パスワードポリシーのテンプレート：NIST SP 800-63B 第4版とMicrosoft 365の設定対応

要点： 今のパスワードポリシーは短く、肝心な点にだけ厳しくします。パスワードを長くする、既知の弱いパスワードを拒否する、多要素認証（MFA）を必須にする、漏えいの証拠がない限り定期変更を強制しない、の4点です。NIST SP 800-63B 第4版もMicrosoftのMicrosoft 365向けガイダンスも同じ方向を示しています。以下に規程へそのまま貼れるテンプレートと、各行を支えるEntra／Microsoft 365の設定を示します。

対象は、社内のパスワードポリシーを作成・見直しし、Microsoft 365で実際に強制したい経営者、経理責任者、情シスの方です。読み終えると、テンプレート、正確な管理者操作とPowerShell、そしてMicrosoft 365では理想どおりに強制できない箇所の一覧が手に入ります。

内容は2026年10月28日にMicrosoft Learnで確認しました。NISTについては、同日にSP 800-63B 第4版（2025年8月26日付、pages.nist.gov/800-63-4/sp800-63b.html）を読んでいます。

NIST SP 800-63B 第4版のパスワードに関する要件

これはコンプライアンスに関する声明ではなく、標準の内容の要約です。書き方を変える要点だけを挙げます。文言は第4版の本文に基づきます。

1. 長さ： 単独の認証要素として使うパスワードは15文字以上。多要素認証の一部としてのみ使う場合は短くてもよいが、8文字以上。
2. 最大長： 少なくとも64文字まで受け付けるべき。
3. 構成ルール： 文字種の混在を要求するなどの構成ルールを課してはならない。
4. 有効期限： 検証側は定期的な変更を要求してはならない。ただし漏えいの証拠がある場合は変更を強制しなければならない。
5. ブロックリスト： 新しいパスワードは、よく使われるもの、推測されやすいもの、漏えい済みのものの一覧と照合しなければならない。
6. 使いやすさ： パスワードマネージャーが使えるよう貼り付けを許可し、Unicode文字を受け付けるべき。

NIST：検証側は "SHALL NOT require subscribers to change passwords periodically." とされています。

ポリシーのテンプレート

規程にコピーし、角括弧の部分を直してください。

1. 適用範囲： 本ポリシーは、[会社名]のシステムにサインインするすべての従業員、業務委託者、サービス提供者に適用する。
2. 最小長： パスワードは[14]文字以上とする。多要素認証を使わないパスワードは15文字以上とする（第7項で、対応するアカウントはMFAを必須としているため、この15文字の条件はMFAを使えないアカウントにのみ適用される）。
3. パスフレーズ： 関連のない複数の単語からなる長いパスフレーズを推奨する。システムは少なくとも64文字までのパスワードを受け付ける。
4. 構成ルールなし： 記号・大文字・数字は要求しない。そうしたルールは予測しやすいパターンを招くため。
5. 禁止パスワード： よく使われるパスワードの一覧にあるもの、および[会社名]、製品名、拠点名を含むものは使用できない。
6. 定期失効なし： パスワードは日程で失効させない。漏えいが疑われる、または確認された場合は直ちに変更する。
7. 多要素認証： 対応するすべてのアカウントでMFAを必須とする。メール、VPN、管理者アクセスをパスワードだけで守ってはならない。
8. 使い回し禁止： 会社のパスワードを他のサイトやサービスに使ってはならない。
9. パスワードマネージャー： 会社が承認したパスワードマネージャーを利用でき、サインイン欄への貼り付けも許可する。
10. 共有： メール、チャット、紙でパスワードを共有しない。共有アカウントは承認された保管庫を使う。
11. ロックアウトとリセット： 誤入力が続くと一定時間アカウントをロックする。本人確認のうえ、セルフサービスパスワードリセット（SSPR）で自分で再設定する。
12. 特権アカウント： 管理者は専用の管理者アカウントにMFAを設定して使い、メールやWeb閲覧には使わない。
13. インシデント対応： 漏えいの疑いがあれば直ちに[情シス窓口]へ報告する。情シスはパスワードのリセット、セッションの失効、サインインログの確認を行う。
14. 見直し： 本ポリシーは[12]か月ごとに見直す。

