エクスポート (0) 印刷
すべて展開

アカウント ポリシー

パスワード ポリシーの設定

最終更新日: 2002年12月18日

パスワード システムを利用した場合、パスワードの秘密を常時保てるかによって、セキュリティが維持されるかどうかが決まります。それほどパスワードは、使用、保存、さらには通知する場合でさえ、常に危険にさらされやすいものです。パスワードによる認証メカニズムをシステムで実行する場合、パスワードの割り当て、配布、管理、および使用に関連した複数の基本的な段階で、脆弱性が生じます。

  • 最初にシステムへ登録したときにユーザーへパスワードを割り当てる

  • 定期的にユーザーのパスワードを変更する

  • システムで「パスワード データベース」を管理する

  • ユーザーがパスワードを覚えておく

  • 認証時に、ユーザーがシステムにパスワードを入力する

  • 管理者や IT マネージャを含め、従業員は第三者にパスワードを公表しない


パスワード ポリシーは、組織のニーズに応じて設定できます。たとえば、最小のパスワード長さ、空白のないパスワード、パスワード有効期間と変更禁止期間を指定することが可能です。また、パスワードの再使用防止や、パスワードに特定の文字を使用することにより、パスワードの解読を困難にすることができます。このポリシーの使用の説明と実行方法は以下のとおりです。

注意 : 最初のユーザー パスワードの設定手順は、このドキュメントの「ユーザー アカウントの作成」で説明しています。

  • パスワードの履歴を記録する : [パスワードの履歴を記録する] では、古いパスワードを再使用できる回数を設定します。このポリシーを使用すると、共通したパスワード間で変更を繰り返すのを避けることができます。Windows 2000 は、ユーザーあたり最大 24 のパスワードをパスワード履歴に保存できます。ただし既定では、パスワード履歴に格納できるパスワードは 1 つです。

    この機能を無効にするには、パスワード履歴のサイズをゼロに設定します。この機能を有効にするには、[パスワード数] フィールドを使用して、パスワード履歴のサイズを設定します。Windows 2000 では、各ユーザーに一意なパスワード履歴を使用して古いパスワードを追跡するので、ユーザーは保存されたパスワードを再使用できなくなります。

    Dd362968.w2kab011s(ja-jp,TechNet.10).gif

    拡大表示する

    注意 : [パスワードの履歴を記録する] に対する不正を防止するには、ユーザーがすぐにパスワードを変更できないようにする必要があります。これにより、古いパスワードに戻すためにパスワードの変更を何度も繰り返す行為を防止します。



  • パスワードの有効期間 : [パスワードの有効期間] で、パスワードを利用できる期間を指定します。この期間を過ぎると変更が必要になります。この設定の目的は、ユーザーが定期的にパスワードを変更するように仕向けることです。この機能を使用するときは、適用されているネットワーク環境がわかるような値を設定します。通常、セキュリティの重要性が極めて高いときは、期間を短くし、セキュリティの重要性が低い場合は、期間を長くします。

    既定の有効期間は 42 日ですが、0 ~ 999 であればどの値でも設定できます。値 0 は、パスワードの期限が切れないことを意味します。 有効期間を設定したくない場合もありますが、ネットワーク セキュリティを確保するには、ユーザーが定期的にパスワードを変更することが必要です。セキュリティが心配な場合、30 日、60 日、90 日が適切な値です。セキュリティを重視しない場合、120 日、150 日、180 日が適切な値です。

    Dd362968.w2kab012s(ja-jp,TechNet.10).gif

    拡大表示する

    注意 : Windows 2000 では、パスワードの有効期限が近づくと、ユーザーに通知されます。有効期間が 30 日を切ると、ログオン時に、あと何日以内にパスワードの変更が必要であるかを示す警告が表示されます。



  • パスワードの変更禁止期間 : [パスワードの変更禁止期間] で、パスワードを変更できるようになるまでの期間を指定します。このフィールドを設定すると、新しいパスワードの入力後、古いパスワードへ戻すことで生じるパスワードの不正使用を防止できます。

    Windows 2000 の既定では、ユーザーはすぐにパスワードを変更することができます。これを禁止するには、特定の変更禁止期間を設定します。適切な設定は 3 日~ 7 日です。この方法で、古いパスワードへの切り替えは難しくなりますが、ユーザーが希望すれば、妥当な期間内でパスワードの変更が可能です。

    Dd362968.w2kab013s(ja-jp,TechNet.10).gif

    拡大表示する

  • パスワードの長さ : [パスワードの長さ] で、パスワードに使用する最小の文字数を設定します。既定の設定をまだ変更していない場合、すぐに変更する必要があります。既定では、パスワードなし (文字のないパスワード) が許可されていますが、これは明らかに不適切です。

    セキュリティ上の理由から、少なくとも 8 文字以上のパスワードが必要です。その理由は、通常、長いパスワードは短いパスワードより解読が困難だからです。セキュリティの必要性が高い場合、パスワードの長さを最長の 14 文字に設定することができます。

    注意 : 評価された構成のパスワードの長さは、8 文字です。

  • パスワードは要求する複雑さを満たす : Windows 2000 では、基本的なパスワード ポリシーとアカウント ポリシー以外に、追加のパスワード コントロールを簡単に作成することができます。[パスワードのポリシー] の [パスワードは要求する複雑さを満たす] 設定を有効にすることで実行されるこの機能は、ユーザーまたは管理者が、ユーザー アカウントのパスワード変更を試みる際に実行されます。たとえば、強力なパスワード フィルタには、以下の 4 つのクラスのうち最低 3 種類の文字を含むパスワードが必要です。

    種類

    1. 英大文字

    A, B, C, ・・・Z

    2. 英小文字

    a, b, c, ・・vz

    3. アラビア数字

    0, 1, 2, ・・・9

    4. 英数字以外の文字 (「特殊文字」)

    !、$、#、% など


    Dd362968.w2kab014s(ja-jp,TechNet.10).gif

    拡大表示する

  • 暗号化を元に戻せる状態でパスワードを保存する : パスワード データベース内のパスワードは暗号化されています。一般的にこの暗号化は元に戻すことができません。暗号化を元に戻すことを許可する場合、[暗号化を元に戻せる状態でドメインのすべてのユーザーのパスワードを保存する]を有効にします。これによりパスワードは、暗号化を元に戻せる状態で保存されるので、緊急時にパスワードを復旧することができます。この機能を有効にすることは、推奨しません

    Dd362968.w2kab015s(ja-jp,TechNet.10).gif

    拡大表示する


この情報は役に立ちましたか。
(残り 1500 文字)
フィードバックをいただき、ありがとうございました
表示:
© 2014 Microsoft