Microsoft Intune で LAPS を使用して macOS ADE ローカル アカウント構成のサポートを構成する

macOS 自動デバイス登録 (ADE) プロファイルを使用して、Microsoft ローカル管理者パスワード ソリューション (LAPS) と共に、管理者アカウントとユーザー アカウントの両方の構成用に新しく登録された macOS デバイスを構成できます。 LAPS を使用した macOS アカウントの構成 は、ユーザー デバイスのアフィニティの有無にかかわらず、新規および既存の macOS ADE プロファイルで使用できるオプションの構成セットです。 これらのアカウント管理の構成は、新規登録にのみ適用されます。

LAPS を使用した macOS ローカル アカウントの構成では、デバイスは、強力で暗号化されたランダム化された管理者パスワードを持つローカル管理者アカウントでプロビジョニングされ、Intune によって保存および暗号化されます。 同様に、登録プロファイル内でローカル標準ユーザー アカウントをプロビジョニングすることもできます。 登録後、Intune は LAPS で管理される管理者パスワードを 6 か月ごとに自動的にローテーションします。 自動回転を補完するために、十分なアクセス許可を持つ Intune 管理者は、Intune 管理センターを使用してデバイスのローカル管理者アカウントのパスワードを表示し、リモート デバイス アクションで必要に応じてそのパスワードを手動で回転できます。

管理者アカウントの Intune で生成されたパスワードは、小文字と大文字、数字、特殊記号が混在した 15 文字です。

LAPS を使用した macOS ローカル アカウントの構成は、工場出荷時の状態にリセットした後の自動デバイス登録 (ADE) 中にのみ有効になるため、以前に登録されたデバイスが、管理者アカウントの LAPS でサポートされる LAPS 対応の ADE プロファイルを使用して Intune に再登録する必要があります。

重要

macOS 26.4 より前のバージョンの macOS を実行しているデバイスに影響を与える既知の問題があります。 macOS デバイスが構成済みのローカル管理者アカウントとターゲット パスコード プロファイルを使用して ADE を介して登録すると、[ 次回の認証時の変更] が有効になっていない場合や、値が [最大経過期間 (日数)] に設定されている場合でも、管理者パスワードのリセットを求められます。 これは、標準アカウントには影響しません。

回避策として、デバイスのリセット後に管理者パスワードを手動でローテーションして、Intune とデバイス パスワードの状態の同期を維持します。この問題を解決するには、デバイスを macOS 26.4 にアップグレードします。

重要

プラットフォームの制限により、ローカル管理者アカウントはセキュリティで保護されたトークンを受け取りません。 登録後にサインインする最初のアカウントは、セキュリティで保護されたトークンを受け取ります。この時点では常にローカル ユーザー アカウントになります。

ヒント

macOS LAPS の Intune 実装は、Windows LAPS の Intune サポートと似ていますが、異なります。 Intune での Windows LAPS の詳細については、「ローカル管理者アカウント」を参照してください。

前提条件

LAPS ソリューションを使用した macOS ローカル アカウント構成のデバイス要件を次に示します。

  • macOS 12 以降
  • デバイスは、Apple Business/School Manager から Intune に同期する必要があります
  • デバイスは、工場出荷時の状態にリセットした後、macOS ADE 登録プロファイルを使用して Intune に登録する必要があります。

重要

macOS LAPS では、デバイスの初期セットアップ エクスペリエンスの一部として発生する ADE 登録がサポートされます。 既存の macOS インストールから (たとえば、 profiles renew コマンドを使用して) ADE を再開する登録シナリオはサポートされていません。

macOS LAPS の役割ベースのアクセス制御

macOS LAPS にオンボードされたデバイスのローカル管理者アカウント パスワードを表示または回転することが信頼できる管理者のアカウントには、次の Intune ロールベースのアクセス制御 (RBAC) アクセス許可が必要です。

カテゴリー: 登録プログラム:

  • macOS 管理者パスワードの回転を [はい] に設定する
  • macOS の管理者パスワードの表示を [はい] に設定する

重要

登録プログラムの 2 つのアクセス許可は、Intune 組み込みロールまたは Intune 管理者の Microsoft Entra 組み込みロールには含まれません。 代わりに、カスタム Intune ロールを使用して、これらの機能を持つ必要があるユーザーにこのアクセス許可を割り当てます。

自動デバイス登録の macOS ポリシーを管理するために必要なアクセス許可と詳細については、「 macOS 用の自動デバイス登録 (ADE) の設定」を参照してください。

