自分のPCだけパスワードが有効な残りの日数を変える

質問

以下のページに関係した（?）問題です。
http://okwave.jp/qa/q6819785.html

パスワードが無効になる前にユーザに変更を促すメッセージが
でなくて困っています。
（サーバはwindows server 2003、ユーザはwindows xpです。）
（GPOでパスワード有効期限(90日)を設定してます。）

問題を再現させたく、自分のPCのパスワードが有効な残日数を
変更したいと思います。

この場合、どのようにしたら宜しいのでしょうか。
（例えば、現在自分のPCはパスワードの有効期限まで残り70日あります。
　それを強引に残り3日にして、「パスワードが無効になる前にユーザに
　変更を促す」メッセージが出現することを確認したいのです。）

回答No.2

maesen

話の内容からするとActive Directoryでドメインユーザーのパスワード問題ということでよろしいでしょうか。

パスワード有効期限は、残日数を管理しているのでは無く、
現在の日付が、最後にパスワードを変更した日時から、有効期限の日数を経過しているかを判断しています。
従って、最後にパスワードを変更した日時を更に過去に変更する必要があります。

変更はユーザーオブジェクトのpwdLastSet属性を変更します。
変更方法は以下のスクリプトを参照して下さい。

http://gallery.technet.microsoft.com/scriptcenter/588a2571-ec25-4275-9c4e-f81eb589c358/

この例は0を設定する例なのですが、実際に日時を設定する場合、
設定する値はちょっと特殊で1600/1/1からの100ナノ秒間隔の経過で64ビット整数になっています。
以下のサイトに変換式があるのでこれで逆算して下さい。

http://gallery.technet.microsoft.com/scriptcenter/3ea5d277-8a03-4c3a-9d62-b1501911f1ee/

なお、設定自体はADSIエディタでも変更出来ますので、ADSIエディタを使用したことがあれば1ユーザーだけならばこの方が簡単でしょう。
windows server 2003だとサポートツールをインストールしないとADSIエディタは標準ではインストールされていないと思います。

また、Active DirectoryではKerberos認証を使用するため、クライアントの日時が変わると認証に問題が発生します。また、NTPでの時刻同期が標準であるため日時を変えても適切な時刻に戻ります。
クライアントに日時を変更しての検証はおすすめ出来ません。

ちょっと気になったことは、前回の質問を見るとどうもグループポリシーが正しく適用されていないクライアントの問題があるような気がします。
パスワード有効期限の検証もチェックしておくべきことではありますが、ポリシー適用の問題を調査するほうが近道のような気もします。

回答No.1

kaZho_em

再現確認だけなら、現在の日付を未来の日付に変えれば良いだけでは？