Microsoft Intune を使用して Windows LAPS ポリシーを展開する

Microsoft Intune で管理する Windows デバイスで Windows ローカル管理者パスワード ソリューション (Windows LAPS) を管理する準備ができたら、この記事の情報は、Intune 管理センターを使用して次のことを行うのに役立ちます:

  • Intune LAPS ポリシーを作成してデバイスに割り当てます。
  • デバイスのローカル管理者アカウントの詳細を表示します。
  • マネージド アカウントのパスワードを手動でローテーションします。
  • LAPS ポリシーのレポートを使用する。

ポリシーを作成する前に、以下の Windows LAPS の Microsoft Intune サポートの情報をよく理解しておいてください。

  • Intune の Windows LAPS ポリシーと機能の概要。
  • LAPS に Intune ポリシーを使用するための前提条件。
  • LAPS ポリシーを管理するためにアカウントに必要なロールベースの管理制御 (RBAC) アクセス許可。
  • Intune LAPS ポリシーの構成と使用についての洞察を提供する、よく寄せられる質問。

適用対象:

  • Windows

ヒント

Windows LAPS の Intune のサポートは、macOS LAPS の Intune の実装と似ていますが、異なります。 Intune の macOS LAPS の詳細については、「LAPS を使用した macOS ローカル アカウントの構成」を参照してください。

Intune LAPS ポリシーについて

Intune では、エンドポイント セキュリティ アカウント保護ポリシーのローカル管理者パスワード ソリューション (Windows LAPS) プロファイルを通じて、デバイスでの Windows LAPS の構成がサポートされています。

Intune ポリシーでは、Windows LAPS 構成サービス プロバイダー (CSP) を使用して LAPS を管理します。 Windows LAPS CSP 構成は、GPO や従来の Microsoft LAPS ツールなど、他の LAPS ソースからの既存の構成よりも優先され、上書きされます。

Windows LAPS では、デバイスごとに 1 つのローカル管理者アカウントを管理できます。 Intune ポリシーでは、ポリシー設定の [管理者アカウント名] を使用して、適用されるローカル管理者アカウントを指定できます。 ポリシーで指定されたアカウント名がデバイスに存在しない場合、アカウントは管理されません。 ただし、 管理者アカウント名 を空白のままにすると、ポリシーは既定で、よく知られた相対識別子 (RID) によって識別されるデバイスの組み込みローカル管理者アカウントになります。

注:

ポリシーを作成する前に、テナントで Intune が Windows LAPS をサポートするための前提条件が満たされていることを確認してください。

Intune の LAPS ポリシーでは、新しいアカウントやパスワードは作成されません。 代わりに、デバイス上に既にあるアカウントを管理します。

LAPS ポリシーは慎重に構成および割り当ててください。 Windows LAPS CSP では、デバイス上の LAPS 設定ごとに 1 つの構成がサポートされています。 競合する設定を含む複数の Intune ポリシーを受け取るデバイスは、ポリシーの処理に失敗する可能性があります。 競合があると、管理されたローカル管理者アカウントとパスワードをテナント ディレクトリにバックアップできなくなる可能性があります。

潜在的な競合を減らすために、ユーザー グループではなくデバイス グループを通じて各デバイスに単一の LAPS ポリシーを割り当てることをお勧めします。 LAPS ポリシーではユーザー グループの割り当てがサポートされますが、別のユーザーがデバイスにサインインするたびに LAPS 構成が変更されるサイクルが発生する可能性があります。 ポリシーが頻繁に変更されると、競合が発生したり、デバイスが要件に準拠していないり、デバイスのどのローカル管理者アカウントが現在管理されているのかをめぐる混乱が生じる可能性があります。

LAPS ポリシーを作成する

重要

「Microsoft Entra ID を使用して Windows LAPS を有効にする」ドキュメントで説明されているように、Microsoft Entra で LAPS が有効になっていることを確認します。

