概要
2020 年 8 月 18 日にリリースされたWindows 10更新プログラムでは、次のサポートが追加されます。
- イベントを監査して、アプリケーションとサービスが 15 文字以上のパスワードをサポートしているかどうかを識別します。
- Windows Server バージョン 2004 ドメイン コントローラー (DC) に対して 15 文字以上の最小パスワード長を適用します。
サポートされているバージョンの Windows
パスワードの長さの監査は、次のバージョンの Windows でサポートされています。 15 文字以上の最小パスワード長の適用は、Windows Server、バージョン 2004、およびそれ以降のバージョンの Windows でサポートされています。
| Windows バージョン | サポート技術情報 (KB) | サポート |
|---|---|---|
| Windows 10 バージョン 2004 Windows Server バージョン 2004 |
リリースされたバージョンに含まれる | 適用 監査 |
| Windows 10、バージョン 1909 Windows Server バージョン 1909 |
KB4566116 | 監査 |
| Windows 10 Version 1903 Windows Server バージョン 1903 |
KB4566116 | 監査 |
| Windows 10、バージョン 1809 バージョン 1809 Windows Server Windows Server 2019 |
KB4571748 | 監査 |
| Windows 10 バージョン 1607 Windows Server 2016 |
KB4601318 | 監査 |
推奨されるデプロイ
| Domain Controllers | 管理ワークステーション | |
|---|---|---|
| 監査： 最小値を下回るパスワードの使用状況のみを監査する場合は、次のようにデプロイします。 | 監査が必要な場合は、サポートされているすべての DC に更新プログラムをデプロイします。 | 新しいグループ ポリシー設定のために、サポートされている管理ワークステーションに更新プログラムを展開します。 これらのワークステーションを使用して、更新されたグループ ポリシーを展開します。 |
| 施行： 最小長のパスワードの適用が必要な場合は、次のようにデプロイします。 | Windows Serverバージョン 2004 DC。 すべての DC は、このバージョン以降のバージョンである必要があります。 追加の更新は必要ありません。 | バージョン 2004 Windows 10を使用します。 このバージョンには、適用用の新しいグループ ポリシー設定が含まれています。 これらのワークステーションを使用して、更新されたグループ ポリシーを展開します。 |
展開のガイドライン
最小パスワード長の監査と適用のサポートを追加するには、次の手順に従います。
サポートされているすべての Windows バージョンの更新プログラムをすべてのドメイン コントローラーに展開します。
- ドメイン コントローラー: 更新プログラムとその後の更新プログラムにより、14 文字を超えるパスワードを使用するように構成されているユーザーまたはサービス アカウントを認証するために、すべての DC でサポートが有効になります。
- 管理ワークステーション: 新しいグループ ポリシー設定を DC に適用できるように、管理ワークステーションに更新プログラムを展開します。
必要なパスワードが必要なドメインまたはフォレストで MinimumPasswordLengthAudit グループ ポリシー設定を有効にします。 このポリシー設定は、ドメイン コントローラー組織単位 (OU) にリンクされている既定のドメイン コントローラーのポリシーで有効にする必要があります。
14 文字を超えるパスワードをサポートしていないすべてのソフトウェアを検出するには、監査ポリシーを 3 ~ 6 か月間有効のままにしておくことをお勧めします。
3 ~ 6 か月間パスワードを管理するソフトウェアに対してログに記録された Directory-Services-SAM 16978 イベントのドメインを監視します。 ユーザー アカウントに対してログに記録された Directory-Services-SAM 16978 イベントを監視する必要はありません。
- 可能であれば、より長いパスワード長を使用するようにソフトウェアを構成します。
- ソフトウェア ベンダーと協力して、より長いパスワードを使用するようにソフトウェアを更新します。
- ソフトウェアで使用されるパスワードの長さに一致する値を使用して、このアカウントの詳細なパスワード ポリシー を展開します。
- アカウント パスワードを管理するが、長いパスワードを自動的に使用せず、長いパスワードを使用するように構成できないソフトウェアの場合、これらのアカウントにはきめ細かい パスワード ポリシー を使用できます。