構成アカウントとパスワード オプション

このセクションでは、 LAPS を使用した macOS ローカル アカウント構成の詳細について説明します。これは、macOS 自動デバイス登録 (ADE) プロファイルの 登録ポリシーの作成 手順の手順 12 で実行されます。

macOS 自動デバイス登録プロファイルを構成すると、[アカウント設定] タブに、ローカル管理者アカウントとローカル ユーザー アカウントの両方を構成するオプションが表示されます。 既定では、これらのオプションは両方とも [いいえ] に設定されています。

自動デバイス登録プロファイルの既定の外観のスクリーン ショット アカウント設定ウィンドウ。

ローカル、管理者、ユーザー アカウントのいずれかのオプションで [ はい ] を選択すると、LAPS 構成を使用した macOS ローカル管理者アカウントと、この登録プロファイルを使用して登録するデバイスの標準ユーザー アカウントの両方が構成されます。

一意のアカウント パスワードは、小文字と大文字、数字、特殊記号を組み合わせた 15 文字を使用して作成されます。

重要

LAPS アカウントが構成されているデバイスの場合、設定カタログを介してのみパスワードポリシーをターゲットにし、[ 次回の認証時に変更] 設定を無効にします。

コンプライアンス ポリシーまたはデバイス制限テンプレートを使用して構成されたパスワード設定では、既定で [ 次回の認証時に変更] が有効になり、新しく作成された LAPS アカウントでサインインの問題が発生する可能性があります。

ローカル アカウント構成のいずれかの部分で常に、バックエンドの [待機] 最終構成 設定は既定で常に [はい ] に設定されます。 この設定は、アカウントの構成がセットアップ アシスタント中に行われるために設定されます。

ローカル管理者のアカウント

管理者アカウントで使用できるオプションを示す画面キャプチャ。

使用可能な構成オプションの例を次に示します。 その他の詳細には、一部の設定の名前の後にある 情報 アイコンからアクセスできます。

注:

ユーザー デバイスのアフィニティのない macOS ADE 登録ポリシーの場合、アカウント管理ユーザー名を {{serialNumber}}-admin または {{serialNumber}}-user に設定することをお勧めします。 デバイスのシリアル番号を使用すると、各ユーザーレス ADE デバイスに一意の識別子を割り当てることができます。

  • 管理アカウントのユーザー名 - アカウント名を指定するか、サポートされている以下の変数のいずれかを使用して、名前を動的に作成します。 デフォルトでは、このフィールドは [管理] を使用します。

    • {{serialNumber}} - たとえば、 F4KN99ZUG5V2
    • {{partialupn}} - たとえば、 John.Dupont
    • {{managedDeviceName}} - たとえば、 F2AL10ZUG4W2_14_4/15/2025_12:45PM
    • {{onPremisesSamAccountName}} - たとえば、JDoe

  • 管理アカウントのフル ネーム - アカウント名を指定するか、サポートされている以下の変数のいずれかを使用して、名前を動的に作成します。 デフォルトでは、このフィールドは [管理] を使用します。

    • {{username}} - 例えば、 John@contoso.com
    • {{serialNumber}} - たとえば、 F4KN99ZUG5V2
    • {{onPremisesSamAccountName}} - たとえば、JDoe

  • ユーザー & グループで非表示 にする - サインイン ウィンドウとユーザー & グループで管理者アカウントを非表示にします。 既定では、これは [未構成] に設定されます。

  • 管理アカウント パスワードのローテーション期間 (日数) - この設定は、構成されている場合、管理者アカウント パスワードが自動的にローテーションされるまでの期間 (1 〜 180 日) を指定します。 このローテーションは、180 日に 1 回発生する自動ローテーションに追加されます。

ローカル ユーザー アカウント

管理者以外のユーザー アカウントで使用できるオプションを示す画面キャプチャ。

使用可能なオプションに関するいくつかのガイダンスを次に示します。 その他の詳細には、一部の設定の名前の後にある情報アイコンからアクセスできます。

  • アカウントの種類 - デフォルトでは、標準ユーザーアカウントを作成する場合は [Standard] に設定されています。 ローカル管理者アカウントが構成されていない場合、ローカル ユーザー アカウントの種類は Administrator に設定されます。これは、macOS デバイスのセットアップに常に管理者アカウントが必要なため、プラットフォームの制限です。