Microsoft 365で強制できること、できないこと

Microsoft Learnによると、クラウド専用のMicrosoft 365アカウントのパスワードポリシーはあらかじめ定義されており変更できません。変更できるのは、パスワードの有効期限の日数と、期限切れにするかどうかだけです。そのため、テンプレートとの間に4つの差が出ます。

1. 複雑さ： Entraのパスワードポリシーは、4種類の文字（小文字、大文字、数字、記号）のうち3種類以上と、8〜256文字を要求し、無効にできません。NISTは構成ルールを課さないよう求めているため、テンプレートのこの行は、教育とMFAで目指す目標になります。
2. 長さ： Microsoft自身の推奨は最小14文字です（Microsoft 365自体の要件は8文字以上）。この差は、利用者向けの案内、カスタム禁止リスト、MFAで補います。
3. 有効期限： Microsoftの最新のガイダンスは、クラウド専用アカウントの有効期限ポリシーを推奨せず、パスワードを失効させない設定を勧めています。テナントの既定値は「期限なし」ですが、2021年より前に作成したテナントの既定は90日です。
4. Unicode： NISTは検証側がUnicode文字を受け付けるべきとしていますが、LearnではUnicode文字はEntraのパスワードに使えない文字とされています。

同期アカウントは異なります。既定では、Microsoft Entra Connectで同期されていないアカウントのパスワードだけを、期限なしに設定できます。

対応するMicrosoft 365・Entraの設定

1. 弱いパスワードと社名入りの語を拒否する

Microsoft Entra IDにはグローバルの禁止パスワードリストがあります。自社の語を追加する手順です。

1. 少なくともAuthentication Policy Administratorとして、Microsoft Entra admin centerにサインインします。
2. Entra ID > Authentication methods > Password protection を開きます。
3. Enforce custom list を Yes にします。
4. 1行に1語、会社名、製品名、拠点名、社内の略称を入力します。リストは最大1,000語で、1語は4〜16文字、大文字小文字を区別せず、「o」と「0」のような一般的な置換も考慮されます。
5. Save を選びます。反映に数時間かかることがあります。

カスタムリストには、少なくともMicrosoft Entra ID P1のライセンスが必要です。

2. 定期失効をやめる

まず誰が失効設定のままかを確認し、そのうえでパスワードを期限なしにします。User Administrator以上の権限が必要です。最初は1ユーザーで試してください。

Connect-MgGraph -Scopes "User.ReadWrite.All","Domain.Read.All"
# いま「期限なし」になっているのは誰か
Get-MgUser -All -Property UserPrincipalName, PasswordPolicies |
  Select-Object UserPrincipalName,
  @{N="PasswordNeverExpires";E={$_.PasswordPolicies -contains "DisablePasswordExpiration"}}
# 1ユーザーに設定、その後全ユーザーに設定
Update-MgUser -UserId <user ID> -PasswordPolicies DisablePasswordExpiration
Get-MgUser -All | ForEach-Object { Update-MgUser -UserId $_.Id -PasswordPolicies DisablePasswordExpiration }

Get-MgDomain | Format-List を実行し、PasswordValidityPeriodInDays を読むとテナントレベルの設定を確認できます（Learnの出力例では、期限なしのドメインは2147483647と表示されます）。Domain.Read.All の権限が必要なため、上のスコープに含めています。全ユーザーを対象にしたコマンドは、同期アカウントでは既定でこの方法で設定できないためエラーになります。この方法で設定したパスワードも、LastPasswordChangeDateTime 属性をもとに経過日数が数えられます。後で失効ありに戻すと、最終変更から90日を超えている全員が、次のサインイン時に変更を求められます。

