Windows Server 2025 / ドメインのパスワードとアカウントロックを設定する

ドメインのパスワードとロックアウトには既定ポリシーと細かい設定のパスワードポリシー（FGPP）があります。ユーザーOUへ通常のGPOをリンクしても、そのOU専用のドメインパスワード規則にはなりません。

既定とPSOの対象を調べる

FGPPはPassword Settings Object（PSO）で管理します。この例はドメイン既定を変更せず、実習用のグローバルセキュリティグループへ割り当てます。OU自体は対象ではありません。FGPPの公式説明を確認します。

Get-ADDefaultDomainPasswordPolicy
Get-ADUserResultantPasswordPolicy -Identity 'labuser1'
Get-ADFineGrainedPasswordPolicy -Filter *

既存PSOがある場合は優先順位と結果を確認してから追加します。実習対象はGG_LabUsersの一般ユーザーlabuser1で、管理者、サービス、本物の利用者を混ぜません。

値は実習用として選ぶ

これは動作を学ぶ例で、組織共通のセキュリティ基準ではありません。検出体制、多要素認証、アカウントの用途、復旧を考えます。低すぎるロック回数は利用妨害にもつながり、文字数と有効期限だけで保護全体は決まりません。

PSOを作成してグループへ割り当てる

ADモジュールと権限があるDC1または管理PCで、同名がないことを確認して実行します。引数はNew-ADFineGrainedPasswordPolicyで確認できます。

$policyParameters = @{
    Name = 'Lab-Password-Policy'
    Precedence = 100
    MinPasswordLength = 14
    ComplexityEnabled = $true
    PasswordHistoryCount = 5
    MinPasswordAge = (New-TimeSpan -Days 0)
    MaxPasswordAge = (New-TimeSpan -Days 30)
    LockoutThreshold = 5
    LockoutDuration = (New-TimeSpan -Minutes 15)
    LockoutObservationWindow = (New-TimeSpan -Minutes 15)
    ReversibleEncryptionEnabled = $false
}
New-ADFineGrainedPasswordPolicy @policyParameters
Add-ADFineGrainedPasswordPolicySubject -Identity 'Lab-Password-Policy' -Subjects 'GG_LabUsers'
Get-ADUserResultantPasswordPolicy -Identity 'labuser1'

GUIならAD管理センターのドメイン → System → Password Settings Containerで作成し、GG_LabUsersを割り当てます。両方で重複作成せず、labuser1の結果ポリシーを確認します。

新しいパスワード変更とロック状態を確認する

ポリシー変更で保存済みパスワードが自動で長くなるわけではありません。適用PSOを確認してから、CLIENT1のlabuser1で通常のパスワード変更画面を使います。秘密情報をログや画像へ残さないでください。

Get-ADUser -Identity 'labuser1' -Properties LockedOut,PasswordLastSet | Select-Object SamAccountName,LockedOut,PasswordLastSet

管理者のパスワードを何度も間違えてロックを実演しません。繰り返しロックする場合は保存資格情報、タスク、サービスなどの失敗元を調べます。ロック解除は発生源を止める操作ではありません。対象を確認して限定的に対応します。

割り当てを外して既定への戻りを確認する

Remove-ADFineGrainedPasswordPolicySubject -Identity 'Lab-Password-Policy' -Subjects 'GG_LabUsers'
Get-ADUserResultantPasswordPolicy -Identity 'labuser1'
Get-ADDefaultDomainPasswordPolicy

他のPSOがなければドメイン既定に従い、結果PSOの問い合わせは空になる場合があります。外しても以前のパスワードは戻りません。新しい有効なパスワードを安全に保管し、他の適用先を調べてからPSOを削除するか、未割り当てで残します。