ApsaraDB RDS:カスタムパスワードポリシー

デフォルトでは、ホストアカウントは Windows のパスワードポリシーを使用し、デフォルトの有効期限は 42 日です。RDS SQL Server がホストログオンアカウントを作成した場合、パスワードはデフォルトで 42 日後に有効期限が切れます。有効期限が切れた後は、パスワードをリセットする必要があります。

左側のナビゲーションウィンドウで [アカウント管理] をクリックし、[ホストアカウント] タブを選択して、対象アカウントの [操作] 列にある [リモート接続 (プライマリ)] をクリックします。

RDS コンソールで、カスタムのパスワード最大有効期間または最小有効期間を設定します。更新されたポリシーは、ホストアカウントに即時に有効になります。ユーザーアカウントにすでにポリシーが適用されている場合、その更新はそれらのアカウントにも即時に有効になります。ただし、共有インスタンス、SQL Server 2008 R2 インスタンス、および サーバーレスの ApsaraDB RDS for SQL Server インスタンスはこの機能をサポートしていません。

RDS コンソール経由でアカウントのパスワードポリシーを設定するか、Windows ホストに直接ログオンしてパスワードポリシーを変更することができます。

いいえ。RDS コンソール経由で作成されたユーザーアカウントは、デフォルトでは CHECK_POLICY や CHECK_EXPIRATION が有効になっていないため、パスワードは無期限です。コンソール経由でユーザーアカウントにポリシーを適用すると、CHECK_POLICY と CHECK_EXPIRATION の両方が ON に設定され、Windows のパスワードポリシー設定が継承されます。

たとえば、RDS コンソールでパスワードの最小有効期間を 1 日、最大有効期間を 2 日に設定した場合、Windows ポリシーは Minimum password age = 1 日、Maximum password age = 2 日に更新されます。

sys.sql_logins に対して次の SQL クエリを実行すると、ポリシーのステータス、有効期限の状態、最終パスワード変更日時、および関連する詳細を確認できます：

-- ユーザーのパスワードポリシーステータスと関連情報をクエリします
SELECT
    name,
    is_policy_checked,          -- パスワードの複雑性のポリシーが有効かどうか
    is_expiration_checked,      -- パスワードの有効期限ポリシーが有効かどうか
    LOGINPROPERTY(name, 'IsMustChange') AS IsMustChange,              -- 次回ログオン時にパスワードの変更が必要かどうか
    LOGINPROPERTY(name, 'IsLocked') AS IsLocked,                      -- アカウントがロックされているかどうか
    LOGINPROPERTY(name, 'LockoutTime') AS LockoutTime,                -- アカウントがロックされた時刻 (ロックされていない場合は NULL)
    LOGINPROPERTY(name, 'PasswordLastSetTime') AS PasswordLastSetTime, -- パスワードが最後に変更された時刻
    LOGINPROPERTY(name, 'IsExpired') AS IsExpired,                    -- パスワードの有効期限が切れているかどうか
    LOGINPROPERTY(name, 'BadPasswordCount') AS BadPasswordCount,      -- 不正なパスワード試行の回数
    LOGINPROPERTY(name, 'BadPasswordTime') AS BadPasswordTime,        -- 最後の不正なパスワード試行の時刻
    LOGINPROPERTY(name, 'HistoryLength') AS HistoryLength,            -- パスワード履歴の長さ (古いパスワードの再利用を防止)
    modify_date                 -- アカウントが最後に変更された時刻
FROM
    sys.sql_logins;