Intune – LAPS(ローカル管理者パスワードの管理）の適用　動作確認

デバイスにトラブルが起きたとき、ローカル管理者アカウントでサインインしたい場面があります。ただ、デバイスごとにローカル管理者のパスワードを管理するのは手間がかかるため、全台で同じパスワードを使っている環境も少なくありません。

この状態で1台のパスワードが漏れると、同じ資格情報で他のデバイスにも入られ、被害が一気に広がります。この記事では、Entra 参加した Windows デバイスに Intune から Windows LAPS（Local Administrator Password Solution）を適用し、デバイスごとにパスワードを自動生成して Entra ID にバックアップする動きを確かめます。

Windows LAPS の仕組みと前提

Windows LAPS は Windows に組み込まれた機能で、ローカル管理者アカウントのパスワードを自動で生成し、決まった間隔で変更（ローテーション）して、ディレクトリにバックアップします。バックアップ先は Microsoft Entra ID かオンプレミスの Active Directory のどちらか一方です。今回は Entra 参加のデバイスなので、Entra ID にバックアップします。

Intune は LAPS の設定（バックアップ先、パスワードの長さや有効期間など）をポリシーとして配信します。デバイスはその設定に従ってパスワードを作り、Entra ID に保存します。管理者は Entra 管理センターか Intune 管理センターでパスワードを確認できます。

検証の構成

Entra 参加し Intune に登録した Windows 11 のデバイス「Win11-3」を使います。ポリシーは「セキュリティ適用グループ」に割り当て、Win11-3 をこのグループのメンバーにしています。設定は次の3つです。

LAPS の設定

Entra ID で LAPS を有効にする

Microsoft Entra 管理センター（https://entra.microsoft.com/）で、ID ›› デバイス ›› すべてのデバイス ›› デバイスの設定 を開きます。「Microsoft Entra Local Administrator Password Solution (LAPS) の有効化」を「はい」にして、「保存」をクリックします。

この設定は、少なくともクラウド デバイス管理者のロールで行います。現在の Entra 管理センターでは、メニューの道筋は Entra ID ›› デバイス ›› 概要 ›› デバイスの設定 のように表示が変わっています。

ローカル管理者アカウントを有効にする（Intune）

Windows の組み込みの Administrator アカウントは、既定では無効になっています。LAPS は無効のアカウントのパスワードも管理しますが、サインインに使うにはアカウントを有効にしておく必要があります。今回は Intune の構成プロファイル（設定カタログ）で有効にします。

Microsoft Intune 管理センター（https://intune.microsoft.com/）で、デバイス ›› プラットフォーム別 ›› Windows ›› 構成プロファイル を開き、作成 ›› 新しいポリシー をクリックします。プラットフォームとプロファイルの種類を選び、「作成」をクリックします。

「構成設定」で「設定の追加」をクリックすると、設定ピッカーが開きます。カテゴリから「ローカル ポリシー セキュリティ オプション」を選び、「アカウント: 管理者アカウントの状態を有効にする」にチェックを入れて、設定ピッカーを閉じます。

追加した設定を「有効」にして、「次へ」をクリックします。

「スコープ タグ」は何も設定せず、「次へ」をクリックします。「割り当て」で「グループの追加」をクリックし、「セキュリティ適用グループ」を選んで「選択」をクリックします。

「確認および作成」で、名前と「アカウント: 管理者アカウントの状態を有効にする：有効」を確認し、「作成」をクリックします。

LAPS のポリシーを作る（アカウント保護）

Intune 管理センターで エンドポイント セキュリティ ›› アカウント保護 を開き、「ポリシーの作成」をクリックします。プラットフォームとプロファイルを選び、「作成」をクリックします。名前は「ローカル管理者パスワードの設定」にしました。

「構成設定」で、パスワードのバックアップ先と管理するアカウントを指定します。Entra 参加のデバイスなので、バックアップ先は Entra ID（画面の表記は Azure AD）にします。管理者のアカウント名には「Administrator」を指定し、そのほかは既定値のまま「次へ」をクリックします。

構成していない項目には、Windows LAPS の既定値が使われます。主な既定値は次のとおりです。

「スコープ タグ」は何も設定せず「次へ」、「割り当て」では STEP 2 と同じく「セキュリティ適用グループ」を追加して「次へ」をクリックします。「確認および作成」で内容を確認し、「作成」をクリックします。

動作確認

デバイスを同期する

ポリシーを早く反映させるため、デバイス ›› すべてのデバイス で Win11-3 を開き、「同期」をクリックして、確認のメッセージで「はい」をクリックします。

デバイス側の LAPS は、1時間ごとに現在のポリシーを処理します。すぐに処理させたい場合は、デバイスの管理者権限の PowerShell で Invoke-LapsPolicyProcessing を実行します。

ローカル管理者のパスワードを確認する

Entra ID にパスワードがバックアップされたかを確認します。Entra 管理センターで ID ›› デバイス ›› すべてのデバイス ›› ローカル管理者パスワードの回復 を開くと、Win11-3 が一覧に表示されていました。「ローカル管理者パスワードの表示」をクリックすると、アカウント名やローテーションの日時が表示されます。「Show」をクリックすると、パスワードの文字列も確認できます。

パスワードを見られるのは、Entra のクラウド デバイス管理者や Intune 管理者のロールを持つアカウントです。パスワードは見ずに、デバイス名やローテーションの日時だけを確認できるロール（ヘルプデスク管理者、セキュリティ閲覧者など）もあります。パスワードの更新や回復（表示）の操作は Entra ID の監査ログに残り、アクティビティ「Recover device local administrator password」などで検索できます。

パスワードは Intune 管理センターからも確認できます。デバイス ›› Windows で Win11-3 を開き、モニター ›› ローカル管理者パスワード をクリックすると、Entra ID と同じ内容が表示されます。

ローカル管理者でサインインする

Win11-3 のサインイン画面で「他のユーザー」を選び、アカウント名「Administrator」と、確認したパスワードを入力します。

サインインできました。PowerShell で whoami を実行すると、ローカルのアカウント（デバイス名\administrator）でサインインしていることがわかります。

PS C:\Users\Administrator>PS C:\Users\Administrator> whoami1win11-3\administratorPS C:\Users\Administrator>

既定の設定では、LAPS が管理するアカウントでサインインすると、24時間の猶予のあとにパスワードがリセットされ、そのアカウントはサインアウトされます（図11）。同じパスワードを使い回せないようにするための動きです。サインアウトでは作業中のデータが失われることがあるので、長い作業をするときは注意します。

適用状況を確認する

Intune 管理センターで エンドポイント セキュリティ ›› アカウント保護 を開き、作成したポリシー「ローカル管理者パスワードの設定」をクリックします。「デバイスとユーザーのチェックイン状態」で「成功」がカウントされていることを確認し、「レポートの表示」をクリックすると、デバイスごとの状態が表示されます。

うまくいかないときの確認ポイント

LAPS のイベントログは、イベント ビューアーの アプリケーションとサービス ログ ›› Microsoft ›› Windows ›› LAPS ›› Operational にあります。処理の開始は 10003、終了は 10004、失敗は 10005 で記録され、Entra ID へのパスワードの更新に成功すると 10029 が記録されます。

まとめ

LAPS を使えば、デバイスごとに違うパスワードが自動で作られ、定期的に変わります。共通パスワードを使い続けるリスクをなくしつつ、必要なときだけ管理者がパスワードを取り出せる運用にできます。

関連記事：IntuneとMicrosoft Defenderで攻撃面縮小（ASR）を実現する手順と検証方法／Defender for Endpoint をIntuneからオンボーディングする