WindowsのRDPセッションでユーザーパスワードを変更する方法

本記事では、リモートのWindowsコンピューター上のRDPセッションでユーザーパスワードを変更する方法を解説します。リモートホストとしては、リモートデスクトップサービス(RDS)ロールが構成されたWindows Server、あるいは1つ以上のRDP接続を許可しているWindows 10/11のワークステーションが対象となります。

ユーザーが最初に直面する問題は、リモートデスクトップ(RDP)セッション内でCtrl + Alt + Deleteキーの組み合わせによる標準のパスワード変更ダイアログを開けないことです。このショートカットはローカルOS側で処理されるため、RDPセッションには転送されません。

Windows Server 2003/2008では、スタートボタンからWindowsセキュリティ→パスワードの変更を選択することで、RDPセッション内のユーザーパスワードを変更できました。

しかし、Windows Server 2016/2019/2022やWindows 10/11などの新しいバージョンでは、スタートメニューに「Windowsセキュリティ」項目が存在しないため、この方法は使用できません。

目次

• Ctrl + Alt + EndでRDPセッションのパスワードを変更する
• オンスクリーンキーボードを使ってパスワードを変更する
• VBS/PowerShellスクリプトでRDPセッションのパスワードを変更する
• リモートデスクトップWebアクセス(RDWEB)経由でパスワードを変更する
• CredSSP NLA環境でのRDPパスワード変更

Ctrl + Alt + EndでRDPセッションのパスワードを変更する

現在のWindowsバージョンでは、RDPセッション内でWindowsセキュリティダイアログを開くにはCtrl + Alt + Endキーの組み合わせを使用します。これはCtrl + Alt + Deleteと同等の機能を持つショートカットですが、RDPウィンドウ内でのみ動作します。メニューからパスワードの変更を選択してください。

これで、標準のダイアログボックスからパスワードを変更できます(現在のパスワードを入力し、新しいパスワードを2回入力します)。

オンスクリーンキーボードを使ってパスワードを変更する

RDPセッションを多重に経由してWindowsホストのリモートデスクトップに接続している場合、CTRL+ALT+ENDではパスワードを変更できません。最初のRDPウィンドウがショートカットを横取りしてしまうためです。このような場合は、Windowsに組み込まれているオンスクリーンキーボードを活用しましょう。

1. 対象のRDPセッション内でオンスクリーンキーボードを起動します(スタートメニューでosk.exeと入力するのが最も簡単です)。
2. オンスクリーンキーボードが表示されます。
3. 物理(ローカル)キーボードでCTRL+ALTを押し続け(画面に表示されるはずです)、オンスクリーンキーボード上のDelボタンをクリックします。
4. これでCtrl+Alt+Delのキーの組み合わせがリモートのRDPセッションに送信され、標準のWindowsセキュリティダイアログが表示され、パスワードを変更できます。

なお、ユーザーパスワードを変更する際は、ローカルまたはドメインのパスワードポリシー要件を満たす必要がある点に注意してください。

新しいパスワードが要件を満たしていない場合は、次のメッセージが表示されます。

パスワードを更新できません。指定された新しいパスワードは、ドメインの長さ、複雑さ、または履歴の要件を満たしていません。

また、ドメインポリシー(または細かいパスワードポリシーPSO)でパスワードの最小使用期間が構成されている場合、GPO設定で指定された期間より短い間隔でのパスワード変更はできないことがあります。
PowerShellを使えば、ユーザーパスワードの有効期限を確認できます。

Get-ADUser -Identity jsmith -Properties msDS-UserPasswordExpiryTimeComputed | select-object @{Name="ExpirationDate";Expression= {[datetime]::FromFileTime($_."msDS-UserPasswordExpiryTimeComputed") }}

VBS/PowerShellスクリプトでRDPセッションのパスワードを変更する

Windowsに組み込まれたVBScript、PowerShell、シェルショートカットを使って、RDPセッション内でWindowsセキュリティダイアログを呼び出すことも可能です。

例えば、デスクトップに以下のVBScriptコードを含むWindowsSecurity.vbsというテキストファイルを作成します。

set objShell = CreateObject("shell.application")
objshell.WindowsSecurity

このVBSファイルをダブルクリックすると、標準のパスワード変更フォームが表示されます。

このVBSファイルは、RDSホストの共有デスクトップ(%SystemDrive%\Users\Public\Desktop\)に配置したり、GPOを使って各ユーザーのデスクトップにコピーしたりできます。

同様に、PowerShellからパスワード変更ウィンドウを開くこともできます。次のコマンドを使用してください。

(New-Object -COM Shell.Application).WindowsSecurity()

さらに、次のリンクを指定してエクスプローラーのショートカットを作成する方法もあります。

C:\Windows\explorer.exe shell:::{2559a1f2-21d7-11d4-bdaf-00c04f60b9f0}

リモートデスクトップWebアクセス(RDWEB)経由でパスワードを変更する

リモートデスクトップWebアクセス(RDWA)ロールを持つホスト経由でRDPサーバーにアクセスしている場合は、RDWAのログインページで期限切れパスワードの変更を許可できます(設定方法の詳細は別記事で解説しています)。

CredSSP NLA環境でのRDPパスワード変更

RDPで期限切れのユーザーパスワードを変更する際には、ネットワークレベル認証(NLA)とCredential Security Support Provider(CredSSP)プロトコルに関連する重要な注意点があります。Windows Server 2012/Windows 8以降では、RDPに対してCredSSPとNLAがデフォルトで有効になっています。NLAは、ホストとのRDPセッションを確立する前にユーザーを認証することで、RDPサーバーを保護する仕組みです。

ユーザーのパスワードが期限切れになっている場合や、AD管理者がuserAccountControlオプションの「ユーザーは次回ログオン時にパスワード変更が必要」を有効にしている場合(新規のADアカウントでよく有効化されます)、RDPでログオンしようとすると次のエラーが表示されます。

リモートデスクトップ接続

初回ログオン前にパスワードを変更する必要があります。パスワードを更新するか、システム管理者またはテクニカルサポートに問い合わせてください。

この結果、ユーザーはRDPでサーバーに接続してパスワードを変更することができません。

このような場合、リモートユーザーがパスワードを変更できるようにするには、以下の方法があります。

• 前述の方法で、RDWAロールにパスワード変更ページを構成する。
• RDPホストでNLAを無効にする(セキュリティレベルが大幅に低下するため非推奨!!!)。接続にはenablecredsspsupport:i:0の行を含む.rdpファイルを使用する。
• パスワード変更専用のRDPホストを用意する。このホストにリモートデスクトップセッションホストロールをインストールしたり、ユーザーをローカルのRemote Desktop Usersグループに追加したりする必要はありませんが、NLAを無効にする必要があります。そうすることで、ユーザーはパスワードを変更できますが、RDPでサーバーにログオンすることはできません。
• ユーザーはPowerShellを使ってリモートでパスワードを変更できます(ドメインコントローラーへのネットワークアクセスが必要です)。