ActiveDirectoryでのドメインパスワードポリシーの構成

利用可能なすべてのWindowsパスワード設定について考えてみましょう。 GPOには6つのパスワード設定があります：

• パスワード履歴を適用する – ADに保存されている古いパスワードの数を決定し、ユーザーが古いパスワードを使用できないようにします。ただし、ADでパスワードリセット権限を委任されたドメイン管理者またはユーザーは、アカウントの古いパスワードを手動で設定できます。
• パスワードの最大有効期間 –パスワードの有効期限を日数で設定します。パスワードの有効期限が切れると、Windowsはユーザーにパスワードの変更を求めます。ユーザーによるパスワード変更の規則性を保証します。 PowerShellを使用して、特定のユーザーのパスワードの有効期限がいつ切れるかを確認できます。Get-ADUser -Identity j.werder -Properties msDS-UserPasswordExpiryTimeComputed | select-object @{Name="ExpirationDate";Expression= {[datetime]::FromFileTime($_."msDS-UserPasswordExpiryTimeComputed") }}
• パスワードの最小長 –パスワードには少なくとも8つの記号を含めることをお勧めします（ここで0を指定した場合、パスワードは不要です）。
• パスワードの最低有効期間 –ユーザーがパスワードを変更できる頻度を設定します。この設定では、パスワードを何度も変更した後、パスワードをパスワード履歴から削除して、ユーザーがパスワードを頻繁に変更して、好きな古いパスワードに戻すことはできません。原則として、パスワードが危険にさらされた場合にユーザーが自分でパスワードを変更できるように、ここで1日を設定することをお勧めします（そうしないと、管理者がパスワードを変更する必要があります）。
• パスワードは複雑さの要件を満たす必要があります –ポリシーが有効になっている場合、ユーザーはパスワードにアカウント名を使用できません（usernameの2つ以下の記号） またはFirstname また、パスワードには、数字（0〜9）、大文字、小文字、特殊文字（$、＃、％など）の3種類の記号を使用する必要があります。また、（パスワードディクショナリからの）弱いパスワードの使用を防ぐために、ADドメインのユーザーパスワードを定期的に監査することをお勧めします。
• 可逆暗号化を使用してパスワードを保存する –ユーザーパスワードはADデータベースに暗号化されて保存されますが、場合によっては、一部のアプリにユーザーパスワードへのアクセスを許可する必要があります。このポリシー設定が有効になっている場合、パスワードの保護は弱くなります（ほとんどプレーンテキスト）。安全ではありません（DCが侵害された場合、攻撃者はパスワードデータベースにアクセスできます。保護手段の1つとして、読み取り専用ドメインコントローラー（RODC）を使用できます）。

ユーザーがドメインのパスワードポリシーと一致しないパスワードを変更しようとすると、エラーメッセージが表示されます。

Unable to update the password. The value provided for the new password does not meet the length, complexity, or history requirements of the domain.

さらに、GPOセクションアカウントロックアウトパスワードで次のパスワード設定を構成する必要があります ：

• アカウントロックアウトのしきい値 –アカウントがロックアウトされる前に、ユーザーが（間違ったパスワードで）サインインに失敗した回数を確認できます。
• アカウントのロックアウト期間 –ユーザーが間違ったパスワードを数回入力した場合に、アカウントがロックされる期間。
• アカウントロックアウトカウンターをリセットした後 –アカウントロックアウトしきい値カウンターがリセットされるまでの分数。

ADドメインのパスワードポリシーのデフォルト設定を以下の表に示します。

セキュリティコンプライアンスツールキットでは、次のパスワードポリシー設定を使用することをお勧めします。

• パスワード履歴の適用：24
• パスワードの最大有効期間：設定されていません
• パスワードの最小有効期間：設定されていません
• パスワードの最小長：14
• パスワードは複雑さを満たす必要があります：有効
• 可逆暗号化を使用してパスワードを保存する：無効

ADドメインの現在のパスワードポリシーを確認するには？

現在のパスワードポリシー設定は、gpmc.mscのデフォルトドメインポリシーで確認できます。 コンソール（[設定]タブ）

PowerShellを使用してパスワードポリシー情報を表示することもできます（AD PowerShellモジュールがコンピューターにインストールされている必要があります）：

Get-ADDefaultDomainPasswordPolicy

ComplexityEnabled: True
DistinguishedName: DC=woshub,DC=com
LockoutDuration: 00:20:00
LockoutObservationWindow: 00:30:00
LockoutThreshold: 0
MaxPasswordAge: 60.00:00:00
MinPasswordAge: 1.00:00:00
MinPasswordLength: 8
objectClas : {domainDNS}
PasswordHistoryCount: 24
ReversibleEncryptionEnabled: False

また、gpresultコマンドを使用して、任意のドメインコンピューターの現在のADパスワードポリシー設定を確認できます。