Windows LAPSの設定

日々の業務で、ユーザーにWindows端末の管理者権限を与えるのは不安ですよね。特に、セキュリティの観点から恒常的に管理者権限を持たせることは避けたいものです。しかし、ソフトウェアのインストールやドライバの管理といった場面では、一時的にローカル管理者権限が必要になることもあります。そんなときに役立つのがWindows Local Administrator Password Solution（LAPS）です。LAPSは、必要に応じて安全に管理者権限を付与し、適切なタイミングで自動的に管理をリセットできる強力なソリューションです。

Windows LAPSとは

Windows Local Administrator Password Solution（LAPS）は、各デバイスのローカル管理者パスワードを安全に自動生成・更新し、Entra IDやIntuneを介してクラウドベースで管理できるソリューションです。特に、クラウドとオンプレミス環境の統合管理が求められる場面で効果を発揮します。

メリット

1. クラウドによる集中管理: Entra IDとIntuneを使って、オンプレミスのActive Directoryを使用せずに、すべてのデバイスのパスワードをクラウド経由で管理します。
2. セキュリティの強化: 各デバイスのローカル管理者パスワードが個別に生成され、パスワードの漏洩や不正アクセスを防ぎます。また、Intuneを利用して管理することで、パスワードのリセットや更新がリモートから可能です。
3. コンプライアンス遵守: 自動的にパスワードを定期更新し、監査ログを通じてパスワードの使用履歴を追跡できるため、セキュリティコンプライアンスを維持します。
4. 操作の自動化: Entra IDとIntuneを通じてグループポリシーを簡単に適用し、パスワード管理を自動化できるため、手動管理の煩雑さがなくなります。

前提条件

1. Entra ID（旧Azure AD）統合: デバイスはEntra IDに登録され、クラウドベースのアイデンティティ管理が設定されている必要があります。
2. Intune登録: Intuneを使ってデバイス管理を行うため、すべての対象デバイスがIntuneに登録されている必要があります。
3. Windows OSの互換性: Windows LAPSはWindows 10以降のOSに対応しているため、対象デバイスは対応OSであることが求められます。
4. グループポリシーの構成: Intuneを介してLAPSに必要な設定を展開するために、Intuneでデバイスに適切な設定ポリシーを構成する必要があります。

設定方法

以下の手順に従って、Windows LAPSの設定を進めていきます。

1. 新しいローカル管理者アカウントの作成
2. テナントでWindows LAPSを有効化
3. Entra Join時にユーザーを標準ユーザーに変更
4. 作成したローカル管理者をPCの「administratos」に登録
5. Windows LAPSの構成設定

新しいローカル管理者アカウントの作成

Intune管理のデバイスページのWIndowsの構成からポリシーを作成します。作成するポリシーは「テンプレート」の「カスタム」になります。

プロファイルの作成 – Microsoft Intune 管理センター

下記のようにOMI-URIを記入します。名前などはわかりやすいものを設定してください。

OMI-URI:./Device/Vendor/MSFT/Accounts/Users/***********/Password
***********部分には作成したいアカウント名を入れます。localadminとか
データ型：文字列
値：初期パスワード。（Windowsの制限にかかわらないように複雑性が必要です）

割当は、ユーザグループでもデバイスグループでも可能です。

テナントでWindows LAPSを有効化

EntraIDのデバイス設定でLAPSの有効化を行います。
デバイス – Microsoft Azure
こちらにアクセスして、「Microsoft Entra Local Administrator Password Solution (LAPS) の有効化」を有効化します。

Entra Join時にユーザーを標準ユーザーに変更

続けて、同じページで「登録するユーザーは、Microsoft Entra 参加の間にそのデバイス上のローカル管理者として追加されます (プレビュー)」を「なし」に設定します。これによりEntraJoinをしたとき、ユーザが一般ユーザとしてコンピュータに登録されます。必要に応じて「グローバル管理者ロールは、Microsoft Entra 参加の間にそのデバイス上のローカル管理者として追加されます (プレビュー)」は「はい」にしておきましょう。

