VBScriptを掌握する極限の知見：WinNTプロバイダとADSIが暴くローカルアカウントの深淵
レガシーシステムの維持、あるいは閉域網におけるエージェントレスなキッティング環境において、VBScriptとWSH（Windows Script Host）の価値はいまだに色あせていない。特に、サードパーティ製の管理エージェントを導入できない厳格なセキュリティ要件下では、Windows標準コンポーネントだけで完結するADSI（Active Directory Service Interfaces）のWinNTプロバイダは、システム管理者にとって最後の砦となる。
今回は、ローカルユーザーアカウントのパスワード有効期限を動的に算出し、期限切れが迫るアカウントを検出して警告を発する管理スクリプトの構築を通じて、WinNTプロバイダの挙動の裏側、COMオブジェクトのライフサイクル管理、そしてレガシー環境特有の罠を極限まで掘り下げる。
—
1. WinNTプロバイダのアーキテクチャと「見えないコスト」
ADSIを用いたローカルアカウントの操作において、多くの開発者は `WinNT://ComputerName/Username` というパス指定に依存する。しかし、このプロバイダの背後では、LSA（Local Security Authority）サブシステムに対するRPC（リモートプロシージャコール）が頻繁に発生している。
特に注意すべきは、ユーザーオブジェクトから取得できるプロパティの選定だ。
Active Directory環境とは異なり、ローカルのWinNTプロバイダでは、パスワードの有効期限そのものを直接保持する単一のプロパティが存在しない。代わりに以下の2つを組み合わせて算出する必要がある。
1. `PasswordAge`: パスワードが変更されてからの経過秒数（読み取り専用）
2. `UserFlags`: アカウントの有効無効、パスワード変更不可などのフラグを保持するビットマスク
パスワード有効期限の計算ロジックの罠
`PasswordAge` は「現在時刻から最後にパスワードが変更された時刻を引いた相対秒数」である。したがって、これを絶対的な有効期限日時に変換するには、スクリプト実行時のシステム時刻を基準に逆算しなければならない。
さらに、ドメインポリシーやローカルセキュリティポリシー（`secpol.msc`）で定義されている「パスワードの最大有効期間（Maximum Password Age）」は、WinNTプロバイダ経由ではコンピューターオブジェクトの直接の子プロパティとして取得できない場合がある。そのため、実運用スクリプトでは、ポリシー値をハードコーディングするか、WMI（`Win32_NetworkLoginProfile` や `Win32_NTDomain`）とのハイブリッドなアプローチを検討する必要がある。今回は、純粋なWinNTプロバイダの極限パフォーマンスにフォーカスし、ポリシー定数と `PasswordAge` の差分から残り日数を算出する手法をとる。
—
2. メモリ最適化とオブジェクト解放の鉄則
VBScriptのランタイム（`vbscript.dll`）は、COMオブジェクトの参照カウント方式によってメモリ管理を行っている。しかし、スクリプトホスト（`cscript.exe`）が終了するまでガベージコレクションが曖昧な挙動を示すことがあり、特にループ内でADSIオブジェクトを生成・破棄する処理ではメモリリーク（HRESULTの解放漏れ）が致命傷となる。
シニアエンジニアであれば常識だが、「オブジェクトの使い回し」と「明示的な `Nothing` 代入」を徹底しなければならない。
‘ 良い例：変数を再利用し、ループ内で無駄なインスタンス生成を避ける
Set objUser = GetObject(“WinNT://./Administrator,user”)
‘ 処理…
Set objUser = Nothing
—
3. 実装：ローカルアカウント有効期限監視スクリプト
以下のコードは、エラーハンドリング（`On Error Resume Next` の正しい封じ込め）、COMオブジェクトの厳密なライフサイクル管理、そしてShift-JIS/UTF-8環境を考慮したCscript出力制御を網羅した、現場投入可能なプロダクションコードである。
Option Explicit
‘ ==============================================================================
‘ Script Name: CheckLocalPasswordExpiration.vbs
‘ Description: WinNTプロバイダを使用したローカルアカウントのパスワード有効期限監視
‘ Architect: Chief Automation Engineer
‘ ==============================================================================
Const PASSWORD_MAX_AGE_DAYS = 90 ‘ パスワードの最大有効期間（ポリシーに合わせて変更）
Const WARNING_THRESHOLD_DAYS = 14 ‘ 警告を発報する残日数閾値
Call Main()
Sub Main()
Dim strComputerName, objComputer, objUser
Dim lngPasswordAgeSeconds, lngPasswordAgeDays, lngRemainingDays
Dim lngUserFlags, blnIsDisabled, blnPasswordCantChange, blnPasswordNeverExpires
Dim intWarningCount
intWarningCount = 0
strComputerName = CreateObject(“WScript.Network”).ComputerName
WScript.Echo “========================================================”
WScript.Echo ” Target Machine: ” & strComputerName
WScript.Echo ” Max Password Age: ” & PASSWORD_MAX_AGE_DAYS & ” Days”
WScript.Echo ” Warning Threshold: ” & WARNING_THRESHOLD_DAYS & ” Days”
WScript.Echo “========================================================”
On Error Resume Next
‘ コンピューターオブジェクトのバインド
