パスワードの有効期限そのものより、期限が切れたことに気づけない状態の方が実務上の問題になります。出張先でログインできない、休暇明けに全員が同時に変更を求められる、といった形で業務が止まります。期限の確認方法と、事前に通知する設定をまとめます。
Windowsのパスワード有効期限を確認する
特定のユーザーの期限は、次のコマンドで分かります。
net user ユーザー名 /domain「パスワードの有効期限」の行に日時が出ます（「無期限」なら期限なし）。全ユーザーは、ドメインコントローラーのPowerShellでまとめて確認します。
Get-ADUser -Filter * -Properties msDS-UserPasswordExpiryTimeComputed | Select-Object Name,@{n='期限';e={[datetime]::FromFileTime($_.'msDS-UserPasswordExpiryTimeComputed')}} | Sort-Object 期限期限の近い順に並びます。同じ日付に集中していれば、その日に問い合わせも集中します（一括作成のアカウントで起こりがち）。ドメイン全体の期限設定は Active Directoryのパスワードポリシーを確認するコマンドで確認できます。
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
有効期限が切れる前に通知（警告）を表示する
グループポリシーで、期限の何日前から警告を出すかを指定できます。
期限前の警告を出す設定
- 1
セキュリティ オプションを開く
コンピューターの構成 → ポリシー → Windowsの設定 → セキュリティの設定 → ローカル ポリシー → セキュリティ オプション
- 2
日数を指定する
「対話型ログオン: パスワードの有効期限が切れる前にユーザーに変更を促す日数」
- 3
連休をまたげる長さに
短いと、金曜に警告・月曜に期限切れになる
警告が届かない典型的な場面
警告はログオン時にしか出ないため、次の場合は機能しません。
| 状況 | なぜ届かないか |
|---|---|
| PCを毎日スリープ運用している | ログオンが発生しないため表示されない |
| テレワークでドメインに接続していない | キャッシュされた資格情報でログインしており、期限の情報が更新されない |
| 長期休暇・休職中 | 警告の期間中に一度もログインしない |
| クラウドのみを利用している社員 | そもそもドメインへのログオンがない |
2つ目が最も厄介です。社内ネットワークに接続した瞬間に変更を求められ、出張先や客先で作業が止まります。持ち出し端末は 持ち出しPCのID管理、テレワークは テレワークのセキュリティで扱っています。
画面の警告だけに頼らず、管理側から先回りして知らせてください。前述のPowerShellで期限の近いユーザーを定期的に抽出し、メールで案内する形が現実的です。
ポイント
期限切れでログインできなくなった場合
通常のログイン画面ならその場で変更できます。問題は、それができない経路です。
| 経路 | 起きること |
|---|---|
| リモートデスクトップ | 期限切れと表示され、変更画面に進めない構成がある |
| VPN接続 | 認証が通らず、社内に到達できない |
| スマートフォンのメール設定 | 古いパスワードで認証を繰り返し、ロックアウトにつながる |
3つ目はロックアウトの原因として非常によく見られます。本人はPCで正常に使えているため気づきません。切り分け方は アカウントロックアウトの原因を特定して解除する手順にまとめています。
管理者による対処は、パスワードのリセットと、次回ログイン時の変更要求です。
Set-ADAccountPassword -Identity ユーザー名 -ResetSet-ADUser -Identity ユーザー名 -ChangePasswordAtLogon $true本人確認を必ず行ってください。「パスワードが切れて入れない」電話は、なりすましの典型的な口実です。窓口の運用は パスワードリセットの問い合わせ対応で扱っています。
Windowsのログインは、パスワードを知っていれば誰でも本人として入れます
定期的に変えても、変えた直後に漏れれば次の期限まで使えます。期限切れの手間を減らすことと、漏れても入れない状態にすることは、分けて考える必要があります。
パスワードだけのログイン
