Tweet

［System Environment］

→ Windows TIPS TOPへ → Windows TIPS全リストへ → 内容別分類一覧へ ユーザー・アカウントのロックアウトを解除する → 解説をスキップして操作方法を読む デジタルアドバンテージ 2003/11/29 　 対象OS Windows 2000 Server Windows 2000 Advanced Server Windows 2003 Server

■ 辞書攻撃などを悪用した不正侵入からシステムを守るには、一定回数以上ログオンに失敗したユーザーのアカウントをロックアウトする設定にしておく。 ■ しかし不正アクセスではない正規のユーザーでも、繰り返しログオンに失敗する場合がある。一度アカウントがロックアウトされてしまうと、その後正しいパスワードを入力してもログオンできず、ユーザーにはその原因が分からない。 ■ この場合には、管理者がユーザーのロックアウトを解除する必要がある。

　システムへの侵入を図る伝統的な手段の1つとして「辞書攻撃」や「ブルート・フォース攻撃」などがある。これらは、ソフトウェアを利用して、適当なパスワードを機械的に次々と試して、正しいパスワードを見つけ出すというものだ。

　こうした攻撃を効果的に防止するには、ログオンに失敗できる回数を制限しておき、立て続けに失敗した場合には、そのアカウントを一時的にロックアウトして無効にしてしまうのがよい。例えば、ログオンに10回失敗したら、そのアカウントを30分間ロックアウトして使用不能にする。こうすれば、ソフトウェアで次々とパスワードを試すのは不可能になる。

　アカウントのロックアウトはセキュリティ・ポリシーで設定が可能である。ドメインを管理しているなら、ドメイン・コントローラのコントロール・パネルにある［ドメイン セキュリティ ポリシー］アイテムで設定する。

　システムの安全性を高めるためには、アカウントのロックアウトは有効にすべきだが、場合によっては正規のユーザーが立て続けにパスワードを間違えてしまう場合がある。例えば、CapsLockをオンにしたままパスワードを入力して（入力した文字が大文字になる）、CapsLockがオンになっていることに気づかず何度もログオンを繰り返し失敗してしまうなどだ。あるいはメール・ソフトウェアのアカウント設定で間違ったパスワードを設定してしまった場合は、メールの取得失敗を繰り返す度にユーザー認証にも失敗するので、同様にアカウントがロックアウトされる場合がある。

　前述したとおり、一度アカウントがロックアウトされてしまうと、一定時間そのアカウントは無効にされるので、たとえその後正しいパスワードを入力したとしても、ログオンには成功しない。問題は、ユーザーからはログオン失敗の原因が簡単には見分けられないことだ（エラー・メッセージには、「ログオンに失敗しました」程度しか表示されない）。

　たとえ原因が分かったとしても、アカウントのロックアウトを解除するには管理者権限が必要である。作業は管理者が行わなければならない。

　ログオンに失敗する原因がアカウントのロックアウトによるものだと予測される場合には、ドメイン・コントローラのコントロール・パネル−［管理ツール］フォルダにある［Active Directoryユーザーとコンピュータ］アイテムを実行する。次に［Users］フォルダをクリックしてユーザー一覧を表示し、ロックを解除したいユーザーのプロパティ・ダイアログを表示して、［アカウント］タブをクリックする。

ユーザーのプロパティ・ダイアログ

ドメイン・コントローラのコントロール・パネル−［管理ツール］−［Active Directoryユーザーとコンピュータ］アイテムを実行し、［Users］フォルダをクリックして操作したいユーザーのプロパティ・ダイアログを表示する。

アカウントがロックアウトされている場合には、このチェック・ボックスがオンになっている。ロックアウトを解除するには、これをオフにすればよい。

　アカウントがロックアウトされている場合は［アカウントのロックアウト］チェック・ボックスがオンになっているはずだ（通常はグレーアウト表示）。

■プロパティ・ダイアログから解除する
　ロックアウトを解除するには、上記ダイアログのチェック・ボックスをオフにすればよい。

■コマンドラインから解除する
　あるいは、コマンドラインからロックアウト状態の確認や解除を行うこともできる。これにはnet userコマンドを利用する。構文は次のとおりだ。

　例えば解除するユーザー名が“testuser”なら、コマンドプロンプト（［アクセサリ］−［コマンド プロンプト］を実行）で次のようにする。

C:\>net user testuser この要求はドメイン XXXXXXXXX.co.jp のドメイン コントローラで処理されます。 ユーザー名                           testuser フル ネーム コメント ユーザーのコメント 国コード                             000 (システム既定) アカウント有効                       ロック …… アカウントの期限                     無期限 （以下省略）

　アカウントがロックアウトされていると、上ののように、「アカウント有効」の状態が「ロック」となっている。ロックアウトされていない場合は「有効」となっているはずである。ロックアウトを解除するには、次のように、最後に「/active」もしくは「/active:yes」を付ける（いずれもで意味は同じ）。

　コマンドラインの利点は、ドメイン・コントローラのコンソール以外のコンピュータからでも簡単にロックアウトを解除できることだ（Active Directory管理ツールの「Active Directoryユーザーとコンピュータ」がインストールされていなくてもよい）。net useコマンドでは、「/domain」オプションを追加すると、ローカル・マシン上のアカウントではなく、ドメインに登録されているアカウントに対してコマンドが実行される。ただしこの場合、ドメインに参加しているコンピュータに対して、ドメインの管理者権限のあるユーザーでログオンしていることが条件である（ワークグループ構成の場合はこのオプションは利用できない）。

　解除するユーザー名が“testuser”なら次のようにする。

　解除されたかどうか確認するには、次のコマンドを実行すればよい。

この記事と関連性の高い別のWindows TIPS VPNのアカウント・ロックアウトを有効にする net userコマンドの使い方 システムに自動ログオンする方法（ユーザー管理ツール編） ようこそ画面でローカル・アカウントでログオンする 大量のユーザー・アカウントを一括登録する - ＠IT このリストは、（株）デジタルアドバンテージが開発した 自動関連記事探索システム Jigsaw（ジグソー） により自動抽出したものです。 generated by

「Windows TIPS」

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）

RSSフィード