LAPS ポリシーを作成または管理するには、アカウントに セキュリティ ベースライン カテゴリから該当する権限が必要です。 既定では、これらのアクセス許可は組み込みロールの エンドポイント セキュリティ マネージャーに含まれています。 カスタム ロールを使用するには、カスタム ロールに セキュリティ ベースライン カテゴリからの権限が含まれていることを確認します。 「 LAPS の役割ベースのアクセス制御」を参照してください。

ポリシーを作成する前に、 Windows LAPS CSP ドキュメントで使用可能な設定の詳細を確認できます。

  1. Microsoft Intune 管理センターにサインインし、[エンドポイントのセキュリティ>アカウント保護] に移動し、[ポリシーの作成] を選択します。

    管理センターで LAPS ポリシーを作成する場所を示すスクリーンショット。

    [ プラットフォーム ] を [Windows] に、 [ プロファイル] を [ローカル管理者パスワード ソリューション (Windows LAPS)] に設定し、[ 作成] を選択します。

  2. [ 基本] に、次のプロパティを入力します。

    • 名前: プロファイルのわかりやすい名前を入力します。 後で簡単に識別できるようにプロファイルに名前を付けます。
    • 説明: プロファイルの説明を入力します この設定は省略可能ですが、おすすめされています。

  3. [ 構成設定] で、[ バックアップ ディレクトリ] の選択を構成して、ローカル管理者アカウントのバックアップに使用するディレクトリの種類を定義します。 アカウントとパスワードをバックアップしないように選択することもできます。 ディレクトリの種類によって、このポリシーで使用できる追加設定も決まります。

    [バックアップ ディレクトリ] 設定のオプションを示すスクリーン ショット。

    重要

    ポリシーを設定するときは、ポリシー内のバックアップディレクトリタイプが、ポリシーが割り当てられているデバイスの参加タイプでサポートされている必要があることに注意してください。 たとえば、ディレクトリを Active Directory に設定し、デバイスがドメインに参加していない (ただし、Microsoft Entra のメンバーである) 場合、デバイスはエラーなしで Intune からのポリシー設定を適用できますが、デバイスの LAPS はその構成を使用してアカウントをバックアップできません。

    バックアップディレクトリを構成した後、使用可能な設定を確認して、organizationの要件を満たすように構成します。

  4. [スコープ タグ] ページで、適用するスコープ タグを選択し、[次へ] を選択します。

  5. [ 割り当て] で、このポリシーを受け取るグループを選択します。 デバイス グループには LAPS ポリシーを割り当てることをお勧めします。 ユーザー グループに割り当てられたポリシーは、デバイス間でユーザーに従います。 デバイスのユーザーが変更されると、新しいポリシーがデバイスに適用され、デバイスがバックアップするアカウントや、管理対象アカウントのパスワードが次にローテーションされるタイミングなど、一貫性のない動作が発生する可能性があります。

    注:

    すべての Intune ポリシーと同様に、新しいポリシーがデバイスに適用されると、Intune はそのデバイスにポリシーをチェックして処理するように通知しようとします。

    デバイスが Intune に正常にチェックインし、LAPS ポリシーを正常に処理するまで、その管理対象ローカル管理者アカウントに関するデータを管理センター内から表示または管理することはできません。

    プロファイルの割り当ての詳細については、ユーザーおよびデバイス プロファイルの割り当てに関するページを参照してください。

  6. [ レビュー + 作成] で、設定を確認し、[ 作成] を選択します。 [作成] を選択すると、変更内容が保存され、プロファイルが割り当てられます。 ポリシーは、ポリシー リストにも表示されます。

デバイス操作の状態を表示する

エンドポイント セキュリティ ワークロード内のすべてのポリシー テンプレートに権限を付与するセキュリティ ベースライン アクセス許可に相当するアクセス許可がアカウントにある場合は、Intune 管理センターを使用して、デバイスに対して要求されたデバイス操作の状態を表示できます。

