Windows LAPS の Microsoft Intune サポート

すべての Windows マシンには、削除できない組み込みのローカル管理者アカウントがあり、デバイスに対する完全なアクセス許可があります。 このアカウントを保護することは、organization を保護するための重要なステップです。 Windows デバイスには、ローカル管理者アカウントの管理に役立つ組み込みソリューションである Windows ローカル管理者パスワード ソリューション (LAPS) が含まれています。

アカウント保護のための Microsoft Intune エンドポイント セキュリティ ポリシーを使用して、Intune に登録されたデバイス上の LAPS を管理できます。 Intune ポリシーでは次のことができます。

  • ローカル管理者アカウントにパスワード要件を適用する
  • ローカル管理者アカウントをデバイスから Active Directory (AD) または Microsoft Entra にバックアップする
  • 安全を確保するために、これらのアカウント パスワードのローテーションをスケジュールします。

また、Intune 管理 センターで管理されているローカル管理者アカウントの詳細を表示したり、スケジュールされたローテーション外でアカウント パスワードを手動でローテーションしたりすることもできます。

Intune LAPS ポリシーを使用すると、pass-the-hash 攻撃やラテラル トラバーサル攻撃など、ローカル ユーザー アカウントを悪用することを目的とした攻撃から Windows デバイスを保護できます。 Intune で LAPS を管理すると、リモート ヘルプ デスク シナリオのセキュリティを向上させ、他の方法ではアクセスできないデバイスを回復するのにも役立ちます。

Intune LAPS ポリシーは、Windows LAPS CSP から使用できる設定を管理します。 Intune による CSP の使用により、従来の Microsoft LAPS やその他の LAPS 管理ソリューションの使用が置き換えられ、CSP ベースが他の LAPS 管理ソースよりも優先されます。

Windows LAPS の Intune サポートには、次の機能が含まれます。

  • パスワード要件の設定 - デバイス上のローカル管理者アカウントの複雑さや長さなど、パスワード要件を定義します。
  • パスワードのローテーション - ポリシーを使用すると、デバイスでスケジュールに従ってローカル管理者アカウント パスワードを自動的にローテーションさせることができます。 Intune 管理センターを使用して、デバイスのパスワードをデバイス アクションとして手動でローテーションすることもできます。
  • アカウントとパスワードのバックアップ - デバイスで、クラウドの Microsoft Entra ID またはオンプレミスの Active Directory のいずれかにアカウントとパスワードをバックアップするように選択できます。 パスワードは、強力な暗号化を使用して格納されます。
  • 自動アカウント管理 - (Windows 11 24H2 以降でサポートされています) - 組み込みの管理者アカウントまたは指定したカスタム アカウントの管理を簡略化します。 自動アカウント管理オプションでは 、指定したアカウントの有効化と、アカウント名またはプレフィックスのランダム化がサポートされています。 自動アカウント管理の使用により、LAPS アカウントの改ざん防止も拡張されます。
  • 認証後のアクションを構成する - ローカル管理者アカウントのパスワードの有効期限が切れたときにデバイスが実行するアクションを定義します。 アクションは、新しいセキュリティで保護されたパスワードを使用するように管理対象アカウントをリセットする、アカウントをログオフする、またはその両方を行ってからデバイスの電源をオフにするなど、多岐にわたります。 また、パスワードの有効期限が切れた後、これらのアクションを実行する前にデバイスが待機する時間を管理することもできます。
  • アカウントの詳細の表示 - 十分なロールベースの管理制御 (RBAC) アクセス許可を持つ Intune 管理者は、デバイスのローカル管理者アカウントとその現在のパスワードに関する情報を表示できます。 また、パスワードが最後に回転 (リセット) された日時と、次に回転がスケジュールされた日時も確認できます。
  • レポートの表示 - Intune は、過去の手動およびスケジュールされたパスワードのローテーションに関する詳細など、パスワードのローテーションに関するレポートを提供します。

Windows LAPS の詳細については、まず Windows ドキュメントの次の記事を参照してください。

  • Windows LAPS とは? - Windows LAPS と Windows LAPS ドキュメント セットの概要。
  • Windows LAPS CSP - LAPS の設定とオプションの詳細を表示します。 LAPS の Intune ポリシーでは、これらの設定を使用して、デバイスの LAPS CSP を構成します。

適用対象:

  • Windows

前提条件

テナントで Intune が Windows LAPS をサポートするための要件は、次のとおりです。

ライセンスの要件

  • Intune subscription - Microsoft Intune プラン 1 は基本的な Intune サブスクリプションです。 Intune の無料試用版サブスクリプションで Windows LAPS を使用することもできます。

