承認されたローカルアカウントのパスワードを管理者が再設定する構文は、net user “ユーザー名” *です。末尾のアスタリスクで非表示の入力プロンプトを使い、パスワードをコマンド行やバッチファイルへ直接書かないようにします。ただし、本人が現在のパスワードを知っている通常の変更と、管理者によるリセットは同じ操作ではありません。
この記事はWindowsのローカルアカウントを中心に説明します。実際のパスワード変更は検証していません。自分が管理を許可されたアカウントだけを対象とし、組織の手順とポリシーを優先してください。
実行前に確認：ローカル・Microsoft・AD・PINの違い
ローカルアカウントはそのPCで管理します。Microsoftアカウントのオンラインパスワード、Microsoft Entra IDの職場/学校アカウント、Active Directory（AD）ドメインアカウントは管理元が異なります。Windows Hello PINもパスワードとは別です。net userでローカルの同名ユーザーを変更しても、オンラインアカウントやPINを変更したことにはなりません。
本人が現在のパスワードを知っている場合、ローカルアカウントでは［設定］→［アカウント］→［サインインオプション］→［パスワード］→［変更］など、旧パスワードを入力する通常の変更手順を優先します。組織のアカウントでは指定の変更画面や管理者の案内に従ってください。
管理者によるローカルパスワードの強制リセットでは、EFS暗号化ファイル、保存済み資格情報、個人証明書などへアクセスできなくなるおそれがあります。現在のパスワードを知らずにリセットする前に、データと暗号化鍵の回復手段、サービスやタスクへの影響を管理者と確認します。パスワードを再設定すれば失われた暗号化アクセスも自動的に戻る、と考えないでください。
1．コマンドプロンプトを開いて対象を確認する
読み取りだけなら、Windowsキー+Rでcmdを入力して開けます。管理者によるローカルアカウントの再設定には、スタートで「cmd」を検索して「管理者として実行」を選び、正規の管理者認証を行います。権限がない場合は管理者へ依頼します。
whoami
net user
net user "JohnDoe"JohnDoeは例です。net userの一覧から実際のローカルユーザー名を確認して置き換えます。表示名とログオン名が同じとは限りません。whoamiはそのコマンドを実行しているセキュリティコンテキストを示すので、別の管理者資格情報で起動したウィンドウでは、普段のサインインユーザーと違うことがあります。
net user “JohnDoe”は対象のアカウント情報の照会です。パスワードの文字列を表示するコマンドではありません。ユーザー名に空白がある場合も二重引用符で囲みます。対象が見つからないとき、同名の新しいユーザーを作って解決しようとしないでください。
2．アスタリスクを使い、パスワードを非表示で入力する
net user "JohnDoe" *承認された対象であることを再確認して実行し、表示される入力要求に従って新しいパスワードを2回入力します。入力文字が画面に表示されないのは正常です。実際のパスワードをスクリーンショットや作業ログに記録しません。
コマンド行へ直接パスワードを書く方式は、画面、履歴、プロセスのコマンドラインを収集する仕組みなどへ平文が残る可能性があります。さらにcmdの&や|などの解釈も混ざります。引用符を付けるだけで秘密の記録対策が完成するわけではないため、対話入力を使います。
完了メッセージだけでなく、エラーがないかを読みます。空のパスワードを意図せず設定しないようにし、長さ・履歴・複雑さなど、対象に適用される規則に従ってください。記事の例のユーザー名やパスワードをそのまま実運用へ流用しません。
3．変更後の確認：パスワードそのものは表示できない
net user "JohnDoe"アカウント情報とパスワードの最終設定日時などを確認します。ただし表示項目の更新だけでは、そのパスワードで対象サービスに認証できることまで証明できません。設定アプリにも現在のパスワード文字列が表示されるわけではありません。
作業中のファイルを保存し、別の管理者の復旧手段を確保してから、対象アカウントのパスワードによるサインインを計画的に確認します。PINや顔認証で入れたことを、新しいパスワードの検証と混同しません。唯一の管理セッションを確認前に閉じたり、パスワードを何度も試してロックアウトを起こしたりしないでください。
サービス、タスクスケジューラ、保存されたネットワーク接続などに古い資格情報がある場合は、承認された管理手順で更新が必要です。個人ユーザーの変更とサービスアカウントの変更を同じ手順で一括処理しないようにします。
ADドメインでは/domainの対象と権限に注意する
net user "username" /domainこれはADドメイン側のアカウント情報を確認する例です。/domainはドメインコントローラーを対象にする指定で、MicrosoftアカウントやMicrosoft Entra ID向けの指定ではありません。ローカルPCの管理者であっても、ドメインユーザーをリセットする権限が自動的に付くわけではありません。
ドメインでの変更・リセットは、委任権限、対象ユーザー、接続先、適用ポリシー、監査要件を確認した管理者が組織の手順で行います。PCがオフラインのままでは、ドメイン側の新しい資格情報とキャッシュされたサインインの状態が一致するとは限りません。
エラーになったときの切り分け
「アクセスが拒否されました」なら、実行しているアカウントと昇格状態、対象がローカルかドメインか、変更権限を確認します。権限のないユーザーでセーフモードを起動しても、正規の管理権限を代替する解決策にはなりません。
「ユーザー名が見つかりません」なら、net userの一覧、実際のログオン名、対象コンピューター/ドメインを確認します。オンラインアカウントをローカルユーザーと同じものとして処理していないかも調べます。
「パスワードがポリシー要件を満たしていません」などの場合は、長さ、履歴、複雑さ、対象の実効ポリシーを確認します。「強力すぎるから失敗」と決めつけたり、複雑さや履歴を無効にしたりせず、表示されたエラー番号と文面を記録します。実際のパスワードは管理者へ送らないでください。
管理者が監査を確認する場合は、設定済みの監査ポリシーに応じてセキュリティログを調べます。通常のシステムログだけに必ず記録されるとは限りません。エラーの対象、実行日時、端末名と操作を整理して相談します。
複数アカウントの平文パスワードをバッチへ埋め込まない
以前のようにnet user User1 パスワードを何行も並べるファイルは、秘密を平文で保存し、失敗しても無条件に「完了」と表示してしまう問題があります。パスワード一覧のCSVや共有ファイルを作る方法へ置き換えるだけでも解決しません。
大量の更新が必要なら、組織で承認された資格情報管理、アカウントごとの一意な秘密、配布経路、失敗時の復旧と監査を設計します。Windowsのローカル管理者用にはWindows LAPSなどの専用管理方式を検討しますが、導入・権限設定は別作業です。少数の承認済み対象を対話で扱う場合も、各結果を個別に確認してください。
パスワード運用の注意点
長く固有のパスワードを選び、使い回さず、承認されたパスワードマネージャーなどで保管します。「8文字あれば十分」「最低3か月ごとに必ず変更」をすべての環境の基準にしません。現行の組織方針に従い、漏洩や侵害が疑われる場合の変更と、機械的な定期変更を分けて考えます。可能な範囲でMFAやパスワードレスも組み合わせます。
サインインできず、正規の管理者も利用できない場合は、Microsoftの回復手順や組織の窓口を使います。別OSから認証用ファイルを改変する方法や、ログイン画面をコマンドプロンプトに置き換える手順は、このガイドの対象ではありません。
公式資料
Microsoft：net userの構文とアスタリスク入力 / Windowsのローカルアカウントの変更・回復 / Windows LAPSの概要 / Microsoft：管理者リセットと保護データの回復条件
コメント