「うちのパスワードは何文字以上？」と聞かれて、実際に適用されている設定を即答できる会社は多くありません。規程に「8文字以上」とあっても、実機で強制されていなければ意味がありません。
この記事では、いま何が効いているかをコマンドで確かめる手順をまとめます。
いちばん速い確認方法
まずは1行のコマンドで、ドメイン全体の値を見ます。ドメインに参加しているPCなら、どの端末からでも実行できます。
net accounts /domainローカルの設定を見たいときは /domain を外します。
| 表示される項目 | 意味 |
|---|---|
| パスワードの最小の長さ | 何文字以上を要求するか |
| パスワードの最長使用期間 | 何日で変更を求めるか |
| パスワードの最短使用期間 | 変更後、次に変えられるまでの日数 |
| パスワード履歴を記憶する | 過去いくつまで再利用を禁じるか |
| ロックアウトのしきい値 | 何回失敗でロックするか |
「パスワードの最小の長さ」が0なら、パスワードなしのアカウントを作れる状態です。真っ先に確認してください。
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
Windowsのログインは、パスワードを知っていれば誰でも本人として入れます
パスワードを長く・複雑にしても、漏れたり共有されたりしたパスワードなら、そのまま本人として入れます。ポリシーで強くできるのは、推測や総当たりへの備えまでです。
パスワードだけのログイン
漏れた・推測された・メモを見られたパスワードで、そのまま本人として入れます。記録の上でも本人と区別できません。
2要素認証のログイン
パスワードに加えて、本人だけが持つもの（スマホなど）が必要です。パスワードを知っているだけでは入れません。
- VPNや社内Wi-Fiから社内に入られたあと、被害がPC・サーバーへ広がるかどうかは、このログインの部分で決まります。
- 顔・指紋・PIN（Windows Hello）は、ログインを簡単にする仕組みで、2要素認証ではありません。
- 2要素認証というと手間が増えそうですが、本人のスマホを鍵にしたワンタッチログインなら、初回の設定のあとはPINもWindowsのパスワードも打たずに、スマホのワンタッチで入れます。長いパスワードを覚えて打つ手間は、むしろなくなります。
PowerShellで詳しく見る
net accounts では出ない項目があります。特に「複雑さの要件」が有効かは、こちらでないと分かりません。
Get-ADDefaultDomainPasswordPolicy| 項目 | 意味 |
|---|---|
| ComplexityEnabled | 英大文字・小文字・数字・記号のうち3種類以上を要求するか |
| MinPasswordLength | 最小文字数 |
| MaxPasswordAge | 有効期限 |
| LockoutThreshold | ロックアウトのしきい値 |
| ReversibleEncryptionEnabled | 元に戻せる暗号化の有無（Trueなら最優先で直す） |
ロックが頻発するときは原因の特定手順を参照してください。
すぐに直すべき設定
「きめ細かいパスワードポリシー」を見落とさない
ここが最も間違えやすい点です。ADには、特定のユーザーやグループだけに別の設定を当てる仕組みがあります。これがあると、net accounts の結果はその人には当てはまりません。
その人に効いている値を確かめる
- 1
例外があるか
Get-ADFineGrainedPasswordPolicy -Filter *
- 2
何も返らない
既定のポリシーだけが有効
- 3
ある場合
Get-ADUserResultantPasswordPolicy -Identity ユーザー名
Get-ADFineGrainedPasswordPolicy -Filter *Get-ADUserResultantPasswordPolicy -Identity ユーザー名きめ細かいポリシーは、管理者だけを厳しくする目的で使われる一方、特定の部署だけ緩められていることもあります。後者は、規程と実態がずれている状態そのものです。
どのグループポリシーが効いているかを調べる
覚えのない値が効いているときは、設定の出所をたどります。対象のPCで次を実行します。
gpresult /h C:¥temp¥gpo.htmlHTMLのレポートで、どのグループポリシーが適用され、競合したときにどれが勝ったかまで分かります。設定方法そのものはグループポリシーでのアカウント保護設定で扱っています。
確認したあとに何を判断するか
確認した値を突き合わせる3点
- 1
規程の値と実機の値は一致しているか
違えば、どちらかが実態を反映していない
- 2
規程より緩い例外はないか
きめ細かいポリシーで特定の部署だけ緩めていないか
- 3
有効期限の考え方は今に合っているか
定期変更の強制は推奨されない方向に整理されている
定期的な変更の強制は、現在は推奨されない方向に整理されています。頻繁に変えさせると、末尾の数字を増やすような単純な変形に流れ、かえって推測されやすくなるためです。
ただし「期限をなくせばよい」わけでもありません。漏えいが疑われるときの変更や、パスワードだけに頼らない構成が前提です（パスワードポリシーの設計）。
値を厳しくしても、使い回しには効かない
Pマーク・ISMSの審査で問われる箇所
認証を取得・更新しているなら、この確認結果はそのまま記録に使えます。
いちばん多い不足は「規程はあるが、実機で確認した記録がない」状態です。コマンドの出力を日付入りで保管すれば、確認した事実を示せます。関連はJIS Q 15001とパスワード管理とPマーク更新審査の準備で扱っています。
全PC・サーバーをADなしで1か所にまとめて管理する方法はADなしで社内のPC・サーバーをまとめて管理する方法、さらに社内のPC・サーバーのログインを2要素認証にする方法はOSログイン・PCログインの二要素認証、Active Directoryがない会社が1台から始める手順はADなしでPCログインに2要素認証を入れる方法にまとめています。
普段の管理が楽になると何が変わるか
パスワードポリシーを見直すと、次に増えやすいのが「ロックされました」「新しいパスワードを忘れました」という声です。全PC・サーバーのログイン記録を1か所で見られるようにしておくと、言われたその場で、どのPCで誰がいつ失敗したかを確かめられ、席まで行く回数が減ります。審査や取引先のチェックシートで「ログインの失敗を記録しているか」と聞かれても、記録をCSVで出して答えられます。なお、グループポリシーの設定が各PCに効いているかは、この記事のコマンド（gpresult など）で確かめます。
よくある質問
現在のパスワードポリシーを確認するコマンドは何ですか
コマンドプロンプトなら net accounts /domain、PowerShellなら Get-ADDefaultDomainPasswordPolicy です。後者は複雑さの要件など、前者に出ない項目まで確認できます。
コマンドの結果と実際の動きが違うのはなぜですか
きめ細かいパスワードポリシーが、特定のユーザーやグループに別の設定を適用している可能性があります。Get-ADUserResultantPasswordPolicy でそのユーザーに実際に効いている値を確認してください。
パスワードの有効期限は設定すべきですか
定期変更の強制は、単純な変形を招くため現在は推奨されない方向に整理されています。ただし期限をなくすだけでは不十分で、漏えい時の変更手順や、パスワード以外の認証要素を併用する構成が前提になります。
いまの運用を棚卸ししてみる
パスワードポリシーの確認は出発点で、値が適切かどうかの判断はその先にあります。文字数や有効期限で強くできるのは、推測や総当たりへの備えまでです。applippliの無料棚卸しでは、10問・約3分で、ID・パスワードに関連する対応状況を、「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。結果はPDFレポートでもお届けします。個人情報の入力は不要で、会員登録もありません。
参考・出典
※ 本記事は2026年9月時点の一般的な解説です。コマンドの出力項目や画面の名称は、Windows Serverのバージョンおよび環境によって異なる場合があります。設定の変更は、影響範囲を確認のうえ実施してください。