  • Microsoft Entra ID - Microsoft Entra ID 無料。Intune のサブスクライブに含まれる無料版の Microsoft Entra ID。 Microsoft Entra ID Free を使用すると、LAPS のすべての機能を利用できます。

Active Directory のサポート

Windows LAPS の Intune ポリシーでは、ローカル管理者アカウントとパスワードを次のいずれかのディレクトリの種類にバックアップするようにデバイスを構成できます。

注:

職場参加 (WPJ) のデバイスは、LAPS の Intune ではサポートされていません。

  • クラウド - クラウドでは、次のシナリオで Microsoft Entra ID へのバックアップがサポートされます:

  • オンプレミス - オンプレミスは、Windows Server Active Directory (オンプレミスの Active Directory) へのバックアップをサポートします。

    重要

    Windows デバイス上の LAPS は、どちらか一方のディレクトリの種類を使用するように構成できますが、両方を使用することはできません。 また、バックアップ ディレクトリはデバイスの参加の種類でサポートされている必要があります。ディレクトリをオンプレミスの Active Directory に設定し、デバイスがドメインに参加していない場合、Intune からのポリシー設定を受け入れますが、LAPS はその構成を正常に使用できません。

デバイスのエディションとプラットフォーム

デバイスには、Intune がサポートする任意の Windows エディションを含めることができますが、Windows LAPS CSP をサポートするには、次のいずれかのバージョンを実行する必要があります。

  • Windows 11 バージョン 22H2 (22621.1555 以降) KB5025239
  • Windows 11 バージョン 21H2 (22000.1817 以降) KB5025224
  • Windows 10 バージョン 22H2 (19045.2846 以降) KB5025221
  • Windows 10 バージョン 21H2 (19044.2846 以降) KB5025221
  • Windows 10 バージョン 20H2 (19042.2846 以降) KB5025221
  • Windows 10 Enterprise LTSC 2019 以降の LTSC バージョン

重要

2025 年 10 月 14 日に、Windows 10 はサポートが終了し、品質と機能の更新プログラムを受け取ることはありません。 Windows 10 は、Intune で許可されているバージョンです。 このバージョンを実行しているデバイスは引き続き Intune に登録して対象機能を使用できますが、機能は保証されず、異なる場合があります。

GCC High のサポート

Windows LAPS の Intune ポリシーは、GCC High 環境でサポートされています。

LAPS の役割ベースのアクセス制御

LAPS を管理するには、目的のタスクを完了するのに十分なロールベースのアクセス制御 (RBAC) アクセス許可がアカウントに必要です。 以下は、必要なアクセス許可で使用可能なタスクです。

  • LAPS ポリシーの作成とアクセス - LAPS ポリシーを操作して表示するには、セキュリティ ベースラインの Intune RBAC カテゴリから十分なアクセス許可がアカウントに割り当てられている必要があります。 既定では、これらは Intune の組み込みロールであるエンドポイント セキュリティ マネージャーに含まれています。 カスタム Intune RBAC ロールを使用するには、カスタム ロールに セキュリティ ベースライン カテゴリからの権限が含まれていることを確認します。

  • ローカル管理者パスワードの回転 - Intune 管理センターを使用してデバイスのローカル管理者アカウント パスワードを表示または回転するには、アカウントに次の Intune アクセス許可が割り当てられている必要があります。

    • 管理対象デバイス: 読み取り

    • 組織: 読み取り

    • リモート タスク: ローカル管理パスワードを回転させる

      重要

      ローカル管理パスワードを回転させるリモート タスク アクションは、Intune の組み込みロールまたは Intune 管理者の Microsoft Entra 組み込みロールには含まれません。 代わりに、カスタム Intune ロールを使用して、この機能を持つ必要があるユーザーにこのアクセス許可を割り当てます。

  • ローカル管理者パスワードの取得 - パスワードの詳細を表示するには、アカウントに次のいずれかの Microsoft Entra アクセス許可が必要です。

    • microsoft.directory/deviceLocalCredentials/password/read LAPS メタデータとパスワードを読み取ります。
    • microsoft.directory/deviceLocalCredentials/standard/read パスワードを除く LAPS メタデータを読み取ります。

    これらのアクセス許可を付与できるカスタム ロールを作成するには、Microsoft Entra ドキュメントの「Microsoft Entra ID でカスタム ロールを作成して割り当てる」を参照してください。

  • Microsoft Entra の監査ログとイベントを表示する - LAPS ポリシーと最近のデバイス アクション (パスワードの回転イベントなど) に関する詳細を表示するには、組み込みの Intune ロール読み取り専用オペレーターと同等のアクセス許可がアカウントに必要です。

Intune の組み込みロールとカスタム ロールの詳細については、「Microsoft Intune の役割ベースのアクセス制御」を参照してください。

LAPS アーキテクチャ

Windows LAPS アーキテクチャの詳細については、Windows ドキュメントの「 Windows LAPS アーキテクチャ 」を参照してください。

よく寄せられる質問

Intune LAPS ポリシーを使用して、デバイス上のローカル管理者アカウントを管理できますか?

