Windows Server 2012/2016 ドメインでパスワードの有効期限を変更・無効化する方法

「パスワードの有効期限ポリシー」とは、ユーザーが同じパスワードを使用できる日数を定義するものです。ドメイン環境では、既定のパスワード有効期限は42日に設定されており、この期間を過ぎると、ユーザーは引き続きコンピューターを使用したりネットワークリソースへアクセスしたりするために、パスワードの変更が必要になります。

本ガイドでは、Active Directory ドメイン(Windows Server 2012/2016)において、既定の「パスワードの有効期限」を変更する方法、またはパスワードの有効期限ポリシー自体を無効化する方法を、手順を追って詳しく解説します。

※ 注意: Windows 10 やスタンドアロン構成の Windows Server 2016/2012 でパスワードの有効期限を変更したい場合は、別記事「Windows 10 および Server 2016/2012 スタンドアロンサーバーでパスワードの有効期限を設定する方法」をご参照ください。

Active Directory でパスワードの有効期限ポリシーを変更・無効化する手順

手順1. Active Directory のドメインコントローラー上でサーバーマネージャーを開き、[ツール] メニューから [グループポリシーの管理] を起動します。
※ [コントロールパネル] → [管理ツール] → [グループポリシーの管理] から開くことも可能です。

手順2. 左側のツリーで [ドメイン] 配下にある対象のドメインを選択し、[Default Domain Policy] を右クリックして [編集] を選択します。

手順3. グループポリシー管理エディターで、以下の場所へ移動します。

• コンピューターの構成\ポリシー\Windows の設定\セキュリティの設定\アカウントポリシー\パスワードのポリシー

手順4. 右側のペインに表示される [パスワードの有効期限(Maximum password age)] をダブルクリックします。

手順5. [このポリシーの設定を定義する] にチェックを入れ、目的に応じて以下のいずれかの操作を行います。

a. 有効期限の日数を変更する場合:
ユーザーにパスワード変更を強制するまでの日数を入力します(例:180日 = 6か月)。入力後、[OK] をクリックします。

b. 有効期限ポリシーを無効化する場合:
パスワードを無期限にしたいときは、値を ゼロ(0) に設定して [OK] をクリックします。0 を設定すると、ドメイン内のすべてのアカウントでパスワード変更が一切不要になります。

※ 補足: 「パスワードの有効期限」の設定値は、システムがユーザーに対してパスワード変更を要求するまでの日数を表します。設定できる範囲は 1〜999 日です。

手順6. 最後に、管理者権限でコマンドプロンプトを開き、次のコマンドを実行してグループポリシーを即時反映させます。もしくは、AD サーバーを再起動しても構いません。

• gpupdate /force

補足:ポリシーが特定のユーザーに適用されない場合の対処法

上記の手順で「パスワードの有効期限」を変更したにもかかわらず、特定のユーザーにポリシーが反映されない場合は、そのユーザーアカウント側で「パスワードを無期限にする」オプションが有効になっている可能性があります。以下の手順で確認・解除してください。

1. [Active Directory ユーザーとコンピューター] を開きます。
2. 左側のペインで [Users] グループを選択します。
3. 右側のペインで、ポリシーが適用されない対象ユーザーを右クリックし、[プロパティ] を選択します。
4. [アカウント] タブを開き、[パスワードを無期限にする] のチェックを解除して [OK] をクリックします。

以上で作業完了です。本ガイドがお役に立ちましたら、ぜひコメントでご感想をお寄せください。また、このガイドをいいね・シェアしていただければ、他の方々のお役にも立てると思います。