派遣・アルバイトの入れ替わりが多い職場のPCアカウント管理退職者のアカウントを残さない棚卸しと無効化の手順

小売・飲食・介護・コールセンターなど、派遣やアルバイトの入れ替わりが多い職場では、入社や退職のたびにPCのアカウントを作ったり止めたりする作業が発生します。店舗や事業所ごとにPCがあり、ADもない会社では、この作業がPCの数だけ必要です。

忙しい時期には「とりあえず共有のIDで」「辞めた人のアカウントはあとで消す」となりがちで、気づくとどのPCに誰のアカウントが残っているか分からなくなります。この記事では、よく起きる漏れ、ローカルアカウントの棚卸しと無効化の手順、入れ替わりのたびの手間を減らす方法を順に説明します。

入れ替わりの多い職場で起きやすい漏れ

• 辞めた人のアカウントが残る：退職の連絡が人事から管理担当に届かず、PCのアカウントがそのままになります。
• 共有IDが増える：入社のたびに作るのが手間で、「shop01」「staff」のような共有IDを全員で使うようになります。
• 共有IDのパスワードが変わらない：辞めた人も知っているパスワードのまま使い続けることになります。
• 管理者の権限が残る：一時的に渡した管理者の権限が、そのまま残ります。
• 誰が使ったか分からない：共有IDだと、記録に残る名前から本人をたどれません。

共有IDのやめ方は共有アカウントをやめる方法、入社から退職までの流れは入社・退職時のID管理にまとめています。

全PCのログイン記録を利用者で絞り込み、どのPCに誰が入っているかを1画面で見られます。辞めた人のスマホの登録を外し、PCのローカルアカウントを席まで行かずに無効にできるので、退職のたびに店舗や事業所まで出向かずに済みます。さらに、PC及びサーバーのログインを本人のスマホを鍵にしたワンタッチログインにすると、IDの貸し借りでは入れなくなります（PC版・サーバー版、2分の動画）。

価格と初月無料を見る資料を見る（PDF）

PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）

ローカルアカウントの棚卸し

手順1：PCにあるアカウントを出す

コマンドプロンプトで次を実行すると、そのPCにあるローカルアカウントの名前が並びます。

net user

PowerShellの Get-LocalUser を使うと、有効かどうか、最後にログオンした日時、パスワードを最後に変えた日時まで一度に出せます。

Get-LocalUser | Select-Object Name, Enabled, LastLogon, PasswordLastSet, Description

手順2：管理者の権限を持つアカウントを確かめる

Get-LocalGroupMember -Group 'Administrators'

店舗や事業所のスタッフが管理者の権限を持っている場合は、本当に必要かを確かめます。詳しくはWindowsの管理者ユーザーを一覧で確かめる方法にまとめています。

手順3：しばらく使われていないアカウントを出す

次のPowerShellで、有効なのに90日以上ログオンがないアカウントが出ます。一度もログオンしていないアカウントも一緒に出ます。

$limit = (Get-Date).AddDays(-90)
Get-LocalUser | Where-Object { $_.Enabled -and ($_.LastLogon -lt $limit) } | Select-Object Name, LastLogon, Description

90日は例です。自社で決めた日数に変えてください。

手順4：在籍者の名簿と突き合わせる

手順1〜3の結果を、人事やシフト管理の名簿と並べます。辞めた人のアカウント、誰のものか分からないアカウント、共有IDに印を付けます。

無効化の手順

辞めた人のアカウントは、まず無効にします。管理者として開いたPowerShellで次を実行します（名前は実際のアカウント名に置き換えます）。

Disable-LocalUser -Name 'haken-tanaka'

コマンドプロンプトなら、次でも同じです。

net user haken-tanaka /active:no

1台ずつ回るときの限界

手順1〜4と無効化は、どれもPC1台ごとの作業です。入れ替わりが多い職場では、次の点が負担になります。

• 店舗や事業所ごとにPCがあり、回るのに時間がかかる。
• 退職は毎月のように起きる。棚卸しをしても、次の月にはまた古くなります。
• 辞めた日にすぐ止められない。その間、辞めた人のアカウントが使える状態が続きます。
• 共有IDだと、誰が使ったか記録から分からない。

全PCのアカウントを1か所で見て席まで行かずに止める

アプリップリキーを使うと、アプリップリキーを入れた全PC・サーバーについて、次のことができます。

• 誰がどのPCに入っているか分かる：ログイン記録を日時・利用者・接続元のPC名とIPアドレス・使ったスマホで絞り込み、CSVで出せます。ログは10年間残ります。
• 全PCが1画面に並ぶ：台数・オンラインかどうか・OS・利用者が並び、7日以上連絡のないPCも一覧で分かります。
• 辞めた人を締め出せる：辞めた人や、なくしたスマホの登録を外せます。PCのローカルアカウントは、席まで行かずに無効にできます。無効にできるのはローカルアカウントだけで、ドメインアカウントはADの側で止めます。
• 2要素認証の設定漏れが分かる：ユーザーごとに、回復キー・ワンタイムパスワード・ワンタッチログイン・LINEの設定状況が分かるので、新しく入った人の設定漏れに気づけます。

さらに、アプリップリキーはPC及びサーバーのログインを本人のスマホを鍵にしたワンタッチログインにします（PC版・サーバー版。リモートデスクトップでのログインも対象）。鍵になるのは本人のスマホなので、IDやパスワードを貸し借りしても入れず、辞めた人はスマホの登録を外すだけで入れなくなります。ADは要りません。

対象は、アプリップリキーを入れたPC・サーバーで、インターネットにつながっていないPCは対象外です。

入れたあと日々の仕事で変わること

入れ替わりの多い職場では、退職や入社の連絡が来るたびに、担当者が店舗や事業所のPCを回っていました。全PCのアカウントとログイン記録を1か所で見られるようにしておくと、退職の連絡を受けたその日に、事務所の席からスマホの登録を外し、ローカルアカウントを止められます。新しく入った人の2要素認証の設定漏れも一覧で分かるので、「設定したはず」を確かめに行く手間も減ります。毎月の棚卸しは、画面を開いて在籍者の名簿と見比べる作業になります。

よくある質問

参考

• Microsoft Learn「Get-LocalUser」
• Microsoft Learn「Disable-LocalUser」
• Microsoft Learn「Get-LocalGroupMember」
• IPA「中小企業の情報セキュリティ対策ガイドライン」