パスワードに有効期限を設けているWindows環境では、期限切れの前に変更を促す日数をGPOで指定できます。ただし、これは警告を始める時期の設定であり、パスワードの有効期間を延ばす設定ではありません。長期休暇や出張を考慮して、組織が必要とする通知日数を決めます。
Microsoftの資料ではクライアントなどの有効な既定値は5日ですが、Default Domain PolicyとDefault Domain Controller Policyではこの項目は「未定義」です。既存のGPOで異なる値が適用されている場合もあるため、どのPCでも必ず5日前と決めつけず、実際の適用結果を確認してください。
グループポリシーの作成方法
GPOの基本操作は、既存記事のグループポリシーの作成と適用手順も参考になります。本設定はコンピューター側の設定です。対象端末が入るテスト用OUなどに限定して確認し、利用者のOUだけにリンクしたGPOで端末へ適用できるとは考えないでください。
作業前に、変更対象のGPO、リンク先、セキュリティフィルター、元の値・未定義の状態を記録し、GPOをバックアップします。既定のドメインポリシーへ無条件に追加せず、他の設定と影響範囲を分けられる構成を管理者が判断します。GPOはサイト・ドメイン・OUへリンクし、セキュリティグループは適用の絞り込みに使います。
許可された管理者がグループポリシー管理エディターで、次の場所を開きます。
コンピューターの構成 → ポリシー → Windowsの設定 → セキュリティの設定 → ローカルポリシー → セキュリティオプション
「対話型ログオン: パスワードが無効になる前にユーザーに変更を促す」を開きます。表示名や「ポリシー」の階層は管理画面で確認してください。以下は2017年に掲載した画面例で、現在の画面デザインと異なる場合があります。
設定可能な範囲は0～999日です。ここでは、期限前の注意喚起を早める例として14日を使用します。説明画面の既定値と、端末に現在適用されている値は別です。
「セキュリティポリシーの設定」で、この設定を定義し、日数に14を指定して保存します。これはパスワードの残り日数が14日以内になった際の警告に関する設定で、14日前にメールを送ったり、離席中の利用者へ必ず通知を届けたりする仕組みではありません。
設定の定義・既定値・再起動要否はMicrosoftのポリシー資料で確認できます。Windows 11のMDM向けにも同名のPolicy CSPがありますが、その対応OS・エディション表はMDM経由の設定の条件です。GPO手順と混ぜずに管理方式を確認してください。
適用されたことをテスト端末で確認する
GPOを保存しただけでは、全端末へ直ちに反映された証明にはなりません。AD側の複製、端末の通信、適用対象・フィルター、他のGPOの優先順位を確認します。処理の順序はMicrosoftのグループポリシー処理の説明を参照してください。
対象端末のコンピューターポリシーの結果を読む例です。必要な参照権限のあるコマンドプロンプトで実行します。アクセス拒否が出た場合は管理者へ確認し、制限を解除する操作へ進まないでください。
gpresult /scope computer /zgpresultは適用結果の参照用で、設定を配布するコマンドではありません。管理コンソールのグループポリシー結果なども併用し、対象設定の有効値と優先されたGPOを確認します。出力に含まれるPC名やドメイン名などを公開しないでください。
この設定自体は端末の再起動を必要としません。ただし、反映後の通知を確認する際は、作業を保存したうえで組織のテスト用アカウント・期限条件に沿って確かめます。通知試験のために本番アカウントの期限やパスワードを勝手に変更しないでください。
警告が出ない場合と元へ戻す際の注意
- 有効期限があるか: 無期限のアカウントに、この設定だけで期限が新設されることはありません。
- 利用中の認証を確認: ローカル・AD・Microsoft Entra IDなどのアカウント、パスワード・Windows Helloなどのサインイン方式を区別します。クラウドサービスのメール通知や、すべてのサインイン方式の表示を統一する設定ではありません。
- 0日と未定義を混同しない: 0日はログオン時の期限前警告を表示しない指定です。ただし、ログオン状態を長く継続すると、期限当日や期限切れ後に警告が出る場合があります。未定義はこのGPOで値を指定しない状態であり、別のポリシーや既存の状態の確認が必要です。
- 元へ戻す: 記録した変更前の値・構成へ戻し、端末の有効値も再確認します。GPOの削除やリンク解除だけで必ず5日に戻ると決めつけず、他の設定を含むGPOを丸ごと削除しないでください。
期限の設定方針そのものは別の検討事項です。通知を見せるためだけに定期的なパスワード変更を新設したり、既存の認証・セキュリティポリシーを無断で緩めたりせず、組織の方針に沿って運用してください。
コメント