Windows資格情報マネージャーで保存したパスワードを表示・削除する方法

資格情報マネージャーが何をどこに保存するか

アプレットは「Web 資格情報」と「Windows 資格情報」に分かれます。Web側のペインには、Internet Explorerや古いChromium以前のEdgeが保存したログインに加え、一部のデスクトップツールが自分で書き込んだエントリーが置かれ、各エントリーにはサイト、ユーザー名、パスワードが表示され、「表示」リンクを押してWindowsの本人確認を済ませるとパスワードが明らかになります。Windows側のペインには、汎用資格情報——ネットワークドライブ、プリンター、Gitサーバー、VPNクライアント——が証明書ベースの資格情報やドメイン資格情報と並んで入ります。これらは一切表示できず、編集か削除のみです。それらを使うサービスのための作業素材として保存されているからです。

ディスク上では、保管庫はユーザープロファイル内にあります。%APPDATA%\Microsoft\Credentials と %LOCALAPPDATA%\Microsoft\Vault 配下の Vault フォルダーで、Windows DPAPIによりユーザーごとに暗号化されています。だからこそ、別アカウントから——あるいはそのアカウントが既に存在しないマシンから——コピーされた保管庫は読めないバイナリノイズと化しますし、バックアップの流れが.crdファイルを書き出す前にCtrl+Alt+Delを要求するのもそのためです。Chromium系ブラウザー（Edgeを含む）は独自のパスワード保存庫を持ち、ここには決して現れません。

• Web 資格情報：IEと旧Edgeが保存したログイン——パスワードは「表示」で見られる
• Windows 資格情報：共有、サーバー、証明書、アプリのログイン——表示不可
• 保管庫ファイルは %APPDATA%\Microsoft\Credentials と %LOCALAPPDATA%\Microsoft\Vault にあり、DPAPIで暗号化
• 資格情報のバックアップはCtrl+Alt+Del確認のうえ、持ち運べる.crdファイルを書き出す
• Chromium系ブラウザー（Chrome、新しいEdge）のパスワードは別の場所に保存され、ここには出ない

エントリーの表示、削除、バックアップ

スタートに 資格情報マネージャー と入力するか、コントロール パネル > ユーザー アカウント > 資格情報マネージャー から開きます。control /name Microsoft.CredentialManager は[ファイル名を指定して実行]から一発で飛べますし、rundll32.exe keymgr.dll,KRShowKeyMgr はコンパクトな旧ダイアログを開きます。Webのパスワードを見るには、エントリーを展開して「表示」をクリックし、本人確認を行います。エントリーを捨てるには——WebでもWindowsでも——展開して「削除」を押し、確認します。汎用資格情報には「編集」もあり、保存したパスワードが変わったときの即効薬です。削除して再追加するのではなく、古い値を上書きしましょう。

マシンを移行するときは、Windows側ペイン上部の「資格情報のバックアップ」が.crdファイルの保存まで案内します。通常はリムーバブルメディアへ。新しいPCでは「資格情報の復元」が、作成したアカウントのパスワードを求めたうえでファイルを読み戻します。.crdファイルは生のパスワードと同じ扱いにしてください。ファイルとWindowsのパスワードを持つ人なら誰でもインポートできるからです。また、ネットワーク共有やイントラネットサイトがしつこくログインを要求するときの古典的な犯人は、ユーザー名の違う古い汎用資格情報です。削除すれば、Windowsが改めて聞いてきます。

保管庫を選別すべきとき

職を離れるとき、マシンを同僚に引き渡すとき、もうアクセスしないサーバーのエントリーを見つけたときにリストを点検しましょう。生き残った資格情報はどれも、黙って動く鍵です。Web資格情報には、ブラウザー保存のパスワードと同じ懐疑を向けるべきです。パスワードのローテーション前、あるいは閉じたサービス時代のエントリーなら削除してください。そうすればアプリは、黙って古いログインを使うのではなく、新しい入力要求に立ち戻ります。この保管庫には予定された清掃が存在せず、それは意図的なものです。誠実なメンテナンスとは、自分の代わりに資格情報を削除するツールではなく、年に数回の5分間の手動点検です。

よくある質問

次に読む記事

すべての記事 · よくある質問