【アクティブユーザーロック判定】WinNTプロバイダを用いた Active Directory / ローカルアカウントのロック確認と解除
現場のインフラエンジニアやヘルプデスク担当者なら誰もが経験する「ユーザーアカウントのロックアウト」。
パスワード変更の失敗や、モバイルデバイスの古い認証キャッシュが原因で、週に何度も同じユーザーがロックされる……。この対応に、どれだけの管理コストが割かれているだろうか。
「ロックされたので解除してください」という連絡を受け、GUIの管理ツールを開き、ユーザーを探し、プロパティを開いてチェックを外す。この一連の作業を、APIを叩く感覚で裏側から秒速で自動化できたらどうだろうか？
今回は、WSH（Windows Script Host）の真骨頂である ADSI（Active Directory Service Interfaces） の `WinNT` プロバイダを駆使し、ローカル環境およびActive Directory（AD）環境におけるアカウントのロック状態を完全に掌握し、判定・自動解除するプロダクションコードを解説する。
巷にあふれる「動けばいいだけの脆弱なスクリプト」とは一線を画す、現場で即座に使える堅牢な設計と思想を伝授しよう。
—
なぜ「LDAP」ではなく「WinNT」プロバイダなのか？
Active Directoryを操作する際、多くのエンジニアはLDAPプロバイダ（`LDAP://`）を選択しがちだ。しかし、これには大きな罠がある。
LDAPプロバイダはドメイン環境に特化しているため、ローカルアカウント（ワークグループ環境やメンバサーバ自体のローカルSAM）の操作には使えない。さらに、スキーマの差異を意識する必要があり、コードが冗長になりやすい。
一方、`WinNT` プロバイダは、OSの抽象レイヤー（ADSオブジェクト）を直接叩くため、「ドメイン環境」であっても「ローカル環境」であっても、全く同じインターフェース（構文）でユーザーオブジェクトを操作できるという圧倒的な優位性を持つ。
- ローカルアカウント: `WinNT://ComputerName/Username`
- ドメインアカウント: `WinNT://DomainName/Username`
この汎用性こそが、ヘルプデスクツールや運用自動化スクリプトにおいて `WinNT` を選択すべき最大の理由である。
—
堅牢なアカウントロック判定・解除スクリプト（プロダクションコード）
以下のコードは、エラーハンドリング（`On Error Resume Next` の正しい統制）、COMオブジェクトの適切な解放、そしてログ出力の基本を網羅した実戦投入可能なスクリプトだ。
メモ帳などに貼り付け、拡張子を `.vbs` として保存して実行してほしい。
Option Explicit
‘ ==============================================================================
定数・設定エリア
‘ ==============================================================================
Const TargetComputer = “.” ‘ “.” はローカルコンピュータ。ドメインの場合はドメイン名を指定
Const TargetUser = “Administrator” ‘ 調査・操作対象のユーザー名
Const ActionUnlock = True ‘ Trueに設定すると、ロックされていた場合に見つけ次第解除する
‘ ==============================================================================
‘ メイン処理
‘ ==============================================================================
Call CheckAndManageAccountLock(TargetComputer, TargetUser, ActionUnlock)
Sub CheckAndManageAccountLock(strComputer, strUser, blnUnlock)
Dim objUser
Dim isLocked
WScript.Echo “=== アカウントロック診断開始 ===”
WScript.Echo “対象パス: WinNT://” & strComputer & “/” & strUser
‘ VBScriptにおける厳格なエラー制御の開始
On Error Resume Next
‘ ADSIオブジェクトのバインド（WinNTプロバイダ使用）
Set objUser = GetObject(“WinNT://” & strComputer & “/” & strUser & “,user”)
‘ バインド失敗時（ユーザーが存在しない、ネットワーク不通など）のトラップ
If Err.Number <> 0 Then
WScript.Echo “[CRITICAL] ユーザーオブジェクトの取得に失敗しました。エラー: ” & Hex(Err.Number) & ” – ” & Err.Description
On Error GoTo 0
Exit Sub
End If
‘ IsAccountLocked プロパティの評価