すべての Directory-Services-SAM 16978 イベントに対処したら、最小パスワードを有効にします。 手順は次のとおりです。
- すべての DC (Read-Only DC を含む) への適用をサポートするバージョンのWindows Serverをデプロイします。
- すべての DC で RelaxMinimumPasswordLengthLimits グループ ポリシーを有効にします。
- すべての DC で MinimumPasswordLength グループ ポリシーを構成します。
グループ ポリシー
| ポリシー パスと設定名、サポートされているバージョン | 説明 |
|---|---|
|
ポリシー パス: コンピューターの構成 > Windows 設定 > セキュリティ設定 > アカウント ポリシー -> パスワード ポリシー -> 最小パスワード長監査 設定名: MinimumPasswordLengthAudit サポート対象:
|
パスワードの最小長監査 このセキュリティ設定は、パスワード長監査警告イベントが発行される最小パスワード長を決定します。 この設定は、1 から 128 に構成できます。 この設定を有効にして構成するのは、環境内の最小パスワード長の設定を増やすことの潜在的な影響を判断する場合のみです。 この設定が定義されていない場合、監査イベントは発行されません。 この設定が定義されていて、パスワードの最小長設定以下の場合、監査イベントは発行されません。 この設定が定義されていて、パスワードの最小長の設定より大きく、新しいアカウント パスワードの長さがこの設定より小さい場合は、監査イベントが発行されます。 |
| ポリシー パスと設定名、サポートされているバージョン | 説明 |
|---|---|
|
ポリシー パス: コンピューターの構成 > Windows 設定 > セキュリティ設定 > アカウント ポリシー -> パスワード ポリシー -> 最小パスワード長制限を緩和する 設定名: RelaxMinimumPasswordLengthLimits サポート対象:
|
パスワードの最小長のレガシ制限を緩和する この設定は、パスワードの最小長の設定を従来の制限である 14 を超えて増やすことができるかどうかを制御します。 この設定が定義されていない場合は、最小パスワード長を 14 以下に構成できます。 この設定を定義して無効にすると、パスワードの最小長を 14 以下に構成できます。 この設定を定義して有効にすると、パスワードの最小長が 14 を超える場合があります。 詳細については、「 https://go.microsoft.com/fwlink/?LinkId=2097191」を参照してください。 |
| ポリシー パスと設定名、サポートされているバージョン | 説明 |
|---|---|
|
ポリシー パス: コンピューターの構成 > Windows 設定 > セキュリティ設定 > アカウント ポリシー -> パスワード ポリシー -> 最小パスワード長 設定名: MinimumPasswordLength サポート対象:
|
このセキュリティ設定は、ユーザー アカウントのパスワードに含まれる可能性のある最小文字数を決定します。 この設定の最大値は、[パスワードの最小長の制限を緩和する] 設定の値によって異なります。 [パスワードの最小長制限の緩和] 設定が定義されていない場合は、この設定を 0 から 14 に構成できます。 [パスワードの最小長制限の緩和] 設定が定義され、無効になっている場合は、この設定を 0 から 14 に構成できます。 [パスワードの最小長制限の緩和] 設定が定義され、有効になっている場合は、この設定を 0 から 128 に構成できます。 必要な文字数を 0 に設定すると、パスワードは必要ありません。 メモ 既定では、メンバー コンピューターはドメイン コントローラーの構成に従います。 既定値:
|
Windows イベント ログ メッセージ
この追加されたサポートの一部として、3 つの新しいイベント ID ログ メッセージが含まれています。
イベント ID 16977
イベント ID 16977 は、MinimumPasswordLength、RelaxMinimumPasswordLengthLimits、または MinimumPasswordLengthAudit ポリシー設定がグループ ポリシーで最初に構成または変更されたときにログに記録されます。 このイベントは DC でのみログに記録されます。 RelaxMinimumPasswordLengthLimits の値は、Windows Serverバージョン 2004 以降のバージョンの DC にのみ記録されます。
| イベント ログ | System |
|---|---|
| イベント ソース | Directory-Services-SAM |
| イベント ID | 16977 |
| Level (レベル) | 情報 |