詳細については、「 LAPS の役割ベースのアクセス制御」を参照してください。

  1. Microsoft Intune 管理センターで、[デバイス>すべてのデバイス] に移動し、ローカル管理者アカウントをバックアップする LAPS ポリシーが設定されているデバイスを選択します。 Intune には、そのデバイスの概要ウィンドウが表示されます。

  2. デバイスの概要ウィンドウでは、 デバイス アクションの状態を表示できます。 以前に要求されたアクションと保留中のアクションが表示されます。これには、要求の時刻、アクションの失敗や成功などが含まれます。 次のスクリーンショットの例では、デバイスのローカル管理アカウントのパスワードが正常に回転しています。

    デバイスのデバイス操作状態を示すスクリーンショット。1 つの操作が完了し、現在の操作が保留中です。

  3. 一覧から操作を選択すると、[ デバイス アクション の状態] ウィンドウが開き、その操作に関する追加の詳細を表示できます。

アカウントとパスワードの詳細を表示する

アカウントとパスワードの詳細を表示するには、アカウントに次のいずれかの Microsoft Entra アクセス許可が必要です。

  • microsoft.directory/deviceLocalCredentials/password/read
  • microsoft.directory/deviceLocalCredentials/standard/read

次の方法を使用して、アカウントにこれらのアクセス許可を付与します。

これらのアクセス許可を付与するカスタム ロールを Microsoft Entra ID で作成して割り当てます。 Microsoft Entra ドキュメントの「Microsoft Entra ID でカスタム ロールを作成して割り当てる」を参照してください。

詳細については、「 LAPS の役割ベースのアクセス制御」を参照してください。

  1. Microsoft Intune 管理センターで、[デバイス>すべてのデバイス> に移動し、Windows デバイスを選択して概要ウィンドウを開きます。

    [概要] ウィンドウから、デバイスの デバイス アクションの状態を表示できます。 状態には、パスワードの循環など、現在および過去のアクションが表示されます。

  2. デバイスの概要ウィンドウの モニターの下にある [ ローカル管理者パスワード] を選択します。 アカウントに十分なアクセス許可がある場合は、デバイスの [ローカル管理者パスワード] ウィンドウが開きます。これは、Azure portal 内から使用できるのと同じビューです。

    Windows デバイスのローカル管理者パスワード ウィンドウを示すスクリーンショット。

    次の情報は、管理センター内から表示できます。 ただし、ローカル管理者パスワードは、アカウントが Microsoft Entra にバックアップされている場合にのみ表示できます。 オンプレミスの Active Directory (Windows Server Active Directory) にバックアップされているアカウントでは表示できません。

    • アカウント名 – デバイスからバックアップされたローカル管理者アカウントの名前。
    • セキュリティ ID – デバイスからバックアップされるアカウントの既知の SID。
    • ローカル管理者パスワード – 既定では隠されています。 アカウントにアクセス許可がある場合は、[ 表示 ] を選択してパスワードを表示できます。 これで、[ コピー] オプションを使用して、パスワードをクリップボードにコピーできます。 この情報は、オンプレミスの Active Directory にバックアップするデバイスでは利用できません。
    • 前回のパスワードのローテーション – UTC で、ポリシーによってパスワードが最後に変更またはローテーションされた日時。
    • 次のパスワードのローテーション – UTC で、ポリシーごとにパスワードがローテーションされる次の日時。

デバイス アカウントとパスワード情報を表示する際の考慮事項を次に示します。

  • ローカル管理者アカウントのパスワードを取得する (表示) すると、 監査イベントがトリガーされます。

  • 次のデバイスのパスワードの詳細は表示できません:

    • ローカル管理者アカウントがオンプレミスの Active Directory にバックアップされているデバイス
    • Active Directory を使用してアカウント パスワードをバックアップするように設定されているデバイス。

パスワードを手動で回転させる

LAPS ポリシーには、アカウント パスワードを自動的にローテーションするスケジュールが含まれています。 スケジュールされたローテーションに加えて、ローカル管理者パスワードを回転させる の Intune デバイス アクションを使用して、デバイスの LAPS ポリシーで設定されたローテーション スケジュールとは無関係にデバイス パスワードを手動でローテーションできます。