漏れた・推測された・メモを見られたパスワードで、そのまま本人として入れます。記録の上でも本人と区別できません。
2要素認証のログイン
パスワードに加えて、本人だけが持つもの（スマホなど）が必要です。パスワードを知っているだけでは入れません。
- VPNや社内Wi-Fiから社内に入られたあと、被害がPC・サーバーへ広がるかどうかは、このログインの部分で決まります。
- 顔・指紋・PIN（Windows Hello）は、ログインを簡単にする仕組みで、2要素認証ではありません。
- 2要素認証というと手間が増えそうですが、本人のスマホを鍵にしたワンタッチログインなら、初回の設定のあとはPINもWindowsのパスワードも打たずに、スマホのワンタッチで入れます。長いパスワードを覚えて打つ手間は、むしろなくなります。
そもそも期限を設けるべきか
定期変更の強制は、現在では推奨されない方向に整理されています。ただし「期限をなくせばよい」という単純な話でもありません。
期限あり・なしで必要になること
定期変更を強制すると
- 末尾の数字を1つ増やすなど、単純な変形に流れる
- 推測されやすいパスワードが定期的に量産される
期限をなくすなら、セットで用意する
- 漏えいが疑われたときに確実に変更する手順
- 使い回されていないことの確認
- パスワード以外の認証要素
期限の撤廃は、これらとセットで初めて成立します。使い回しは使い回しを確認する方法、認証要素はWindowsログインの二要素認証、設計の考え方は パスワードポリシーの設計で整理しています。
Pマーク等の認証を受けている場合は、撤廃の判断と理由を記録に残してください。審査で問われやすい箇所です。関連は JIS Q 15001とパスワード管理を参照してください。
期限の有無にかかわらず、パスワードは盗まれれば使われます。VPNや社内Wi-Fiから入られ社内のPCやサーバーへ広がった事例は不正アクセス・ランサムウェア被害の統計と実例にまとめています。社内のWi-Fiも、VPNと同じく社内への入口です。期限切れに限らず、「パスワードを忘れました」の問い合わせ全体を減らす方法はPCのログインパスワードを忘れた社員への対応にまとめています。
入れたあと日々の仕事で変わること
期限切れの対応で手間がかかるのは、「どのPCで、いつから入れないのか」を本人に聞きながら調べる部分です。全PC・サーバーのログイン記録が1か所にまとまっていれば、連絡を受けたその場で画面を絞り込むだけで分かり、出張先の社員のために現地のPCを見に行く必要もありません。
さらにログインをスマホでのワンタッチにすると、社員は毎回のログインでパスワードを打たずに済みます。打ち間違いや「忘れました」の連絡が減れば、兼任の担当者が呼ばれる回数も減ります。
よくある質問
パスワードの有効期限を確認するコマンドは
個別のユーザーは net user ユーザー名 /domain で「パスワードの有効期限」の行を確認します。全ユーザーをまとめて見る場合は、PowerShellで msDS-UserPasswordExpiryTimeComputed 属性を取得します。
有効期限の警告が表示されないのはなぜですか
警告はログオン時に表示されるため、スリープ運用で日々ログオンが発生しない場合や、テレワークでドメインに接続していない場合には届きません。管理側から期限の近いユーザーを抽出し、メールで案内する運用を併用してください。
パスワードの有効期限は設定すべきですか
定期変更の強制は単純な変形を招くため、現在は推奨されない方向に整理されています。ただし撤廃するなら、漏えい時の変更手順、使い回しの確認、パスワード以外の認証要素をあわせて用意する必要があります。
いまの運用を棚卸ししてみる
パスワードの期限管理は運用の一部にすぎません。期限を設けるかどうかより、パスワードだけに依存していないかの方が重要です。applippliの無料棚卸しでは、10問・約3分で、ID・パスワードまわりの対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けます。PDFレポート付き、個人情報の入力・会員登録は不要です。
参考・出典
※ 本記事は2026年9月時点の一般的な解説です。設定項目の名称や動作は、Windowsのバージョン・エディションおよび環境によって異なる場合があります。パスワードポリシーの変更は影響範囲が広いため、検証環境での確認のうえ実施してください。
会社全体の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。