質問

2011年06月10日 13時37分
  • windows2008serverのユーザーパスワード設定について

情シスのオープンナレッジ『Syszo』サービス終了のお知らせ

質問

windows2008serverにてユーザー登録をしています。
その際のユーザーパスワードを長く困難なものにしなくてはいけないので
設定するのに手間がかかります。

そのため簡単なパスワードで設定できるようにしたいと思い、
下記の設定をいたしましたが上手くいきません。

①ローカルセキュリティポリシー⇒複雑さの用件を満たす必要があるパスワード⇒無効

②グループセキュリティポリシー⇒複雑さの用件を満たす必要があるパスワード⇒無効

このほかに必要な作業があるのでしょうか?
また他に何かいい解決方法をお持ちの方はいらっしゃいますでしょうか。

よろしくお願いいたします。

5件の回答があります

回答

こんにちは

環境があいまいですので、答えを出しにくいのですが、
仮にAD環境とすると、Default Domain Policy以外のGPOへ
設定しようとしていないでしょうか。

パスワードポリシーはDefault Domain Policyでの設定以外は無視されます。
1つのドメインには1つのパスワードポリシーしか設定出来ません。

※ドメインの機能レベルが「Windows Server 2008」以上であれば
 複数のパスワードポリシーが設定可能です。

「設定に手間がかかるから」という理由でポリシーを変えるのは
どうなんだろう?と思います。正直な話。
登録時には複雑さ要件を満たしつつも設定しやすいパスワードを入力し、
ユーザにIDを渡す前に「次回ログオン時にパスワード変更が必要」と
するのが良いかと思います。

回答

お疲れ様です。

弊社では、パスワードの複雑さを満たすとい部分のみポリシーとして無効にしております。

やったことは、ローカルセキュリティーポリシーの変更と、ADですので、GPOに対する設定です。
(お考えになっている設定で問題ないのではないかと思われます)

弊社ではISMSの規定で8文字以上のパスワードを設定するというのは決まっているのですが、MSのポリシーである複雑性のあるパスワードは少々厳しいのではという話しが多く、文字数制限のみのパスワードで運用しています。

やはり、パスワードはセキュリティ保護をする物という基本は忘れずに、後は運用に合わせた形である程度は利用する人にも理解していただく姿勢は大事だと思います。

2011年06月10日 15時53分

回答

お疲れ様です。

net user でユーザを追加するのはどうでしょうか?

下記URLyahoo知恵袋ですが、参考までに。
http://detail.chiebukuro.yahoo.co.jp/qa/question_detail/q1033942230

2011年06月10日 16時40分

回答

パスワードの長さは0文字以上にしましたか?

2011年06月10日 17時17分

回答

技術的な視点ではなく運用上の視点から。

「その際のユーザーパスワードを長く困難なものにしなくてはいけない」というのは御社のセキュリティポリシーから決められているものだと思いますので、それを運用担当者の一存で緩めてしまってはまずいんじゃないですか?

管理者が初期パスワードを発行し、後は個々のユーザに管理してもらうという形が普通なのではないかと思いますが、その初期パスワードについても複雑さの要件を満たし、かつ使いまわしは不可という運用ポリシーになっていて、毎回考えるのが面倒くさいということでしたら、パスワード作成ソフトを利用するということでいいのではないでしょうか。
http://freesoft-100.com/security/password_make.html

で、ユーザに管理を委ねた後の話で、ユーザから「毎回複雑なパスワードを考えるのは大変だし、忘れてしまう」という苦情が来ているということであれば、複雑さの要件を満たしつつ忘れにくいパスワードを作るなんて実はさほど難しくない、ということを教えてあげたらいいのではないでしょうか。

たとえばなんですが、名前を元に複雑さの要件を満たすパスワードを考える場合。姓と名前の間に - (ハイフン) や _ (アンダーバー) をはさみ、a を @ に、i を 1 (数字の"いち") もしくは ! に、o (オー) を 0 (数字の"ぜろ") に…と置き換えると、たとえば山田太郎 (Taro Yamada) さんだと T@r0-Y@m@d@ みたいなパスワードが作れてしまいます。

もし自分の名前には e と u しか母音が使われてないという場合はご家族などの名前をひねってみるとか。

これなら、複雑さの要件はしっかり満たしつつ、意味のない文字の羅列ではありませんから、忘れにくいでしょう。もし運用ポリシーで○ヶ月に一度パスワードを変更すること、という決まりがあるなら、こうして作ったパスワードの前後や間に変更した時点の年月をはさむとか。元にする名前は自分のものにする必要はなく、自分が「この人にした」と憶えておければ誰でもいいわけですから、考えるのも憶えておくのもさほど大変じゃないでしょう。

あくまでこれは一例で、他にも考えれば「自分は絶対に忘れない」「類推されにくい」「複雑な」パスワードを作る方法はいくつか思いつくと思います。

まぁ、そんな面倒くさいことしたくないなら、思い切って生体認証を導入したいと上に掛け合ってみるのも悪くないかもしれません(笑)。

2011年06月10日 17時48分

あなたもコメントしましょう!