このデバイス アクションを使用するには、アカウントに次の 3 つの Intune アクセス許可が必要です。

  • 管理対象デバイス: 読み取り
  • 組織: 読み取り
  • リモート タスク: ローカル管理パスワードを回転させる

「 LAPS の役割ベースのアクセス制御」を参照してください。

パスワードを交換するには

  1. Microsoft Intune 管理センターで、[デバイス>すべてのデバイス] に移動し、回転するアカウントを持つ Windows デバイスを選択します。

  2. デバイスの詳細を表示しているときに、メニュー バーの右側にある省略記号 (...) を展開して使用可能なオプションを表示し、[ローカル管理者パスワードの回転] を選択します。

    デバイス アクションの展開されたメニュー オプションを示すスクリーン ショット。

  3. [ローカル管理者パスワードの回転] を選択すると、Intune はパスワードを回転する前に確認を必要とする警告を表示します。

    パスワードをローテーションする意図を確認すると、Intune によってプロセスが開始されます。完了するまでに数分かかる場合があります。 この間、デバイスの詳細ウィンドウには、アクションが保留中であることを示すバナーとデバイス操作の状態が表示されます。

回転が成功すると、確認は [デバイス アクション] ステータスに [完了] と表示されます。

手動でのパスワードのローテーションに関する考慮事項を次に示します。

  • ローカル管理者パスワードの回転デバイス アクションはすべての Windows デバイスで使用できますが、アカウントとパスワード データのバックアップが正常に完了していないデバイスは、回転要求を完了できません。

  • 手動ローテーションを試行するたびに 、監査イベントが発生します。 スケジュールされたパスワード ローテーションでも、監査イベントがログに記録されます。

  • パスワードを手動でローテーションすると、次にスケジュールされているパスワード ローテーションまでの時間がリセットされます。 次にスケジュールされたローテーションまでの時間は、LAPS ポリシーの PasswordAgeDays 設定を通じて管理されます。

    方法は以下のとおりです。デバイスは 3 月 1 日にポリシーを受け取り、 PasswordAgeDays を 10 日に設定します。 その結果、デバイスは 10 日後の 3 月 11 日にパスワードを自動的にローテーションします。 3 月 5 日に、管理者は手動でデバイスのパスワードと、 PasswordAgeDays の開始日を 3 月 5 日にリセットするアクションをローテーションします。 その結果、デバイスは 10 日後の 3 月 15 日にパスワードを自動的にローテーションします。

  • Microsoft Entra に参加しているデバイスの場合、手動ローテーションが要求された時点でデバイスがオンラインである必要があります。 要求時にデバイスがオンラインでない場合は、失敗します。

  • パスワードのローテーションは 、一括アクションとしてサポートされていません。 一度に回転できるデバイスは 1 つだけです。

ポリシーの競合を回避する

次の詳細は、競合を回避し、LAPS ポリシーによって管理されるデバイスから予想される動作を理解するのに役立ちます。

成功したポリシーを持つデバイスに、競合を引き起こす 2 つ以上のポリシーが割り当てられている場合:

  • デバイスで使用されていた設定は、最後に設定された値のままデバイスに残ります。 元のポリシーと新しいポリシーの両方が、競合していると報告されています。
  • 競合を解決するには、競合するポリシーが適用されなくなるまでポリシーの割り当てを削除するか、適用可能なポリシーを再構成して同じ構成を設定して競合を取り除きます。

LAPS ポリシーを持たないデバイスが、競合する 2 つのポリシーを同時に受信した場合:

  • 設定はデバイスに送信されず、両方のポリシーが競合していると報告されます。
  • 競合が残っている間は、ポリシーの設定はデバイスに適用されません。

競合を解決するには、デバイスからポリシーの割り当てを削除するか、競合がなくなるまで該当するポリシーの設定を再構成する必要があります。

関連コンテンツ

  • Last updated on