WindowsServer上に作成したローカルユーザーのパスワード有効期限管理パターンとその適用手順をまとめてみる

はじめに

WindowsServer上に作成したローカルユーザーのパスワード運用について
パスワードローテーションの有無に応じた有効期限管理パターンのメリット/デメリットおよびその適用手順をまとめた記事になります。

前提

・本記事で使用した環境は以下の通りです。
AWS Microsoft Windows Server 2022

・パスワードローテーションを行い、かつ、運用中にパスワード有効期限が切れログインが不可となった場合は、その対象ローカルユーザ自身でパスワード更新を行いログインができることをパスワード運用の前提としています。

有効期限管理パターン

WindowsServer上のローカルユーザープロパティで有効期限を無期限化する
WindowsServer上のローカルセキュリティポリシーで有効期限を変更する
WindowsServer上のNLA無効化およびRDP接続時に特定のセキュリティレイヤーを使用する設定に変更する
AWSコンソール上からパスワードを設定するように変更する
パスワード更新を定期的に行うスクリプトを作成する

パターン	ローテーション	メリット	デメリット
1.	なし	・有効期限をローカルユーザー単位で無効化できる。・有効期限を無効化した場合、パスワードローテーションが不要になり運用負荷が軽減される。	・パスワードローテーションを実施しないことによりセキュリティ強度が低下する。
2.	なし	・有効期限を「0日」または長期間有効にした場合、パスワードローテーションが不要/低頻度になり運用負荷が軽減される。	・パスワードローテーションを実施しないことによりセキュリティ強度が低下する・全てのローカルユーザーに有効期限が適用されてしまうため、個別のユーザに対してそれぞれのパスワード管理ポリシーが存在する場合、こちらの設定は使用できない。
3.	あり	・有効期限が設定されていた場合、パスワードが切れた後にそのユーザ自身でパスワードを更新することができる。	・NLA無効化およびRDP接続時に特定のセキュリティレイヤーを使用する設定に変更することで、セキュリティ強度が低下する。
4.	あり	・有効期限が設定されていた場合、パスワードが切れた後にAWS コンソール上から対象ユーザーのパスワードを更新することができる。	・KMSキーを作成する必要があるため、およそ1ドル程度のAWS月額利用料がかかる。
5.	あり	・パスワード更新作業が不要になる。	・スクリプトによる自動化を実現することで、スクリプトの運用が必要となり運用負荷がかかる。

実現方法

1. WindowsServer上のローカルユーザープロパティで有効期限を無期限化する

1.OS上の「コンピュータ管理」から任意のユーザを選択
2.「プロパティ」からPassword never expiresのチェックを有効化

2. WindowsServer上のローカルセキュリティポリシーで有効期限を変更する

1.OS上の「ローカルセキュリティポリシー」→「アカウントポリシー」→「パスワードポリシー」へ遷移
2.有効期限を無期限にする場合、Maximum password ageを「0」に変更

3. WindowsServer上のNLA無効化およびRDP接続時に特定のセキュリティレイヤーを使用する設定に変更する

・NLAの無効化

1.OS上の「ローカルグループポリシーエディター」→「コンピューターの構成」→「管理用テンプレート」→「Windowsコンポーネント」→「リモートデスクトップサービス」→「リモートデスクトップセッションホスト」→「セキュリティ」へ遷移
2.「リモート接続時にネットワークレベル認証を使用したユーザー認証を必要とする」を「無効」に変更

・RDP接続時に使用するセキュリティレイヤーの変更

3.OS上の「ローカルグループポリシーエディター」→「コンピューターの構成」→「管理用テンプレート」→「Windowsコンポーネント」→「リモートデスクトップサービス」→「リモートデスクトップセッションホスト」→「セキュリティ」へ遷移
4.「リモート (RDP) 接続に特定のセキュリティレイヤーの使用を必要とする」を「有効」に変更

5.パスワードが切れた後、任意のタイミングで対象のローカルユーザーでRDP接続を行いパスワードを更新する。

4. AWSコンソール上からパスワードを設定するように変更する

1.対象のサーバに「kms:Decrypt」権限を持ったIAMロールをアタッチ
{ "Version": "2012-10-17", "Statement": [ { "Sid": "VisualEditor0", "Effect": "Allow", "Action": [ "kms:Decrypt" ], "Resource": "*" } ] }
2.カスタマー管理型キーを作成
3.SSM接続時にKMS暗号化を行う設定に変更

4.パスワード有効期限が切れた後、任意のタイミングでAWSコンソール上の「SSM管理画面」→「フリートマネージャー」から対象のサーバーを選択し、「ノードアクション」→「ノード設定」→「ノードユーザーパスワードのリセット」からローカルユーザーのパスワードを更新する。

5. パスワード更新を定期的に行うスクリプトを作成する

実現方法としては、WindowsServer上のタスクスケジューラという機能を活用したり、AWS環境であればSSM Run Commandを活用することが挙げられるが、それだけで記事が一つできてしまうため、本記事では省略する。（また機会があれば記事にしたいと思います）

おわりに

本記事でローカルユーザーのパスワード管理パターンについてまとめてみました。
パスワード運用ポリシーを元に、それぞれのパスワード管理パターンのメリットとデメリット踏まえた上で適切なパスワード運用を実現していきましょう。
またAWS環境上で稼働しているWindowsServerであれば、AWSコンソール上でパスワードを更新することが可能なので、一度検討してみると良いかもしれません。