| エラー メッセージのテキスト | ドメインは、次の最小パスワード長に関連する設定を使用して構成されます。 MinimumPasswordLength: RelaxMinimumPasswordLengthLimits: MinimumPasswordLengthAudit: 詳細については、「 https://go.microsoft.com/fwlink/?LinkId=2097191」を参照してください。 |
イベント ID 16978
アカウント のパスワードが変更され、パスワードが 現在の MinimumPasswordLengthAudit 設定よりも短い場合、イベント ID 16978 が記録されます。
| イベント ログ | System |
|---|---|
| イベント ソース | Directory-Services-SAM |
| イベント ID | 16978 |
| Level (レベル) | 情報 |
| エラー メッセージのテキスト | 次のアカウントは、 現在の MinimumPasswordLengthAudit 設定よりも長さが短いパスワードを使用するように構成されています。 AccountName: MinimumPasswordLength: MinimumPasswordLengthAudit: 詳細については、「 https://go.microsoft.com/fwlink/?LinkId=2097191」を参照してください。 |
イベント ID 16979 強制
監査グループ ポリシー設定が正しく構成されていない場合、イベント ID 16979 がログに記録されます。 このイベントは DC でのみログに記録されます。 RelaxMinimumPasswordLengthLimits の値は、バージョン 2004 以降のバージョン DC Windows Serverにのみ記録されます。 これは強制用です。
| イベント ログ | System |
|---|---|
| イベント ソース | Directory-Services-SAM |
| イベント ID | 16979 |
| Level (レベル) | Error |
| エラー メッセージのテキスト | ドメインが、14 より大きい MinimumPasswordLength 設定で正しく構成されていませんが、 RelaxMinimumPasswordLengthLimits は未定義または無効です。 メモ これが修正されるまで、ドメインでは、14 の小さな MinimumPasswordLength 設定が適用されます。 現在構成されている MinimumPasswordLength 値: 詳細については、「 https://go.microsoft.com/fwlink/?LinkId=2097191」を参照してください。 |
イベント ID 16979 監査
監査グループ ポリシー設定が正しく構成されていない場合、イベント ID 16979 がログに記録されます。 このイベントは DC でのみログに記録されます。 この追加されたサポートの一部として、監査用の新しいイベント ログ メッセージが 1 つ含まれています。
| イベント ログ | System |
|---|---|
| イベント ソース | Directory-Services-SAM |
| イベント ID | 16979 |
| Level (レベル) | Error |
| エラー メッセージのテキスト | ドメインが、14 より大きい MinimumPasswordLength 設定で正しく構成されていません。 メモこれが修正されるまで、ドメインでは、14 の小さな MinimumPasswordLength 設定が適用されます。 現在構成されている MinimumPasswordLength 値: 詳細については、「https://go.microsoft.com/fwlink/?LinkId=2097191」を参照してください 。 |
ソフトウェア パスワードの変更に関するガイダンス
ソフトウェアでパスワードを設定するときは、パスワードの最大長を使用します。
履歴
Microsoft の全体的なセキュリティ戦略は、パスワードレスの未来にしっかりと焦点を当てていますが、多くのお客様は、短期間から中期的にパスワードから移行することはできません。 一部のセキュリティに配慮したお客様は、14 文字を超える既定のドメイン最小パスワード長設定を構成したいと考えています (たとえば、従来の短い単一トークン パスワードではなく、より長いパスフレーズを使用するようにユーザーに教育した後でこれを行う場合があります)。 この要求をサポートするために、windows Updates 2018 年 4 月にWindows Server 2016では、最小パスワード長を 14 文字から 20 文字に増やしたグループ ポリシー変更が有効になりました。 この変更は、より長いパスワードをサポートするように見えましたが、最終的には不十分であり、グループ ポリシーが適用されたときに新しい値を拒否しました。 これらの拒否はサイレントであり、システムが長いパスワードをサポートしていないかどうかを判断するために詳細なテストが必要でした。 セキュリティ アカウント マネージャー (SAM) レイヤーのフォローアップ更新プログラムは、2019 Windows Server 2016 と Windows Server 2019 の両方に含まれており、最小パスワード長が 14 文字を超えるエンド ツー エンドでシステムが正しく動作できるようにしました。 セキュリティ アカウント マネージャー (SAM) レイヤーのフォローアップ更新プログラムは、2019 Windows Server 2016 と Windows Server 2019 の両方に含まれており、最小パスワード長が 14 文字を超えるエンド ツー エンドでシステムが正しく動作できるようにしました。