  • アカウント情報の事前入力 - アカウント名を管理したり、編集を制限したりする場合は、このオプションを [ はい ] に設定します。

  • プライマリ アカウント名 - アカウント名を指定するか、サポートされている次のいずれかの変数を使用して名前を動的に作成します。 [ 事前入力] アカウント情報 が [未 構成] に設定されている場合、セットアップ アシスタントはこの値を使用して [アカウント名] フィールドを事前に入力します。 既定では、このフィールドでは {{partialupn}} 変数が使用されます。

    • {{serialNumber}} - たとえば、 F4KN99ZUG5V2
    • {{partialupn}} - たとえば、 John.Dupont
    • {{managedDeviceName}} - たとえば、 F2AL10ZUG4W2_14_4/15/2025_12:45PM
    • {{onPremisesSamAccountName}} - たとえば、JDoe

  • プライマリ アカウントのフル ネーム - アカウントのフル ネームを指定するか、次のいずれかの変数を使用して名前を動的に作成します。 [事前 入力] アカウント情報 が [未 構成] に設定されている場合、セットアップ アシスタントはこの値を使用して [氏名] フィールドを事前入力します。 デフォルトでは、このフィールドでは {{username}} 変数が使用されます。

    • {{username}} - 例えば、 John@contoso.com
    • {{serialNumber}} - たとえば、 F4KN99ZUG5V2
    • {{onPremisesSamAccountName}} - たとえば、JDoe

  • 編集を制限 する - エンド ユーザーがフル ネームとアカウント名を編集できないようにします。 既定では、これは [未構成] に設定されています。

アカウントとパスワードの詳細を表示する

デバイスのローカル管理者パスワードを表示するには、ご自身のアカウントに次の Intune RBAC アクセス許可が割り当てられている必要があります。

  • カテゴリ: [macOS の管理者パスワードの表示] を [はい] に設定した登録プログラム

管理者アカウントのパスワードを表示するには

  1. Microsoft Intune 管理センターで、[デバイス>macOS デバイス> に移動し、macOS デバイスを選択して概要ウィンドウ >パスワードとキー] を開きます。

[ パスワードとキー] ウィンドウでは、[ ローカル管理者アカウントのパスワード ] セクションで macOS デバイスの管理者パスワードを取得できます。 ここでは、パスワードが最後に手動または自動で回転された時刻も確認できます。

登録された macOS デバイスに Intune 管理管理者パスワードがあるかどうかを確認するには、コンソールでパスワードを正常に取得できる場合は、ローカル管理者アカウントのパスワードが Intune によって管理されていることを意味します。

[パスワードとキー] ウィンドウと [ローカル管理者パスワードの回転] オプションを示す画面キャプチャ。

管理者アカウント パスワードの手動ローテーション

LAPS ポリシーには、アカウント パスワードを自動的にローテーションするスケジュール (6 か月に 1 回) が含まれています。 スケジュールされたローテーションに加えて、[ローカル管理者パスワードの回転] の Intune デバイス アクションを使用して、いつでもデバイス パスワードを手動でローテーションできます。

このデバイス アクションを使用するには、アカウントに次の [Intune RBAC アクセス許可](#role-based-access-controls-for-macos-laps) が割り当てられている必要があります。

  • カテゴリ: macOS の管理者パスワードの回転が[はい] に設定された登録プログラム

管理者パスワードをローテーションするには

  1. Microsoft Intune 管理センターで、[デバイス]>macOS デバイス>に移動し回転するアカウントを持つ macOS デバイスを選択します。

  2. デバイス の概要 ウィンドウで、ウィンドウの上部にあるオプションの一覧から [ ローカル管理者パスワードの回転] を選択します。

    デバイスの概要ウィンドウの画面キャプチャ。

  3. デバイスのパスワードが最後にローテーションされた時期を確認するには、デバイスの [ 概要 ] ウィンドウから次の操作を行います。

    1. [ モニター] を展開し、[ パスワードとキー] を選択します。
    2. [ パスワードとキー ] ウィンドウでは、パスワードが最後にローテーションされた日時を確認できます。

パスワードの循環を監視する

パスワードの表示とローテーションの両方で、Intune 管理センター内から表示できる Intune 監査イベントが作成されます。

Microsoft Intune 管理センターで、[テナント管理]> [監査ログ] に移動します。

次のエントリを探します。

  • Get AdminAccountDto - 他のユーザーが管理者パスワードを閲覧したことを識別します。
  • rotateLocalAdminPassword ManagedDevice - 管理者パスワードがローテーションされたタイミングを識別します。

関連コンテンツ

  • Last updated on