はじめに
Windows には、すべての端末に「ローカル管理者アカウント」が存在します。このアカウントのパスワードを全端末で同じにしていると、1台が攻撃されたとき、他の端末にも被害が広がってしまいます。Windows LAPS（ローカル管理者パスワード ソリューション）を使えば端末ごとに異なるパスワードを自動で生成・管理でき、Microsoft Intune と Microsoft Entra ID を組み合わせることで難しい設定なしに導入できます。
Windows LAPSとは
Windows LAPS（Windows ローカル管理者パスワードソリューション）は、Windowsに組み込まれたセキュリティ機能です。端末ごとに異なるローカル管理者パスワードを自動生成し、Microsoft Entra ID または Active Directory に安全にバックアップします。
情シス担当者が手動でパスワードを管理する必要がなくなり、次のような攻撃リスクを大幅に下げられます。
- Pass-the-Hash 攻撃:
パスワードのハッシュ値を使って別の端末に不正アクセスする攻撃 - ラテラルムーブメント:
1台の侵害から社内ネットワーク全体に横展開する攻撃
パスワードは設定した期間（既定30日）ごとに自動でローテーションされます。使用後に手動でリセットすることも可能です。
前提条件・必要権限
対応OS
- Windows 11（2023年4月11日以降の更新プログラム適用済み）
- Windows 10 バージョン 20H2 以降（同上）（※2025年10月サポート終了。新規導入は非推奨）
- Windows Server 2019 以降
ライセンス
- Microsoft Intune（Plan 1 以上）
- Microsoft Entra ID Free 以上
必要なロール
| 作業内容 | 必要なロール |
|---|---|
| Microsoft Entra で LAPS を有効化 | クラウド デバイス管理者 |
| Intune でポリシーを作成 | エンドポイント セキュリティ マネージャー |
| パスワードを表示・回復 | クラウド デバイス管理者 または Intune 管理者 |
手順1: Microsoft Entra でLAPSを有効化する
まず、Microsoft Entra 管理センターで LAPS 機能を有効にします。この設定はテナント全体に適用されます。
1-1. 「デバイス」メニューを開く
Microsoft Entra 管理センター にサインインします。左側メニューの「デバイス」をクリックします。
1-2. 「デバイスの設定」を開く
デバイスメニューが展開されたら、「デバイスの設定」をクリックします。
1-3. LAPSを「はい」に設定する
「Microsoft Entra Local Administrator Password Solution (LAPS) の有効化」の項目を探します。ラジオボタンを「はい」に切り替えます。
1-4. 「保存」をクリックする
画面上部の「保存」ボタンをクリックします。これでテナント全体で LAPS が有効になりました。
手順2: Intune でLAPSポリシーを作成する
次に、Microsoft Intune 管理センターでLAPSポリシーを作成します。ポリシーを割り当てた端末に対して、パスワードの自動管理が開始されます。
2-1. 「Endpoint security」を開く
Microsoft Intune 管理センター にサインインします。左側メニューの「Endpoint security」をクリックします。
2-2. 「アカウント保護」を選択する
エンドポイントセキュリティの管理メニューから「アカウント保護」をクリックします。
2-3.「ポリシーの作成」をクリックする
アカウント保護の画面が開いたら、上部にある「ポリシーの作成」ボタンをクリックします。
2-4. プロファイルを選択して「作成」をクリックする
プロファイルの作成パネルが表示されます。プラットフォームに「Windows
10 以降」、プロファイルに「Local admin password solution (Windows
LAPS)」を選択します。「作成」ボタンをクリックします。
2-5. 基本情報を入力して「次へ」をクリックする
ポリシーの名前と説明を入力します。名前は「LAPS-Policy」など、管理しやすい名前にしましょう。入力後、「次へ」をクリックします。
2-6. 構成設定（ポリシーの詳細設定）
「構成設定」タブでは、パスワードの詳細を設定します。主な設定項目は以下のとおりです。
