定後、「OK」をクリックして確定します。

次に、16進数で表されるResetTime (mins)値をダブルクリックします。デフォルト値は2日間に設定されているため、自社のセキュリティポリシーに合わせて適切な値に変更してください。

「OK」をクリックし、レジストリエディターを終了します。

レジストリ編集によるリモートアクセスクライアントの手動ロック解除

アカウントがロックされ、ロックタイムアウトまでの時間が長すぎて早急に解除したいケースもあります。ユーザーがロックアウトされるたびに、ドメイン名:ユーザー名の形式でエントリが作成されます。ロックを解除するには、該当するエントリを削除します。

• レジストリエディターを開き、以下のパスに移動します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteAccess\Parameters\AccountLockout

• 対象となるドメイン名:ユーザー名の値を見つけ、そのエントリを削除します。
• レジストリエディターを終了し、正しい資格情報でユーザーアカウントがログインできることを確認します。

以上で作業は完了です。レジストリに変更を加える際は、事前に必ずバックアップを取るようにしてください。

本記事が、ロックアウトの構成方法とリモートクライアントのブロック解除方法を理解するための一助となれば幸いです。