‘ 注意: WinNTプロバイダのこのプロパティはBooleanを返す
isLocked = objUser.IsAccountLocked
If Err.Number <> 0 Then
WScript.Echo “[ERROR] ロック状態の読み取りに失敗しました（権限不足の可能性があります）。エラー: ” & Err.Description
On Error GoTo 0
Set objUser = Nothing
Exit Sub
End If
‘ 正常系エラートラップの解除
On Error GoTo 0
‘ 判定結果の出力
If isLocked Then
WScript.Echo “[WARNING] ステータス: アカウントは現在【ロックされています】。”
‘ 自動解除フラグが有効な場合の処理
If blnUnlock Then
WScript.Echo “[INFO] アカウントのロックを解除しています…”
On Error Resume Next
objUser.IsAccountLocked = False
objUser.SetInfo ‘ 変更を永続化（ADSIにおける必須メソッド）
If Err.Number <> 0 Then
WScript.Echo “[ERROR] ロック解除に失敗しました。エラー: ” & Err.Description
Else
WScript.Echo “[SUCCESS] アカウントのロック解除に成功しました。”
End If
On Error GoTo 0
End If
Else
WScript.Echo “[INFO] ステータス: アカウントは正常です（ロックされていません）。”
End If
‘ クリーンアップ（COMオブジェクトの明示的な解放）
Set objUser = Nothing
WScript.Echo “=== 診断終了 ===”
End Sub
—
開発現場のプロが解説する「絶対に押さべき3つの実装ポイント」
1. `objUser.SetInfo` の忘却はバグの温床
VBScriptでADSIオブジェクトのプロパティを変更する際、メモリ上の値を変えただけではOSに反映されない。
`objUser.IsAccountLocked = False` で書き換えた後、必ず `objUser.SetInfo` メソッドをコールし、Active DirectoryのデータベースまたはローカルSAMに対してコミット（永続化）させる必要がある。この作法を忘れると、「コードはエラーにならないのにロックが外れない」という不可解なバグに悩まされることになる。
2. 権限（Privilege）の壁
このスクリプトは、当然ながら管理者特権（Administrator権限）を要求する。
ドメイン環境で実行する場合は Domain Admins や Account Operators などの権限を持つアカウントでWSH（cscript.exe）を実行する必要がある。権限不足の環境で実行した場合、`GetObject` 自体は成功しても、`IsAccountLocked` の参照や `SetInfo` の実行時に「アクセスが拒否されました (Permission denied)」という致命的なエラーが発生するため、上述の `On Error Resume Next` によるトランザクション管理が不可欠となる。
3. オブジェクトのライフサイクル管理
VBScriptのガベージコレクションは非常に曖昧だ。スクリプトが肥大化・常駐化（タスクスケジューラでの定期実行など）する中で、`Set objUser = Nothing` によるメモリ解放を怠ると、COMコンポーネントのメモリリークを引き起こす。
「使い終わったオブジェクトは速やかに破棄する」――これはVBScriptプログラミングにおける鉄則である。
—
さらなる業務効率化へ向けて：ファイル・DB連携の拡張アイデア
上記のコードを単発で動かすだけでは、真の「業務自動化エンジニア」とは言えない。これを実務のシステムに組み込むための発展形を提示しよう。
1. CSV/Excel一括処理への拡張:
監視対象のユーザー名が記載されたリスト（CSV）を `FileSystemObject` (FSO) で読み込み、`For Each` ループで回しながら一括でロック状態をチェック・レポート化する。
2. Syslog / Windowsイベントログ連携:
ロックを検知した瞬間、`WScript.Shell` の `LogEvent` メソッドを使用して、Windowsのアプリケーションログに独自イベントとして書き出す。これにより、既存のSIEM製品や統合監視ツール（ZabbixやDatadogなど）からの検知が可能になる。
3. Teams / SlackへのWebhook通知:
VBScriptから `MSXML2.ServerXMLHTTP` オブジェクトを使用してチャットツールのAPIを叩き、「誰がロックされたか」を即座に通知する。
総括
VBScriptはレガシーな言語と揶揄されることもあるが、Windowsの根幹を成すAPI（ADSIやWMI）を最もダイレクトに、追加のランタイムインストールなしで叩ける「究極の軽量スクリプト環境」であることに変わりはない。
現場の泥臭い運用タスクをスマートにハックし、手作業をゼロにする。今回のスクリプトをあなたの武器庫に加え、インフラ運用の自動化を加速させてほしい。