はい。 Intune LAPS ポリシーを使用して、デバイス上のローカル管理者アカウントを管理できます。 ただし、LAPS では、デバイスごとに 1 つのアカウントのみがサポートされます。

  • ポリシーでアカウント名が指定されていない場合、Intune は、デバイス上の現在の名前に関係なく、既定の組み込み管理者アカウントを管理します。
  • デバイスの割り当てられているポリシーを変更するか、現在のポリシーを編集して別のアカウントを指定することで、Intune がデバイスに対して管理するアカウントを変更できます。
  • 2 つの別個のポリシーが割り当てられ、両方とも別のアカウントを指定しているデバイスの場合、デバイスのアカウントを管理する前に解決する必要がある競合が発生します。

Intune を使用して LAPS ポリシーを、別のソースから LAPS 構成が既にあるデバイスに展開した場合はどうなりますか?

Intune の CSP ベースのポリシーは、GPO やレガシ Microsoft LAPS の構成など、LAPS ポリシーの他のすべてのソースを上書きします。 詳細については、Windows LAPS ドキュメントのサポート 対象ポリシーのルート を参照してください。

Windows LAPS は、LAPS ポリシーを使用して構成された管理者アカウント名に基づいてローカル管理者アカウントを作成できますか?

Windows 11 24H2 以降では、新しい自動アカウント管理モードを使用して Windows LAPS を構成し、組み込みのローカル Administrator アカウントを管理したり、新しいカスタム アカウントを作成して管理したりできます。 下位レベルの Windows バージョンでは、Windows LAPS はデバイスに既に存在するアカウントのみを管理できます。

注:

Windows 11 バージョン 23H2 以前を実行しているデバイスで手動アカウント管理モードまたは Windows LAPS を使用する場合、デバイスに存在しないアカウント名を指定しても効果はなく、エラーは発生しません。

Windows LAPS は、Microsoft Entra で無効になっているデバイスのパスワードをローテーションしてバックアップしますか?

その必要はありません。 Windows LAPS では、パスワードの循環とバックアップ操作を適用する前に、デバイスが有効な状態である必要があります。

Microsoft Entra でデバイスが削除されるとどうなりますか?

Microsoft Entra でデバイスが削除されると、そのデバイスに関連付けられていた LAPS 資格情報が失われ、Microsoft Entra ID に保存されているパスワードが失われます。 LAPS パスワードを取得して外部に保存するためのカスタム ワークフローがない限り、削除されたデバイスの LAPS マネージド パスワードを Microsoft Entra ID に回復する方法はありません。

LAPS パスワードを回復するにはどのような役割が必要ですか?

LAPS パスワードを回復するアクセス許可を持つ組み込みの Microsoft Entra ロールは、クラウド デバイス管理者、および Intune 管理者です。

LAPS メタデータを読み取るために必要なロールは何ですか?

デバイス名、最後のパスワードのローテーション、次のパスワードのローテーションなど、LAPS に関するメタデータを表示するために、次の組み込みの Microsoft Entra ロール ロールがサポートされています。

  • セキュリティ閲覧者

次の役割も使用できます。

  • クラウド デバイス管理者
  • Intune 管理者
  • ヘルプデスク管理者
  • セキュリティ管理者

[ローカル管理者パスワード] ボタンが灰色表示され、アクセスできないのはなぜですか?

現在、この領域にアクセスするには、ローカル管理者パスワードの Intune の回転アクセス許可が必要です。 「Microsoft Intune の役割ベースのアクセス制御」を参照してください。

ポリシーで指定されたアカウントが変更されるとどうなりますか?

Windows LAPS では、デバイス上のローカル管理者アカウントは一度に 1 つしか管理できないため、元のアカウントは LAPS ポリシーによって管理されなくなります。 ポリシーでデバイスがそのアカウントをバックアップしている場合、新しいアカウントがバックアップされ、以前のアカウントの詳細は、Intune 管理センター内またはアカウント情報を保存するために指定されたディレクトリからは利用できなくなります。

次の手順

  • Last updated on