パスワードの長さ

適用対象

• Windows 10

この記事では、[最小パスワードの長さ] セキュリティ ポリシー設定に関する推奨プラクティス、場所、値、ポリシー管理、およびセキュリティに関する 考慮事項について説明 します。

リファレンス

[ 最小パスワードの長さ ] ポリシー設定は、ユーザー アカウントのパスワードを構成できる最小文字数を決定します。 1 ~ 14 文字の値を設定するか、文字数を 0 に設定してパスワードを必要としません。

値

• 0 ~ 14 のユーザー指定の文字数
• 未定義

ベスト プラクティス

[最小パスワードの長さ] を 14 以上の値に設定します。 文字数が 0 に設定されている場合、パスワードは必要ありません。 ほとんどの環境では、十分なセキュリティを提供し、ユーザーが簡単に覚えるのに十分な短い長いパスワードなので、8 文字のパスワードをお勧めします。 現時点では、14 を超える最小パスワードの長さはサポートされていません。 この値は、ブルート フォース攻撃に対する適切な防御を提供するのに役立ちます。 複雑さの要件を追加すると、辞書攻撃の可能性を減らすのに役立ちます。 詳細については、「Password must meet complexity requirements」を参照してください。

短いパスワードを許可すると、短いパスワードは、辞書やパスワードに対するブルート フォース攻撃を行うツールで簡単に壊れる可能性があるため、セキュリティが低下します。 非常に長いパスワードを要求すると、パスワードが誤って入力され、アカウントのロックアウトが発生し、ヘルプ デスクの呼び出しの量が増える可能性があります。

さらに、非常に長いパスワードを必要とすると、ユーザーがパスワードを書き込み、忘れないようにする可能性が高いので、実際には組織のセキュリティが低下する可能性があります。 ただし、パスフレーズ ("5 ドルのミルクシェークを飲みたい" などの文章) を使用できるとユーザーに教えられた場合は、覚えておく可能性がはるかに高い必要があります。

場所

コンピューターの構成\Windows の設定\セキュリティ設定\アカウント ポリシー\パスワード ポリシー

既定値

次の表に、実際のポリシー値と有効な既定のポリシー値を示します。 既定値は、このポリシーのプロパティ ページにも表示されます。

サーバーの種類またはグループ ポリシー オブジェクト (GPO)	既定値
既定のドメイン ポリシー	7 文字
既定のドメイン コントローラー ポリシー	未定義
スタンドアロン サーバーの既定の設定	ゼロ文字
ドメイン コントローラーの有効な既定の設定	7 文字
メンバー サーバーの有効な既定の設定	7 文字
クライアント コンピューターでの GPO の有効な既定の設定	ゼロ文字

ポリシー管理

このセクションでは、このポリシーの管理に役立つ機能、ツール、およびガイダンスについて説明します。

再起動の必要性

なし。 このポリシーに対する変更は、デバイスをローカルに保存したり、デバイスを使用して配布したりすると、デバイスを再起動グループ ポリシー。

セキュリティに関する考慮事項

このセクションでは、攻撃者が機能や構成をどのように悪用するかと、対抗策の実装方法、対抗策を実施した結果として生じる可能性のある悪影響について説明します。

脆弱性

パスワード攻撃の種類には、辞書攻撃 (一般的な単語や語句の使用を試みる) やブルート フォース攻撃 (文字のすべての組み合わせを試みる) が含まれます。 また、攻撃者はアカウント データベースを取得しようとして、ツールを使用してアカウントとパスワードを検出することもできます。

対抗策

[最小 パスワードの長さ] ポリシー設定を 8 以上の値に構成します。 文字数が 0 に設定されている場合、パスワードは必要ありません。

ほとんどの環境では、十分なセキュリティを提供するのに十分な長さなので、8 文字のパスワードをお勧めしますが、ユーザーが簡単に覚えておくのは難しすぎます。 この構成は、ブルート フォース攻撃に対する適切な防御を提供します。 パスワードを[使用するには、最小パスワードの長さ] 設定に加えて****、複雑さの要件ポリシー設定を満たす必要があります。辞書攻撃の可能性を減らすのに役立ちます。

注意

一部の地域では、セキュリティ規制の確立の一環として、パスワードの長さに関する法的要件が確立されています。

潜在的な影響

非常に長いパスワードの要件は、ユーザーがセキュリティ保護されていない場所に情報を残したり、紛失したりする可能性があるため、実際には組織のセキュリティを低下する可能性があります。 非常に長いパスワードが必要な場合、パスワードの入力ミスにより、アカウントのロックアウトが発生し、ヘルプ デスクの呼び出しの量が増える可能性があります。 組織でパスワードの長さの要件が理由でパスワードを忘れた場合は、覚えやすく、文字の組み合わせが多いので、見分けにくくなるパスフレーズについてユーザーに教えることをお考えください。

関連トピック

• パスワード ポリシー