| 設定項目 | 説明 | 推奨値 |
|---|---|---|
| バックアップ ディレクトリ | パスワードの保存先 | Microsoft Entra ID |
| パスワードの有効期限（日数） | パスワードのローテーション間隔 | 30日 |
| パスワードの長さ | 生成するパスワードの文字数 | 14文字以上 |
| パスワードの複雑さ | 使用する文字の種類 | 大文字・小文字・数字・特殊文字すべてを含む（最も強度が高い設定） |
| 認証後のアクション | パスワード使用後の処理 | パスワードをリセットしてサインアウト |
Tip: 「バックアップ ディレクトリ」を「Microsoft Entra ID」に設定すると、Intune 管理センターまたは Entra 管理センターからパスワードを確認できます。オンプレミス Active Directoryを使用している場合は「Windows Server Active Directory」を選択してください。
2-7. スコープタグ設定で「次へ」をクリックする
スコープタグ（管理範囲を限定するためのラベル）の設定画面が表示されます。必要に応じてスコープタグを追加します。不要な場合はそのまま「次へ」をクリックします。
2-8. 割り当てグループを設定して「次へ」をクリックする
ポリシーを適用するデバイスグループを選択します。「グループを追加」からLAPSを適用したいデバイスグループを追加し、「次へ」をクリックします。
2-9. 設定内容を確認して「Create」をクリックする
確認画面でポリシーの設定内容をチェックします。問題がなければ「Create」ボタンをクリックしてポリシーを作成します。
ポリシーが作成されると、割り当て先のデバイスに次回チェックイン時（最大8時間以内）に適用されます。
手順3: パスワードを確認する
LAPSポリシーが端末に適用されると、ローカル管理者パスワードが自動生成されます。パスワードの確認は2つの方法で行えます。
方法A: Intune 管理センターからパスワードを確認する
Intune 管理センターでデバイスを開き、デバイス管理メニューの「ローカル管理者パスワード」をクリックします。
「ローカル管理者パスワードの表示」ボタンをクリックします。
右側のパネルにパスワードが表示されます。コピーボタンをクリックしてパスワードをコピーします。
方法B: Microsoft Entra 管理センターからパスワードを確認する
複数デバイスのパスワードを管理したい場合は、Microsoft Entra 管理センターの「ローカル管理者パスワードの回復」機能が便利です。
「デバイス」メニューから「ローカル管理者パスワードの回復」をクリックします。
デバイス一覧が表示されます。対象デバイスの行にある「ローカル管理者パスワードの表示」リンクをクリックします。
右側パネルにパスワードが表示されたら、コピーアイコンをクリックして取得します。
セキュリティのヒント:
パスワードを確認した後は、「パスワードを今すぐローテーション」ボタンで即時リセットすることをお勧めします。使用済みパスワードを無効化することで、不正利用のリスクを下げられます。
まとめ
この記事では、Windows LAPS を Microsoft Entra ID と Intune を使って設定する方法を解説しました。
設定の流れを振り返ると、次の3ステップでした。
- Microsoft Entra 管理センター でテナント全体のLAPSを有効化
- Intune 管理センター でLAPSポリシーを作成してデバイスグループに割り当て
- Intune または Entra 管理センター からパスワードを確認
Windows LAPS を導入することで、手動のパスワード管理から解放されます。パスワードの使い回しによる横展開攻撃のリスクも大幅に減らすことができます。この記事が、LAPS導入の第一歩として役立てば幸いです。
まずは小規模なテストグループ（数台）でパイロット適用し、チェックイン後にパスワードが生成されていることを確認してから全社展開するのが安全です。
また、Entra 管理センターの監査ログで「ローカル管理者パスワードの回復」イベントを定期確認することで、不正利用の早期樣知にも役立てられます。
Windows LAPS は、情シス担当者がローカル管理者パスワードを個別管理する手間を省き、ラテラルムーブメント攻撃のリスクを下げる費用対効果の高い機能です。
YJK では Intune・Entra ID の初期設定から LAPS ポリシーの設計・検証まで対応しています。導入・設定でお困りの際はお気軽にご相談ください。