【アクティブユーザーロック判定】WinNTプロバイダを用いた Active Directory / ローカルアカウントのロック確認と解除
レガシーシステムの深部、あるいは厳格なセキュリティポリシーが敷かれたエンタープライズ環境において、VBScript（Visual Basic Scripting Edition）はいまだにインフラ自動化の最前線で静かに、しかし強靭に稼働し続けている。
特にActive Directory（AD）やローカルSAM（Security Accounts Manager）を対象としたアカウントロックの検知・運用において、COMコンポーネントのライフサイクルとLDAP/WinNTプロバイダの挙動を完全に掌握していなければ、メモリリークやハンナップといった致命的な障害を引き起こす。
今回は、`WinNT://`プロバイダを用いたアカウントのロック状態（`IsAccountLocked`）の判定、およびその解除処理に焦点を当て、プロダクション環境に耐えうる堅牢なスクリプト設計の極意を解説する。
—
1. アーキテクチャの選定：LDAP vs WinNTプロバイダ
AD環境において、ユーザーアカウントを操作する際、多くのエンジニアは`LDAP://`プロバイダを選択しがちだ。しかし、ローカルアカウント（`WinNT://ComputerName/…`）とドメインアカウントの両方を単一のインターフェースでシームレスに、かつ高速に処理したい場合、`WinNT`プロバイダに軍配が上がる。
特に`IsAccountLocked`プロパティは、WinNTプロバイダ経由でバインドした際に非常に軽量に動作する。ADのスキーマ拡張や複雑なDN（Distinguished Name）の解決をバイパスし、SAM/ADのシームレスな抽象化層へ直接アクセスできるためである。
—
2. 実装コード：エンタープライズ・アカウントロック監視＆自動解除スクリプト
以下のコードは、指定されたターゲット（ローカルマシンまたはドメイン）のユーザーアカウントを走査し、ロックされているアカウントを検知して自動解除、あるいはログ出力を行うプロダクション品質のVBScriptである。
‘ ==============================================================================
‘ Script Name: AccountLockMonitor.vbs
‘ Description: WinNTプロバイダを用いたアカウントロック検知・解除自動化
‘ Author: Chief Architect (Legacy Systems Division)
‘ ==============================================================================
Option Explicit
Const ADS_UF_ACCOUNTDISABLE = &H0002
Const ADS_UF_LOCKOUT = &H0010
‘ 実行パラメータの設定（環境に合わせて書き換えること）
‘ ローカルの場合: “WinNT://COMPUTERNAME”
‘ ドメインの場合: “WinNT://DOMAINNAME”
Dim targetPath
targetPath = “WinNT://CORP_DOMAIN”
Call Main()
Sub Main()
Dim objContainer, objUser
Dim lockedCount
lockedCount = 0
On Error Resume Next
‘ プロバイダへのバインド（ルートコンテナの取得）
Set objContainer = GetObject(targetPath)
If Err.Number <> 0 Then
WScript.Echo “[FATAL] コンテナへのバインドに失敗しました: ” & targetPath & ” (Error: ” & Hex(Err.Number) & “)”
Exit Sub
End If
On Error GoTo 0
‘ コンテナ内のオブジェクトをフィルター（Userのみを対象とする）
objContainer.Filter = Array(“User”)
WScript.Echo “[INFO] アカウントスキャンを開始します: ” & targetPath
WScript.Echo String(60, “-“)
For Each objUser in objContainer
‘ IsAccountLocked プロパティの評価
‘ ※環境や権限によってはErrトラップが必要な場合がある
On Error Resume Next
Dim isLocked
isLocked = objUser.IsAccountLocked
If Err.Number = 0 Then
If isLocked = True Then
lockedCount = lockedCount + 1
WScript.Echo “[LOCKED] 検出: ” & objUser.Name
‘ === 自動解除ロジックを有効にする場合は以下のコメントを外す ===
‘ objUser.IsAccountLocked = False
‘ objUser.SetInfo
‘ WScript.Echo ” -> アカウントロックを解除しました。”
‘ ==========================================================
End If
Else
‘ プロパティをサポートしていないオブジェクトやアクセス権不足のハンドリング
Err.Clear
End If
On Error GoTo 0
Next
WScript.Echo String(60, “-“)
WScript.Echo “[INFO] スキャン完了。ロック検出数: ” & lockedCount
‘ オブジェクトの明示的解放（メモリ管理の鉄則）
Set objUser = Nothing
Set objContainer = Nothing
End Sub
—
3. シニアエンジニアが押さえるべき実装の急所
① COMオブジェクトのライフサイクルとメモリリーク対策
VBScriptのガベージコレクションは参照カウント方式（Reference Counting）に依存している。特に`For Each`ループ内で次々とバインドされるCOMオブジェクトは、スコープを抜けるまでメモリ上に残存しやすい。
数千を超えるユーザーを持つ巨大なActive Directoryドメインを走査する場合、ループ内で生成されるCOMラッパーがメモリを圧迫し、WScript.exeがメモリリークを起こす原因となる。
これを防ぐため、ループ変数やコンテナオブジェクトは処理終了後に必ず `Set obj = Nothing` によって明示的に解放し、プロセス空間への負荷を最小化する必要がある。
② 権限昇格（Elevation）とセキュリティコンテキスト
`IsAccountLocked` の読み取りおよび書き込み（`False`を代入してのロック解除）には、対象ドメインまたはローカルマシンの管理者権限（Domain Admins または Local Administrators）が必須である。
タスクスケジューラから本スクリプトをバッチ実行する際は、「最高特権で実行する」にチェックを入れることはもちろん、実行ユーザーの権限剥奪によるアクセス拒否（Error `0x80070005: アクセスが拒否されました`）に対する例外ハンドリングを強固に実装しなければならない。
③ キャッシュとレプリケーション遅延の罠
Active Directory環境において、アカウントロックを解除した直後に再度判定を行うと、ADのマルチマスターレプリケーション遅延やDC（ドメインコントローラー）のキャッシュにより、状態が即座に反映されない場合がある。
大規模環境のスクリプト連携においては、操作後に数秒のウェイト（`WScript.Sleep`）を挟むか、特定の信頼できるDCを指定してバインドする（例: `WinNT://DC01/Username`）といったアーキテクチャ上の配慮が求められる。
—
総括
VBScriptは「レガシー」の代名詞として語られがちだが、OSの根幹を成すWin32/COMレイヤーへ最もダイレクトに、かつ余計なランタイムの依存なしにアクセスできる極めてスパルタンな言語である。
インフラの自動化において、最新の言語が常に最適解とは限らない。APIの挙動、メモリモデル、そして権限管理の本質を理解していれば、VBScriptは今なお現場の信頼に足る強靭な武器であり続ける。
