Microsoft Entra Domain Services マネージドドメインのパスワードとアカウントのロックアウトポリシー

[アーティクル]
12/03/2024

Microsoft Entra Domain Services でユーザーのセキュリティを管理するには、アカウントロックアウトの設定や、パスワードの最小文字数、パスワードの複雑さなどを制御する細かい設定が可能なパスワードポリシーを定義します。既定の細かいパスワードポリシーは、Domain Services マネージドドメイン内のすべてのユーザーに対して作成され、適用されます。きめ細かく制御し、特定のビジネスまたはコンプライアンスのニーズに対応するために、追加のポリシーを作成し、特定のユーザーまたはグループに適用できます。

この記事では、Active Directory 管理センターを使用して Domain Services に細かい設定が可能なパスワードポリシーを作成し、構成する方法について説明します。

Note

パスワードポリシーは、Resource Manager デプロイモデルを使用して作成されたマネージドドメインに対してのみ使用できます。

開始する前に

この記事を完了するには、以下のリソースと特権が必要です。

有効な Azure サブスクリプション
- Azure サブスクリプションをお持ちでない場合は、アカウントを作成してください。
ご利用のサブスクリプションに関連付けられた Microsoft Entra テナント (オンプレミスディレクトリまたはクラウド専用ディレクトリと同期されていること)。
- 必要に応じて、Microsoft Entra テナントを作成するか、ご利用のアカウントに Azure サブスクリプションを関連付けます。
Microsoft Entra テナントで有効にされていて、構成されている Microsoft Entra Domain Services マネージドドメイン。
- 必要に応じて、Microsoft Entra Domain Services マネージドドメインを作成して構成するチュートリアルを完了します。
- マネージドドメインは、Resource Manager デプロイモデルを使用して作成されている必要があります。
マネージドドメインに参加している Windows Server 管理 VM。
- 必要に応じて、管理 VM を作成するチュートリアルを完了します。
Microsoft Entra テナントの Microsoft Entra DC 管理者グループのメンバーであるユーザーアカウント。

規定のパスワードポリシー設定

細かい設定が可能なパスワードポリシー (FGPP) を使用すると、パスワードおよびアカウントロックアウトのポリシーに対して、ドメイン内の異なるユーザーに特定の制限を適用できます。たとえば、特権アカウントをセキュリティで保護するには、通常の権限のないアカウントよりも厳しいアカウントロックアウト設定を適用します。マネージドドメイン内に複数の FGPP を作成し、適用するユーザーの優先順位を指定できます。

パスワードポリシーと Active Directory 管理センターの使用方法の詳細については、次の記事を参照してください。

ポリシーは、マネージドドメイン内のグループの関連付けを通じて配布されます。すべての変更が、次回のユーザーのサインイン時に適用されます。ポリシーを変更しても、既にロックアウトされているユーザーアカウントのロックが解除されることはありません。

パスワードポリシーの動作は、適用されるユーザーアカウントの作成方法によって若干異なります。 Domain Services でユーザーアカウントを作成するには、次の 2 つの方法があります。

ユーザーアカウントは Microsoft Entra ID から同期できます。これには、Azure で直接作成されたクラウド専用のユーザーアカウントと、Microsoft Entra Connect を使用してオンプレミスの AD DS 環境から同期されたハイブリッドユーザーアカウントが含まれます。
- Domain Services のほぼすべてのユーザーアカウントは、Microsoft Entra ID からの同期プロセスを通じて作成されます。
ユーザーアカウントはマネージドドメインに手動で作成することができ、Microsoft Entra ID には存在しません。

すべてのユーザーアカウントは、その作成方法に関わらず、Domain Services の既定のパスワードポリシーによって次のアカウントロックアウトポリシーが適用されています。

アカウントのロックアウト期間: 30
許可される失敗したログオン試行回数: 5
失敗したログオン試行回数のカウントがリセットされるまでの時間: 2 分
パスワードの有効期間: 90 日間

このような既定の設定の場合、2 分以内に、5 回の無効なパスワード使用が行われた場合、ユーザーアカウントは 30 分間ロックアウトされます。アカウントは、自動的に、30 分後にロック解除されます。

アカウントロックアウトは、マネージドドメイン内でのみ行われます。ユーザーアカウントは、マネージドドメインへのサインインが失敗した場合に限って Domain Services のみでロックアウトされます。 Microsoft Entra ID またはオンプレミスから同期されたユーザーアカウントは Domain Services でのみロックアウトされ、ソースディレクトリではロックアウトされません。