MinimumPasswordLength ポリシー設定には、すべての Microsoft プラットフォームで非常に長い時間 (何十年も) にわたって 0 から 14 までの許容範囲がありました。 この設定は、ローカルの Windows セキュリティ設定と Active Directory (およびそれ以前の NT4 ドメイン) の両方に適用されます。 値 0 (0) は、アカウントにパスワードが必要ないことを意味します。
以前のバージョンの Windows では、グループ ポリシー UI では、必要最小限のパスワード長を 14 文字より長く設定できませんでした。 ただし、2018 年 4 月には、次のような更新プログラムの一部として、グループ ポリシー UI で 14 文字を超えるサポートを追加したWindows 10更新プログラムをリリースしました。
- KB 4093120: 2018 年 4 月 17 日 — KB4093120 (OS ビルド 14393.2214)
この更新プログラムには、次のリリース ノート テキストが含まれていました。
"グループ ポリシーの最小パスワード長を 20 文字に増やします。
2018 年 4 月のリリースをインストールし、更新プログラムをスーパーリリースした一部のお客様は、14 文字を超えるパスワードをまだ使用できないことがわかりました。 調査では、パスワード ポリシーで定義された 14 文字を超えるパスワードをサービスする DC ロール コンピューターに追加の更新プログラムをインストールする必要があることを確認しました。 次の更新プログラムでは、Windows Server 2016、Windows 10、バージョン 1607、および 14 文字を超えるパスワードを使用してログオンと認証要求を処理するためのWindows 10 ドメイン コントローラーの初期リリースが有効になりました。
- KB 4467684: 2018 年 11 月 27 日 — KB4467684 (OS ビルド 14393.2639)
この更新プログラムには、次のリリース ノート テキストが含まれていました。
"最小パスワード長が 14 文字を超えて構成されている場合に、ドメイン コントローラーが グループ ポリシー パスワード ポリシーを適用できない問題に対処します。
- KB 4471327: 2018 年 12 月 11 日 — KB4471321 (OS ビルド 14393.2665)
一部のお客様は、2018 年 4 月から 2018 年 10 月の更新プログラムをインストールした後、ポリシーで 14 文字を超えるパスワードを定義しました。これは、実質的に 2018 年 11 月と 2018 年 12 月の更新プログラムまで休止状態のままであったか、ネイティブ OS 対応ドメイン コントローラーがポリシーで 14 文字を超えるパスワードにサービスを提供するため、機能有効化とポリシー アプリケーション間の時間/原因リンクを削除します。 グループ ポリシーとドメイン コントローラーの更新プログラムを同時にインストールしたかどうかにかかわらず、次の副作用が発生する可能性があります。
- 現在、14 文字を超えるパスワードと互換性がないアプリケーションに関する問題が公開されています。
- リリース バージョンの Windows Server 2019 の組み合わせで構成されるドメイン、または 14 文字を超えるパスワードと 14 文字を超えるパスワードをサポートしないプレWindows Server 2016 DC をサポートする 2016 年の DC を更新した場合に発生する問題が公開されました (バックポートが存在し、Windows Server 2016にインストールされるまで)。
-
KB4467684をインストールした後、グループ ポリシー "最小パスワード長" が 14 文字を超えて構成されている場合、クラスター サービスはエラー "2245 (NERR_PasswordTooShort)" で開始できない場合があります。
この既知の問題のガイダンスは、ドメインの既定の "最小パスワード長" ポリシーを 14 文字以下に設定することです。 現在、解決に向けて取り組んでおります。今後のリリースで更新プログラムを提供いたします。
以前の問題により、14 文字を超えるパスワードに対する DC 側のサポートは、機能を使用できないように 2019 年 1 月の更新プログラムで削除されました。