PCのログインパスワードを忘れた社員への対応環境別の解除手順と問い合わせを減らす方法

「PCのパスワードを忘れて、サインインできません」。朝いちばんや連休明けに、情シスや総務に届く問い合わせの定番です。Webサービスのパスワードと違い、PCにサインインできないと、本人は社内の案内を見ることも、チャットで問い合わせることもできません。電話か口頭で呼ばれ、その場で対応することになります。

この記事では、まず目の前の1件を解決する手順を環境別に整理し、そのあとで問い合わせそのものを減らす方法を扱います。

まずそのPCがどの種類のアカウントかを確かめる

再設定の方法は、PCのアカウントの種類で決まります。サインイン画面に表示されている名前で、おおよそ見分けられます。

それぞれの違いはWindowsのID管理　ローカル・Active Directory・Entra IDの違いで詳しく扱っています。

どの場合も、再設定の前に本人からの依頼であることを確かめてください。電話1本でパスワードを再設定する運用は、なりすましの入口になります。本人確認の方法はパスワードリセット運用の落とし穴にまとめています。

ローカルアカウントの場合

そのPCにある別の管理者アカウントでサインインして再設定します。

1. 管理者アカウントでサインインし、スタートボタンを右クリックして「コンピューターの管理」を開きます。
2. 「ローカル ユーザーとグループ」→「ユーザー」で対象のユーザーを右クリックし、「パスワードの設定」を選びます。
3. 新しいパスワードを設定し、本人に伝えます。

コマンドで行う場合は、管理者として開いたコマンドプロンプトで net user ユーザー名 * と入力すると、新しいパスワードの入力を求められます。

Windows 10以降で本人がセキュリティの質問を設定していれば、サインイン画面の「パスワードのリセット」から本人が再設定することもできます。

Active Directory（ドメイン参加PC）の場合

1. 管理用のPCで「Active Directory ユーザーとコンピューター」を開きます。
2. 対象のユーザーを右クリックし、「パスワードのリセット」を選びます。
3. 仮のパスワードを入力し、「ユーザーは次回ログオン時にパスワード変更が必要」にチェックを入れます。
4. 何度も間違えてロックされている場合は、同じ画面の「ユーザーのアカウントのロックを解除する」にもチェックを入れます。

PowerShellで行う場合は次のとおりです。

Set-ADAccountPassword -Identity ユーザー名 -Reset -NewPassword (Read-Host -AsSecureString "仮のパスワード")
Set-ADUser -Identity ユーザー名 -ChangePasswordAtLogon $true
Unlock-ADAccount -Identity ユーザー名

ロックされた原因が「忘れた」ではなく、古いパスワードを覚えたままの端末やアプリにある場合は、解除してもすぐに再びロックされます。その場合の調べ方はアカウントロックアウトの原因を特定する手順を参照してください。

テレワーク中のPCでは新しいパスワードが通らない

ドメイン参加のPCは、社内ネットワークにつながっていないとき、前回サインインしたときのパスワードをPCの中に覚えていて、それで照合します。自宅のPCでADのパスワードを再設定しても、新しいパスワードは通りません。

この場合は、古いパスワードでサインインできるならそのままサインインし、VPNで社内に接続してから、画面をロックして新しいパスワードで解除します。これでPC側の記録が新しいパスワードに置き換わります。古いパスワードも分からない場合は、社内ネットワークにつなげる場所にPCを持ってくる必要があります。

Entra ID（Microsoft 365）の場合

1. Microsoft 365 管理センターで「ユーザー」→「アクティブなユーザー」を開きます。
2. 対象のユーザーを選び、「パスワードのリセット」を選びます。
3. 仮のパスワードを設定し、「初回サインイン時にこのユーザーにパスワードの変更を要求する」を有効にします。

新しいパスワードでPCにサインインするには、そのPCがインターネットにつながっている必要があります。

Microsoft 365では、セルフサービス パスワード リセット（SSPR）を有効にすると、本人がサインイン画面の「パスワードのリセット」から、あらかじめ登録した電話番号や認証アプリで確認して再設定できます。オンプレミスのADと同期している環境で、リセットしたパスワードをADにも書き戻すには、Entra ID P1 以上のライセンスが必要です。

問い合わせを減らす：なぜ忘れるのかから考える

再設定の手順を整えても、1件ごとに本人は仕事が止まり、担当者は呼ばれます。件数を減らすには、忘れる原因のほうを減らす必要があります。多いのは次の3つです。

1. 定期変更で、覚えたそばから変わる

90日ごとなどの定期変更は、忘れる原因の筆頭です。総務省は、利用者にパスワードの定期的な変更を求める必要はなく、漏えいが分かったときに変更すればよいという考え方を示しています。変更期限の直後や連休明けに問い合わせが集中しているなら、まずここを見直します。期限を残す場合は、有効期限が切れる前に通知する設定で、期限切れで締め出される事態は避けられます。

2. 覚えるパスワードが多すぎる

PC、メール、業務システム、共有フォルダでパスワードが別々だと、1つを変えたときにどれがどれだか分からなくなります。Webサービスはシングルサインオンでまとめられますが、PCのサインインはシングルサインオンの外に残ります。ここが最後まで手で覚えるパスワードになります。

3. たまにしか使わない

長期休暇明け、育休からの復帰、週1回しか使わない共用PCなど、間隔が空くと忘れます。こうしたPCほど付箋に書かれがちです。付箋の代わりの方法はパスワードを付箋で管理している状態の危険と代替手段で扱っています。

パスワードを打たないサインインに切り替える

原因を減らしても、PCのサインインにパスワードを打つ限り、忘れる人はゼロになりません。問い合わせを根本からなくすには、サインインのたびにパスワードを思い出して打つ運用そのものをやめる方法があります。

• Windows Hello（PIN・顔・指紋）：PC単位のPINや生体情報でサインインします。PINは忘れても本人がその場で作り直せます。導入の手順はWindows Hello for Businessの導入手順を参照してください。
• 物理キーやスマートフォンでのサインイン：キーやスマートフォンを近づける・タッチする操作でサインインします。PCを複数人で使う現場や、Windows Helloの顔・指紋に対応していないPCでも使えます。仕組みはハードウェアキーとはで整理しています。

どの方式を選ぶにしても、先にいま月に何件「忘れました」が起きているかを数えておくと、切り替えの効果を社内に説明できます。問い合わせを受けたら、日付・部署・原因（定期変更・休み明け・その他）だけでも記録しておきます。

全PC・サーバーを1台ずつ見て回らずにまとめて管理する方法はADなしで社内のPC・サーバーをまとめて管理する方法、さらにログインを2要素認証にする方法はOSログイン・PCログインの二要素認証、Active Directoryがない会社が1台から始める手順はADなしでPCログインに2要素認証を入れる方法にまとめています。

普段の管理が楽になると何が変わるか

「忘れました」「入れません」と呼ばれたとき、担当者が一番時間を取られるのは、席まで行って状況を確かめることです。PC・サーバーのログイン記録を1か所で見られるようにしておくと、次のように変わります。

• 呼ばれたとき：席まで行かずに、どのPCで誰がいつログインに失敗したかを、その場で画面で確かめられます。忘れたのか、古いパスワードを覚えた端末が原因なのかの見当も付けやすくなります。
• 件数を数えるとき：ログイン記録を絞り込んでCSVで出せるので、問い合わせが連休明けや変更期限の後に集中しているかを、手で記録しなくても確かめられます。
• 兼任の担当者：PCのことで呼ばれる回数と、調べる時間が減ります。

よくある質問