3. MFAを必須にする

Microsoft 365でMFAを有効にする手順に沿って設定し、続けて6つの基本的な条件付きアクセスポリシーを設定します。展開の実例は香港の会計事務所でのMFA展開も参考になります。

4. ロックアウトとセルフサービスリセット

既定では、誤ったパスワードを10回入力するとアカウントが1分間ロックされ、その後も失敗が続くとロック時間が延びます。スマートロックアウトは、同じ誤ったパスワードの繰り返しをカウントしません。しきい値と時間は設定できます。管理者アカウントは既定でSSPRが有効で、変更できない2段階（two-gate）のポリシーが適用され、秘密の質問は使えません。

よくある失敗

1. 「念のため」90日の失効を残す。 NISTもMicrosoftも定期失効を推奨していません。Learnも、変更の強制は予測しやすいパスワードを招くと述べています。
2. Microsoft 365で強制できない条文を書く。 「複雑さのルールなし」と書くなら、Entraの例外を注記し、レビュー担当者や従業員が混乱しないようにします。
3. 禁止リストを設定しない。 グローバルリストは自社名や事務所の地名を知りません。
4. 初日からテナント全体で期限なしにする。 先に検証し、同期アカウントでは挙動が違うことを把握します。
5. 管理者とサービスアカウントを忘れる。 管理者は専用アカウントとMFA、サービスアカウントは保管庫内の長いランダムな秘密を使います。
6. パスワードだけに頼る。 MFAがなければ、15文字のパスワードでもフィッシングは防げません。

動作確認の方法

1. テストユーザーでサインインし、社名を含むパスワードを設定しようとして、拒否されることを確認します。
2. 上のGet-MgUserコマンドを実行し、「期限なし」の列が方針どおりか確認します。
3. Entra ID > Authentication methods > Password protection を開き、Enforce custom list が Yes か確認します。
4. テストアカウントで、異なる誤ったパスワードを10回入力し（既定のしきい値。同じ誤りの繰り返しはカウントされません）、ロックアウトがポリシーどおり動くか確認します。
5. MFAの手順記事のコマンドで、MFA未登録のユーザーを書き出して対応します。Microsoft 365セキュリティ監査は、テナント全体を第三者の目で確認する手段になります。

FAQ

社内パスワードポリシーとは何ですか？

従業員がパスワードをどう作成・保管・共有・再設定するか、漏えいしたときにどうするかを書いた規則です。上のテンプレートが出発点になります。

良いパスワードの例は？

関連のない複数の単語をつなげた長いパスフレーズのほうが、記号だらけの短い文字列より優れています。記事に載せたパスワードは悪いパスワードになるため、例は示しません。

「パスワードがポリシーの要件を満たしていません」と出たら？

Entra IDでは、新しいパスワードが8〜256文字で、4種類の文字のうち3種類を含み、グローバルまたはカスタムの禁止リストに一致せず、変更時は直前のパスワードと異なる必要があります。より長いパスフレーズに数字と記号を足してみてください。

Microsoft 365のパスワードポリシーとは？

クラウド専用アカウントではあらかじめ定義されており、変更できるのは有効期限の日数と、期限切れにするかどうかだけです。Microsoftは最小14文字と、期限なしを推奨しています。

NISTのパスワードガイドラインは何を勧めていますか？

単独で使うなら15文字以上、MFAと併用なら8文字以上、64文字以上のサポート、構成ルールなし、定期変更なし、ブロックリストによる確認です。

ポリシーの作成とテナント全体への適用を支援してほしい場合は、サイバーセキュリティサービスをご覧ください。

着手前に本格的な監査の料金を知りたい場合は、Microsoft 365 セキュリティ監査の費用で人数別の固定料金をまとめています。