ログインパスワードの有効期限と管理

質問

ドメイン環境下のPCのログオンパスワード
変更履歴を管理したいと思います。

良い方法をご教授いただけますか？

現状は、3か月でアラートを出し、各自に変更してもらい
メールで教えてもらっています。

その方法では、かなり問題が多いので
ADの設定等でうまく運用したいと考えております。

詳細----
・パスワードの有効期限は3か月。
・各自がパスワードを変更。
・担当者がパスワードの履歴を管理。
・現在、アカウントの有効期限は無制限です。

回答No.2

Toshi0230

> ポリシーにて、前回・前々回のパスワードと同じパスワードを
> 利用できないという、面倒なルールがありまして。

ADのポリシー設定で、過去 n 回以内の同じパスワードを使用できないようにすることができます。（nは最大24まで設定可能）
これを使えばある程度対応可能です。

まぁ、これとて
Password-1
Password-2
なんてやられるとどうしようもないですけどね(^^;
# 上記で「ある程度」といったのはこういうこと
この辺は啓蒙していくしかないですかねぇ。

回答No.1

Toshi0230

ちょっと気になったんですが、変更履歴の管理なんかする必要あるんですか？
「有効期限過ぎたらログインできなくなるから注意してね」
とユーザに周知しておけばすむ話だと思うんですが。

どうしても、ということであれば、セキュリティ監査の設定をして、監視ツールでイベントログを監視すればよいかと思いますが、いかがでしょう？
http://support.microsoft.com/kb/822703/ja

監視の方法は市販のツールを使うなり自前で作ったコマンドを定期的に実行するなりすればよろしいかと。

補足

ご回答ありがとうございます。
説明不足で申し訳ありません。

ポリシーにて、前回・前々回のパスワードと同じパスワードを
利用できないという、面倒なルールがありまして。

同じパスワードが使われていないかどうか
確認が必要な為、履歴も何世代かとっておく必要がありました。

バッチとタスク等で、うまく実行可能でしょうか？
宜しくお願いします。