Set objComputer = GetObject(“WinNT://” & strComputerName & “,computer”)
If Err.Number <> 0 Then
WScript.Echo “[CRITICAL] Failed to bind WinNT provider: ” & Err.Description
WScript.Quit(1)
End If
On Error GoTo 0
‘ フィルタを設定してユーザーオブジェクトのみを列挙
objComputer.Filter = Array(“user”)
For Each objUser in objComputer
‘ エラーリセット
Err.Clear
On Error Resume Next
‘ ユーザーフラグの取得 (AdsPath経由でのバインド遅延を防ぐため直接プロパティ参照)
lngUserFlags = objUser.UserFlags
If Err.Number = 0 Then
‘ ビットマスクによる属性判定
‘ ADS_UF_ACCOUNTDISABLE (0x0002)
blnIsDisabled = CBool(lngUserFlags And 2)
‘ ADS_UF_PASSWD_CANT_CHANGE (0x0040)
blnPasswordCantChange = CBool(lngUserFlags And 64)
‘ ADS_UF_DONT_EXPIRE_PASSWD (0x10000)
blnPasswordNeverExpires = CBool(lngUserFlags And 65536)
‘ 無効なアカウントやパスワード不変アカウントはスキップ
If Not blnIsDisabled And Not blnPasswordNeverExpires Then
‘ PasswordAgeの取得（秒単位）
lngPasswordAgeSeconds = objUser.PasswordAge
If Err.Number = 0 Then
lngPasswordAgeDays = Int(lngPasswordAgeSeconds / 86400)
lngRemainingDays = PASSWORD_MAX_AGE_DAYS – lngPasswordAgeDays
WScript.Echo “Account: ” & objUser.Name & _
” | Age: ” & lngPasswordAgeDays & ” days” & _
” | Remaining: ” & lngRemainingDays & ” days”
‘ 期限切れ、または警告閾値以下の場合
If lngRemainingDays <= WARNING_THRESHOLD_DAYS Then
Call EmitWarning(objUser.Name, lngRemainingDays)
intWarningCount = intWarningCount + 1
End If
Else
WScript.Echo "[WARNING] Could not retrieve PasswordAge for: " & objUser.Name
End If
End If
End If
On Error GoTo 0
' ループ内でのCOM参照解放はVBScriptのメモリ管理上、極めて重要
Set objUser = Nothing
Next
' 終了処理
Set objComputer = Nothing
WScript.Echo "--------------------------------------------------------"
WScript.Echo "Scan completed. Total warnings issued: " & intWarningCount
If intWarningCount > 0 Then
WScript.Quit(2) ‘ 警告あり終了コード
Else
WScript.Quit(0) ‘ 正常終了
End If
End Sub
‘ ——————————————————————————
‘ 警告発報プロシージャ（イベントログ出力や外部API連携へのフックポイント）
‘ ——————————————————————————
Sub EmitWarning(strUserName, lngDays)
Dim objShell
Set objShell = CreateObject(“WScript.Shell”)
‘ イベントログ（Application / Event ID: 1000）に警告を書き込む
‘ レガシー環境における監視システム（ZabbixやSCOM等）のログ監視と連携
If lngDays < 0 Then
objShell.LogEvent 1, "CRITICAL: Local user '" & strUserName & "' password has EXPIRED (" & Abs(lngDays) & " days ago)."
Else
objShell.LogEvent 2, "WARNING: Local user '" & strUserName & "' password will expire in " & lngDays & " days."
End If
Set objShell = Nothing
End Sub
---
4. シニアエンジニアが押さえるべき運用上の要諦
1. 実行権限の壁:
`PasswordAge` の読み取りや `UserFlags` の正確な評価には、ローカルの `Administrators` グループ、またはそれに準ずる権限（SYSTEM権限でのタスク実行など）が必須である。標準ユーザー権限で実行した場合、エラーも出ずにサイレントで不正確な値を返すか、アクセス拒否（Permission Denied）を引き起こすため注意せよ。
2. タスクスケジューラからのサイレント実行:
このスクリプトを運用に組み込む際は、GUIを介さずにバックグラウンドで完結させるため、必ず `cscript.exe` を明示して実行すること。
cscript.exe //Nologo CheckLocalPasswordExpiration.vbs
これにより、標準出力へのダンプがポップアップウィンドウを発生させずにストリーム処理され、統合監視基盤への流し込みが容易になる。
3. 現代のアーキテクチャへの橋渡し:
VBScriptはレガシーとされるが、その実態は「OSの奥底を直接叩ける超軽量ランタイム」である。PowerShellの起動オーバーヘッド（JITコンパイルやモジュールロードに要する数百ミリ秒〜数秒）すら許されない超高頻度・軽量タスクにおいては、依然としてVBScriptの物理的な実行速度とリソースの軽さは圧倒的なアドバンテージを持つ。
適材適所。その哲学を理解しているエンジニアにとって、このWinNTプロバイダを操るコードは、今なお強力な武器であり続ける。