90 日以上のパスワードの有効期間が指定されている Microsoft Entra パスワードポリシーがある場合、パスワードの有効期間は Domain Services の既定のポリシーに適用されます。 Domain Services で異なるパスワードの有効期間を定義するには、カスタムパスワードポリシーを構成します。 Domain Services パスワードポリシーで構成されているパスワードの最大有効期間が、Microsoft Entra ID またはオンプレミスの AD DS 環境より短い場合は注意してください。このシナリオでは、Microsoft Entra ID またはオンプレミスの AD DS 環境でユーザーパスワードを変更するように求められる前に、パスワードの有効期限が Domain Services で切れる可能性があります。

マネージドドメインで手動で作成されたユーザーアカウントの場合、次のパスワード設定も既定のポリシーから追加で適用されます。ユーザーは Domain Services で直接パスワードを更新することはできないため、これらの設定は Microsoft Entra ID から同期したユーザーアカウントには適用されません。

パスワードの最小文字数: 7
複雑さの要件を満たす必要があるパスワード

既定のパスワードポリシーでは、アカウントのロックアウトやパスワードの設定を変更することはできません。代わりに、次のセクションで示すように、AAD DC Administrators グループのメンバーはカスタムのパスワードポリシーを作成し、既定の組み込みのポリシーをオーバーライドする (既定の組み込みのポリシーよりも優先される) ように構成することができます。

カスタムのパスワードポリシーを作成する

Azure でアプリケーションを構築して実行するときに、カスタムのパスワードポリシーを構成することができます。たとえば、異なるアカウントロックアウトポリシー設定を設定するポリシーを作成できます。

カスタムのパスワードポリシーは、マネージドドメイン内のグループに適用されます。この構成によって、事実上、既定のポリシーがオーバーライドされます。

カスタムのパスワードポリシーを作成するには、ドメインに参加している VM から Active Directory 管理ツールを使用します。 Active Directory 管理センターを使用すると、マネージドドメイン (OU を含む) 内のリソースを表示、編集、および作成できます。

注意

マネージドドメインでカスタムのパスワードポリシーを作成するには、AAD DC 管理者グループのメンバーであるユーザーアカウントにサインインする必要があります。

スタート画面で [管理ツール] を選択します。管理 VM を作成するためのチュートリアルでインストールされた使用可能な管理ツールの一覧が表示されます。
OU を作成して管理するには、管理ツールの一覧から [Active Directory 管理センター] を選択します。
左側のペインで、マネージドドメイン (例: aaddscontoso.com) を選択します。
[System]/(システム/) コンテナーを開き、 [Password Settings Container]/(パスワード設定コンテナ―/) を開きます。

マネージドドメインの組み込みのパスワードポリシーが表示されます。この組み込みのポリシーは変更できません。代わりに、既定のポリシーを上書きするカスタムのパスワードポリシーを作成します。
右側の [タスク] パネルで、[新規] > [パスワードの設定] を選択します。
[Create Password Settings](パスワード設定の作成) ダイアログで、ポリシーの名前 (MyCustomFGPP など) を入力します。
複数のパスワードポリシーが存在する場合は、優先順位が最も高いポリシーがユーザーに適用されます。数値が小さいほど、優先度は高くなります。既定のパスワードポリシーの優先度は 200 です。

カスタムパスワードポリシーの優先順位を 1 などに設定して、既定値を上書きします。
必要に応じて、他のパスワードポリシー設定を編集します。アカウントロックアウトの設定はすべてのユーザーに適用されますが、マネージドドメイン内でのみ有効になり、Microsoft Entra 自体では有効になりません。
[誤って削除されないように保護する] をオフにします。このオプションをオンにすると、FGPP を保存できません。
[直接の適用先] セクションで、 [追加] ボタンを選択します。 [ユーザーまたはグループの選択] ダイアログで、 [場所] ボタンを選択します。
[場所] ダイアログで、ドメイン名 (aaddscontoso.com など) を展開し、AADDC Users などの OU を選択します。適用するユーザーのグループを含むカスタム OU がある場合は、その OU を選択します。
ポリシーを適用するユーザーまたはグループの名前を入力します。 [名前の確認] を選択して、アカウントを検証します。
[OK] をクリックして、カスタムパスワードポリシーを保存します。