「参照されたアカウントは現在ロックアウトされているため、ログオンできない可能性があります」と出たときの解除手順（ドメイン・ローカル別）と、すぐ再発する場合の原因の絞り込みをまとめます。まず、そのアカウントが会社のドメイン（Active Directory）のものか、PC単体のローカルアカウントかを確かめてください。原因そのものを先に知りたい場合は Windowsアカウントがロックアウトされる原因の調べ方を参照してください。
ロックアウトへの対応の流れ
- 1
本当にロックアウトか確かめる
net user で無効化・期限切れと切り分け
- 2
解除する
ドメインは Unlock-ADAccount、ローカルは lusrmgr.msc など
- 3
すぐ再発するなら発生源を探す
イベントID 4740 の呼び出し元
- 4
攻撃の兆候を確かめる
複数アカウント・深夜・社外の端末
先に確認する：本当にロックアウトか
無効化・期限切れ・プロファイル破損でも同じように入れなくなります。対処が違うため、ドメイン参加PCのコマンドプロンプトで先に切り分けます。
net user ユーザー名 /domain| 項目 | この値なら |
|---|---|
| アカウントの期限 | 日付が過ぎていれば、ロックアウトではなく期限切れ |
| アカウント有効 | No なら、無効化されている（解除ではなく有効化が必要） |
| パスワード有効期限 | 過ぎていれば、リセットが必要 |
PowerShellなら、ロックアウト中のアカウントをまとめて確認できます。
Search-ADAccount -LockedOut複数のアカウントが並ぶ場合は、総当たり攻撃を疑ってください（後述）。
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
手順A：ドメインアカウントを解除する
Active Directoryのアカウントは、次のいずれかで解除します。解除はドメイン管理者権限で行います。
PowerShellで解除する（最も速い）
Unlock-ADAccount -Identity ユーザー名確認は次のとおりです。
Get-ADUser ユーザー名 -Properties LockedOut | Select-Object Name,LockedOutLockedOut が False になっていれば解除済みです。
管理ツールの画面から解除する
dsa.msc で対象ユーザーを開き、「アカウント」タブの「アカウントのロックアウトを解除する」にチェックして適用します。パスワードは変わりません。
パスワードも分からない場合
Set-ADAccountPassword -Identity ユーザー名 -Resetリセット後は、次回サインイン時に本人に変更させる設定を併用してください。運用の組み立て方は パスワードリセットのヘルプデスク運用にまとめています。
手順B：ローカルアカウントを解除する
ドメインに参加していないPCでは Unlock-ADAccount は使えません。方法は次の3つです。
| 方法 | やり方 |
|---|---|
| 画面から解除（Pro以上） | lusrmgr.msc でユーザーのプロパティを開き、「アカウントがロックアウトされています」のチェックを外す |
| パスワードをリセット | 別の管理者アカウントでサインインし、対象のパスワードを再設定する |
| 期間の経過を待つ | 設定されたロックアウト期間が過ぎれば自動で解除される |
ロックアウト期間は次で確認できます（ドメイン全体は /domain を付ける）。
net accounts長すぎると業務が止まり、短すぎると総当たりを許します。設定値の見方は Active Directoryのパスワードポリシーを確認するコマンドで扱っています。
管理者アカウントが1つだけだと、それがロックされた時に解除できません。考え方は 緊急用の管理者アカウントを用意する手順にまとめています。
解除してもすぐ再発する場合
最も多い相談です。数分後に再びロックされるなら、どこかで古いパスワードが自動的に送られ続けています。よくある発生源は次のとおりです。
| 発生源 | 起きていること |
|---|---|
| スマートフォンのメール設定 | 古いパスワードのまま同期を繰り返している |
| ネットワークドライブ | 保存された資格情報が古い |
| サービス・タスクスケジューラ | 実行アカウントのパスワードが変更前のまま |
| 別のPCのサインイン状態 | ログオフしていない端末が再試行している |
ドメインコントローラーのセキュリティログでイベントID 4740 の「呼び出し元コンピューター名」を見れば、発生源の端末が分かります。
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4740} -MaxEvents 20ログが上書きされていると特定できません。保存期間の確認と延長は イベントログの保存期間を確認・変更する手順にまとめています。
ポイント
Windowsのログインは、パスワードを知っていれば誰でも本人として入れます
ロックアウトは、パスワードを何度も試されたときの足止めです。少ない回数で当てられたり、漏れたパスワードを使われたりすれば、ロックはかからずそのまま入られます。
パスワードだけのログイン
漏れた・推測された・メモを見られたパスワードで、そのまま本人として入れます。記録の上でも本人と区別できません。
2要素認証のログイン