作成したローカル管理者をPCの「administrators」に登録

先程の作成したローカルアカウント（ここではlocaladmin）をユーザに配布しているPCのAdministratorsのグループに所属させます。
Intuneのエンドポイントセキュリティのアカウント保護からポリシーを作成します。
エンドポイント セキュリティ – Microsoft Intune 管理センター

ローカルユーザーグループメンバーシップを選択し、ポリシーに名前をつけてください。

下記のように設定します。

ローカルグループ：管理者
グループとユーザのアクション：追加（更新）
ユーザの選択：手動
選択されたユーザ：localadmin（手順１で作成したローカルアカウント）

Windows LAPSの構成設定

プロファイルの作成 – Microsoft Intune 管理センターのエンドポイントセキュリティのアカウント保護から、新しいポリシーを作成し、LAPSを稼働させます。

希望の動作に合わせて下記のように設定します。管理者のアカウント名は手順１で作成したアカウントを入力してください。パスワード有効期間は短いほうがユーザに提供したあと速やかに無効にすることができます。

ローカル管理者のパスワード確認方法

Intuneのデバイスページの端末の「ローカル管理者パスワード」で最新のパスワードを確認することができます。端末ごとに異なります。
ユーザに管理権限を渡さないといけないときにはこのパスワードと作成したローカルアドミンアカウントを提供することで期限付きの管理権限を提供することができます。

払い出しの運用をどう設計するか

設定が終わったあとに残るのは、実際に誰がどうやってパスワードを利用者に渡すかという運用の問題です。Windows LAPS のパスワードを復元できるのは、Microsoft Entra ID の組み込みロールのうち Cloud Device Administrator と Intune Administrator、およびグローバル管理者に限られます。ヘルプデスク管理者やセキュリティ閲覧者は、デバイス名や最終ローテーション日といったメタデータは確認できますが、パスワード本体は確認できません。

つまり利用者が管理者権限を必要とするたびに、上位のロールを持つ担当者への依頼が発生します。台数と依頼の件数が増えるほど、情報システム部門の作業が増えます。

3つの選択肢

1. 都度依頼で運用する: 利用者からの依頼を情報システム部門が受け、Intune でパスワードを確認して伝えます。依頼が月に数件であれば、この方法で足ります。
2. パスワードを復元できる担当者を増やす: 依頼を受ける人数を増やして待ち時間を減らします。ただし復元権限は全社の端末に及ぶため、付与する人数だけリスクが増えます。Microsoft Entra ID P1 または P2 があれば、カスタムロールと管理単位を組み合わせて対象範囲を絞れます。復元権限を持つロールに条件付きアクセスを適用することもできます。
3. 申請の窓口を用意する: 利用者が自分で申請し、発行の記録が残る形にします。担当者の作業は承認だけになり、依頼のやり取りがなくなります。ただし Windows LAPS の標準機能に利用者向けの申請画面はないため、Power Automate などで自作するか、専用のアプリを用意することになります。

当社では3つ目の方法にあたるLAPSパスワード払い出し申請という法人向けの Web アプリを提供しています。社員がブラウザから自分の端末のパスワードを申請でき、発行の記録が残ります。

記録の残し方を決めておく

Microsoft Entra ID の監査ログには、パスワードの復元が Recover device local administrator password、更新が Update device local administrator password として記録されます。Microsoft Entra 管理センターの ID から デバイス、概要と進み、監査ログのアクティビティで絞り込むと確認できます。

ただしこの記録が示すのは、管理者がパスワードを取り出したという事実だけです。誰に、どんな目的で渡したかは残りません。監査で問われるのは後者なので、依頼の内容と受け渡しの記録は別に残す必要があります。あわせて、利用者が作業を終えたあとにパスワードをローテーションする手順も決めておきます。