ADユーザーパスワードの有効期限が近づいたときのパスワード変更通知

この記事では、PowerShellを使用してActive Directoryユーザーアカウントのパスワードがいつ期限切れになるかを確認する方法、パスワードが期限切れにならないように設定する方法（PasswordNeverExpires = True）を示します。 ）、パスワードを変更するように事前にユーザーに通知します。

ドメイン内のユーザーパスワードの有効期限が切れている場合、アカウントはロックされませんが、ユーザーが有効期限の切れたパスワードを新しいパスワードに変更するまで、ドメインリソースへのアクセスに使用することはできません。ほとんどの場合、リモートユーザーは、標準のツールを使用してパスワードを変更できないため、パスワードの有効期限が切れているという問題に遭遇します。

次のPowerShellコマンドを使用して、ドメイン内の現在のパスワード有効期限ポリシー設定を取得できます。

Get-ADDefaultDomainPasswordPolicy|select MaxPasswordAge

この例では、ドメイン内のユーザーパスワードの最大有効期間は60日です。

Active Directoryでユーザーパスワードの有効期限を取得するにはどうすればよいですか？

ネットユーザーを使用すると、コマンドプロンプトでパスワードの有効期限と前回変更された日付を確認できます。 コマンド：

net user jsmith /domain

必要な情報は次の行にあります：

• パスワードの最終設定—2020年9月9日午前9時23分59秒
• パスワードの有効期限が切れます — 1/7/2021 9:23:59 AM
• パスワード変更可能—2020年9月10日午前9時23分59秒

ADアカウントの設定を表示するには、さまざまなADオブジェクト属性の値を取得できる特別なPowerShell for Active Directoryモジュールを使用します（Windows10およびWindowsServer 2012 R2 /2016にADPowerShellモジュールをインストールしてインポートする方法を参照してください）。 ）。

Get-ADUserコマンドレットを使用すると、ユーザーのパスワードが最後に変更された日付を表示し、PasswordNeverExpiresオプションが設定されているかどうかを確認できます。

get-aduser jsmith -properties PasswordLastSet, PasswordNeverExpires, PasswordExpired |ft Name, PasswordLastSet, PasswordNeverExpires,PasswordExpired

• PasswordLastSet 最後にパスワードを変更した日時です。
• PasswordNeverExpires Trueを返します ユーザーパスワードの有効期限が切れない場合;
• PasswordExpired –ユーザーパスワードの有効期限が切れている場合は、 Trueを返します。 、パスワードの有効期限が切れていない場合は、 Falseを返します。 。

ただし、ご覧のとおり、MMCスナップインには、パスワードが変更された時刻のみが表示されます。パスワードの有効期限がいつ切れるのかは明確ではありません。

最後に変更された時刻ではなく、パスワードの有効期限を取得するには、特別に作成されたAD属性を使用します： msDS-UserPasswordExpiryTimeComputed 。 msDS-UserPasswordExpiryTimeComputedの値は、最後にパスワードが変更された日付とドメインパスワードポリシーに基づいて自動的に計算されます。

UserPasswordExpiryTimeComputed パラメータはTimeStamp形式で日付を返すため、FromFileTimeを使用します 人間が読める形式の値に変換する関数：

Get-ADUser -Identity jsmith -Properties msDS-UserPasswordExpiryTimeComputed | select-object @{Name="ExpirationDate";Expression= {[datetime]::FromFileTime($_."msDS-UserPasswordExpiryTimeComputed") }}

したがって、ユーザーパスワードの有効期限を取得しました。

ADの特定のコンテナー（OU）からすべてのユーザーのパスワードの有効期限を取得するには、次のPowerShellスクリプトを使用できます。

$Users = Get-ADUser -SearchBase 'OU=Users,OU=NewYork,DC=woshub,DC=com' -filter {Enabled -eq $True -and PasswordNeverExpires -eq $False} -Properties msDS-UserPasswordExpiryTimeComputed, PasswordLastSet, CannotChangePassword
$Users | select Name, @{Name="ExpirationDate";Expression= {[datetime]::FromFileTime ($_."msDS-UserPasswordExpiryTimeComputed")}}, PasswordLastSetを選択します

これにより、アクティブユーザーのリスト、パスワードが最後に変更された日時のテーブルが作成されます。

パスワードの有効期限が切れているユーザーのリストのみを表示できます：

$Users = Get-ADUser -SearchBase 'OU=Users,OU=NewYork,DC=woshub,DC=com' -filter {Enabled -eq $True -and PasswordNeverExpires -eq $False} -Properties msDS-UserPasswordExpiryTimeComputed, PasswordLastSet, CannotChangePassword
foreach($user in $Users){
if( [datetime]::FromFileTime($user."msDS-UserPasswordExpiryTimeComputed") -lt (Get-Date)) {
$user.Name
}
}

ADユーザーのパスワードを無期限に設定するにはどうすればよいですか？

アカウントに永続的なパスワードを設定する場合は、パスワードが期限切れにならないを確認してください。 ADのユーザープロパティのオプション（UserAccoutControl属性のビット値の1つです）。

または、ユーザー属性を設定して、PowerShellでこのオプションを有効にすることができます：

Get-ADUser jsmith | Set-ADUser -PasswordNeverExpires:$True

テキストファイルのリストから、複数のユーザーに対して一度に[​​パスワードを無期限にする]オプションを設定できます。

$users=Get-Content "C:\PS\users_password_never_expire.txt"
Foreach ($user in $users) {
Set-ADUser $user -PasswordNeverExpires:$True
}

通常のパスワード変更オプションを無効にしたすべてのユーザーのリストを表示できます：

Get-ADUser -filter * -properties Name, PasswordNeverExpires | where {$_.passwordNeverExpires -eq "true" } |  Select-Object DistinguishedName,Name,Enabled |ft

Consider changing your password
Your password will expire in xx days.