パスワードに加えて、本人だけが持つもの（スマホなど）が必要です。パスワードを知っているだけでは入れません。
- VPNや社内Wi-Fiから社内に入られたあと、被害がPC・サーバーへ広がるかどうかは、このログインの部分で決まります。
- 顔・指紋・PIN（Windows Hello）は、ログインを簡単にする仕組みで、2要素認証ではありません。
- 2要素認証というと手間が増えそうですが、本人のスマホを鍵にしたワンタッチログインなら、初回の設定のあとはPINもWindowsのパスワードも打たずに、スマホのワンタッチで入れます。長いパスワードを覚えて打つ手間は、むしろなくなります。
攻撃を疑うべきケース
次に当てはまるなら、解除して終わりにしないでください。
| 兆候 | 疑われること |
|---|---|
| 複数のアカウントが同時期にロック | 利用者名を変えながら試されている |
| 呼び出し元が社内の端末ではない | 社外からの試行 |
| 深夜・休日に発生 | 誰も使っていない時間の試行 |
| 管理者アカウントが対象 | 権限の高いアカウントが狙われている |
ロックアウトは試行が止められた記録ですが、試行された事実は残ります。攻撃の形は 総当たり攻撃、リスト型攻撃で整理しています。実際に侵入されていないかの確認手順は 不正ログインを確認する方法を参照してください。
表のような兆候に気づくには、ふつうはロックの記録をPCごとに見に行く必要があります。アプリップリキーなら、全PC・サーバーのログイン記録を1画面で見られます。ログインの連続失敗を検知すると担当者のLINEに届き、相手のIPは自動で遮断されるので、深夜や休日に見張っている必要はありません。さらに、本人のスマホを鍵にしたワンタッチログインにすると、打ち間違いによるロックアウトの問い合わせ自体が減ります（PC版・サーバー版）。
パスワードだけで入れる状態では、こうした試行は続きます。正規のIDとパスワードで入られ、PCやサーバーへ次々ログインされた事例は統計と実例、費用は不正アクセスの被害額で整理しています。
ADを使っていないPCで、何回の失敗でロックするかを設定・確認する手順は ADなしのPCでアカウントロックアウトを設定する方法にまとめています。
入れたあと日々の仕事で変わること
ロックアウトの対応で時間がかかるのは、解除そのものより「どのPCで、いつ、誰が失敗したか」を調べる部分です。全PC・サーバーのログイン記録が1か所にまとまっていれば、社員から電話が来たその場で画面を絞り込むだけで分かります。兼任の担当者でも、PCのことで席を立つ回数が減ります。
社員にとっても、毎回のログインはスマホでワンタッチなので、複雑なパスワードを覚えて打つ必要がなくなり、打ち間違いでロックされて仕事が止まることがなくなります。
全PC・サーバーをADなしで1か所にまとめて管理する方法はADなしで社内のPC・サーバーをまとめて管理する方法、さらに社内のPC・サーバーのログインを2要素認証にする方法はOSログイン・PCログインの二要素認証、Active Directoryがない会社が1台から始める手順はADなしでPCログインに2要素認証を入れる方法にまとめています。
よくある質問
ロックアウトを解除するコマンドは何ですか
Active Directoryのアカウントなら Unlock-ADAccount -Identity ユーザー名 です。ローカルアカウントにこのコマンドは使えず、lusrmgr.msc からの解除、管理者によるパスワードリセット、またはロックアウト期間の経過を待つ形になります。
解除するとパスワードは変わりますか
変わりません。ロックアウトの解除とパスワードのリセットは別の操作です。利用者が正しいパスワードを覚えている場合は、解除だけで再びログインできます。
解除してもすぐまたロックされます
どこかの端末やサービスが古いパスワードを送り続けている可能性が高い状態です。ドメインコントローラーのセキュリティログでイベントID 4740 を確認し、「呼び出し元コンピューター名」から発生源を特定してください。
パソコンのアカウントロックは、本人が自分で解除できますか
原則としてできません。ローカルアカウントなら、設定されたロックアウト期間が過ぎるのを待つか、そのPCの管理者に解除してもらいます。ドメインアカウントなら、管理者がActive Directory側で解除します。何度も起きる場合は、パスワードを覚えて打つ運用そのものが原因になっていることが多く、 パスワードを忘れた社員への対応で問い合わせの減らし方を整理しています。
ロックアウトが多発する場合、しきい値を緩めるべきですか
原因を特定せずに緩めると、総当たり攻撃を通しやすくなります。まず発生源を特定し、それが業務上の設定ミスであればその設定を直すのが先です。
いまの運用を棚卸ししてみる
解除は対症療法です。applippliの無料棚卸しでは、10問・約3分で、ID・パスワードまわりの対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けます。PDFレポート付き、個人情報の入力・会員登録は不要です。
参考・出典
※ 本記事は2026年9月時点の一般的な解説です。コマンドの利用可否や画面の名称は、Windowsのエディション・バージョンおよび環境によって異なる場合があります。設定の変更は、影響範囲を確認のうえ実施してください。
会社全体の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。