[Azure] Microsoft Entra IDのユーザーパスワードを無期限にする

Posted at 2023-09-24

Azure ADの名前がMicrosoft Entra IDに置き換わるため、この投稿ではAzure ADのことをMicrosoft Entra IDと記載します。

Microsoft Entra ID上に直接作成しているユーザーのパスワードを無期限に設定する方法を紹介します。
※ オンプレミスのActive Directoryから同期しているユーザーについては対象外です。

設定には強い権限が必要となるため、グローバル管理者ロールを持っているユーザーで実施する前提です。

テナント全体でパスワードを無期限にする

テナント全体でパスワードを無期限にするにはMicrosoft Entra IDの管理画面ではできません。Microsoft 365 管理センターからおこないます。

Microsoft 365 管理センターにログオンします。
[設定]→[組織設定]→[セキュリティとプライバシー]→[パスワードの有効期限ポリシー]を選択します。
[パスワードを無期限に設定する]にチェックを入れて保存します。逆にパスワード期限を設定したい場合はチェックを外し、パスワードの有効期限が切れるまでの日数を指定してください。

この設定の既定値はテナントをいつ開設したかで変更されています。
2021年の春頃以降に開設されたテナントでは既定値が「無期限」に設定されており、それ以前に開設したテナントでは既定値が「90日」になっています。

特定のユーザーのみパスワード期限を無期限にする

設定にはMicrosoft Graph PowerShellを使う必要があります。以下で紹介する手順はCloud Shellを使っている前提となっています。

Cloud ShellをPowerShellモードで起動します。
Cloud Shellには「Microsoft Graph PowerShell」が既定ではインストールされていないため、まずはMicrosoft Graph PowerShellをインストールします。
```
Install-Module Microsoft.Graph -Scope CurrentUser
```
インストールが完了したら、以下のコマンドを実行して必要な権限を取得します。
```
Connect-MgGraph -Scopes "User.ReadWrite.All","Group.ReadWrite.All"
```
以下のメッセージが表示されるので、リンクをクリックします。
```
To sign in, use a web browser to open the page https://microsoft.com/devicelogin and enter the code ********* to authenticate.
```
コードの入力を求められるので、CloudShell側に表示されているコード（*********の部分)をコピーして貼り付けます。
アカウントを選択します。
※「シンガポールにある別のデバイス」と出てきますが、Cloud Shellが東南アジアリージョンで動いているためです。
[承諾]を選択します。
この画面が表示されたらウィンドウを閉じてCloud Shell側に戻ります。

認証が成功していればCloud Shellに以下のメッセージが表示されます。

Welcome to Microsoft Graph!

Connected via delegated access using ********-****-****-****-************
Readme: https://aka.ms/graph/sdk/powershell
SDK Docs: https://aka.ms/graph/sdk/powershell/docs
API Docs: https://aka.ms/graph/docs

NOTE: You can use the -NoWelcome parameter to suppress this message.

以下のコマンドで特定のユーザーのパスワードを無期限に設定できます。
```
Update-MgUser -UserId <user ID> -PasswordPolicies DisablePasswordExpiration
```
<user ID>には hoge@contoso.onmicrosoft.com のようなユーザーIDを入力します。

パスワード無期限になっているかは以下のコマンドで確認します。

Get-MGuser -UserId <user ID> -Property UserPrincipalName, PasswordPolicies | Select-Object UserPrincipalName,@{
 N="PasswordNeverExpires";E={$_.PasswordPolicies -contains "DisablePasswordExpiration"}
}

結果は以下のようになります。

UserPrincipalName               PasswordNeverExpires
-----------------               --------------------
hoge@contoso.onmicrosoft.com                 True

パスワードの無期限設定を解除したい場合には以下のコマンドを使います。

Update-MgUser -UserId <user ID> -PasswordPolicies None

参考文献

You get articles that match your needs
You can efficiently read back useful information
You can use dark theme

What you can do with signing up