Microsoft Entra ID ドメインでパスワードの有効期限を強制して、ユーザーにパスワードを変更するように頻繁にプロンプトを出すと、弱いパスワード、予測可能なパスワード、再利用されたパスワードの使用につながり、全体的なアカウント保護が低減し、セキュリティを損なう可能性があります。

定期的なパスワード変更をユーザーに要求する、Microsoft Entra ID のパスワードの有効期限の設定ミスは、意図せずセキュリティ上の脆弱性を招く可能性があります。従来の有効期限ポリシーでは、ユーザーは侵害された認証情報を頻繁に変更するという古い前提が採用されています。現実は、パスワードを頻繁に変更すると、<a href="https://learn.microsoft.com/ja-jp/microsoft-365/admin/misc/password-policy-recommendations?view=o365-worldwide#password-expiration-requirements-for-users">パターンが予測可能</a>になったり、以前のパスワードをわずかに変えただけになったりします。こうなると、全体的な複雑度が低下し、アカウントがブルートフォース攻撃や辞書攻撃に対してより脆弱になります。
パスワード変更を強制すると、ユーザーがパスワードを書き留めたり、承認されていない場所に保存したり、記憶するために簡単に推測できるパターンを作成したりして、安全でない保管のリスクが増大する場合があります。この行動はセキュリティを低下させ、不正アクセスにつながる可能性があります。パスワードの期限切れを強制すると、組織は意図せずユーザーにベストプラクティスを迂回することを促進し、最終的にアタックサーフェスを拡大させてしまう可能性があります。
BOD 25-01 の下で強制される、CISA の「Microsoft Entra ID の M365 セキュア設定ベースライン」の <a href="https://www.cisa.gov/resources-tools/services/m365-entra-id#passwords">MS.AAD.6.1v1</a> ポリシーでは、「ユーザーパスワードの有効期限は設定しないこと」と規定されています。これに準拠しない場合、特に CISA が管轄する連邦政府機関や請負業者においては、規制上および業務上の処分が下される可能性があります。現在のセキュリティ状況では、パスワードの有効期限の強制は、アイデンティティ中心のセキュリティ原則に沿ったものではありません。これらの原則では、堅牢なパスワードライフサイクルポリシーよりも、継続的なモニタリング、条件付きアクセス、脅威ベースの管理を優先します。
<a href="https://pages.nist.gov/800-63-FAQ/#q-b05">NIST SP 800-63</a> の最新のガイダンスでも、侵害の証拠がないのにパスワードの定期変更を強制すると、パスワードのランダム性が低下し、全体的なセキュリティが弱まる可能性があると指摘し、恣意的なパスワードのローテーションは行わないようアドバイスしています。
この露出インジケーターは、一定期間のパスワード有効期限を有効にしているドメインを検出します。

検出

パスワードの有効期限が強制されている

LOW

バージョン 202507230918

バージョン 202506111610

バージョン 202507230918 Jul 23, 2025, 9:18 AM Metadata (Describe that you must select password expiration settings according to relevant industry standards and regulatory requirements) Release: 202507230918
バージョン 202506111610 Jun 11, 2025, 4:10 PM New Release: 202506111610