Windows LAPS とは

Windows ローカル管理者パスワード ソリューション (Windows LAPS) は、Microsoft Entra 参加済みデバイスまたは Windows Server Active Directory 参加済みデバイス上のローカル管理者アカウントのパスワードを自動的に管理およびバックアップする Windows 機能です。 また、Windows LAPSを使って、Windows Server Active Directoryドメインコントローラーのディレクトリサービスリストアモード(DSRM)アカウントパスワードを管理・バックアップすることもできます。

ローカル管理者アカウントは多くのデバイスで同じパスワードを共有していることが多く、悪意のある人物がそれを悪用して環境を横方向に移動させることがあります。 Windows LAPSは、各デバイスのローカル管理者パスワードを定期的にローテーションし、安全に保存し、権限ある管理者がサインインや復旧のために取得できるようにすることで、そのギャップを埋める助けとなります。

この記事では、Windows LAPSがサポートするプラットフォーム、その主要なシナリオと利点、そして従来のMicrosoft LAPS製品との違いを紹介し、環境内でWindows LAPSをどのように活用するかを判断できるようにします。

Windows LAPS でサポートされているプラットフォーム

Windows LAPS は、次の OS プラットフォームで利用できます。

Windows クライアント

Windows 10 は、2025 年 10 月 14 日にサポート終了に達しました。 Windows LAPSは、拡張セキュリティアップデート(ESU)プログラムなどを通じてアップデートを受け続けるWindows 10デバイスでのみ利用可能です。 サポートされているWindows 10のサービスおよびライフサイクル日については、WindowsライフサイクルFAQをご覧ください。 新規展開の場合はWindows 11または対応しているWindows Serverをご利用ください。

Windows LAPS設定サービスプロバイダー(CSP)の自動アカウント管理設定は、Windows 11、バージョン24H2以降、またはWindows Server 2025以降が必要です。

Windows Server

Windows LAPSは、長期サービスチャネル(LTSC)エディションを含む、これらのプラットフォームのすべてのサポートエディションで利用可能です。 Windows LAPS機能の導入は、標準的なMicrosoft製品ライフサイクルポリシーを変更するものではありません。

Windows LAPS と Microsoft Entra ID

Microsoft Entra ID と Microsoft Intune のサポートを備えた Windows LAPS は、2023 年 10 月 23 日の時点で一般公開されています。 詳細については、 Microsoft Entra ID が一般公開された Windows ローカル管理者パスワード ソリューション と、 Microsoft Entra ID の Windows ローカル管理者パスワード ソリューションを参照してください。

Windows LAPS を使用する利点

Windows LAPS を使用すると、ローカル管理者アカウントのパスワードを定期的にローテーションして管理し、次の利点を得ることができます。

  • pass-the-hash と lateral-traversal の攻撃に対する保護
  • リモート ヘルプ デスク シナリオのセキュリティの強化
  • アクセスできないデバイスにサインインして回復できる
  • Windows Server Active Directoryに保存されたパスワードを保護するための細かいセキュリティモデル(アクセス制御リストとオプションのパスワード暗号化)
  • Microsoft Entra IDに保存されたパスワードの保護のためのMicrosoft Entraロールベースアクセス制御モデルのサポート

Windows LAPSの情報動画

以下の動画では、Windows LAPS機能についてさらに詳しく説明しています。 これらの動画にはテキストが含まれていないため、権威あるWindows LAPSのガイダンスとして周辺の記事をご利用ください。

Windows Technical Takeoff プレゼンテーション (2022 年 11 月):

Windows Tackling Tech に関するディスカッション (2023 年 8 月):

Windows LAPS の主要なシナリオ

Windows LAPS は、いくつかの主要なシナリオで使用できます。

  • ローカル管理者アカウントのパスワードを Microsoft Entra ID にバックアップする (Microsoft Entra 参加済みデバイスの場合)

  • ローカル管理者アカウントのパスワードを Windows Server Active Directory にバックアップする (Windows Server Active Directory に参加済みのクライアントとサーバーの場合)

  • DSRM アカウントのパスワードを Windows Server Active Directory にバックアップする (Windows Server Active Directory ドメイン コントローラーの場合)

  • レガシー Microsoft LAPSエミュレーションモードでローカル管理者アカウントのパスワードをWindows Server Active Directoryにバックアップします。ネイティブWindows LAPSは移行時に既存のレガシー Microsoft LAPSグループポリシー設定を尊重します

シナリオごとに、異なるポリシー設定を適用できます。

デバイスの参加状態の制限について

デバイスが参加しているのが Microsoft Entra ID か、Windows Server Active Directory かによって、Windows LAPS の使用方法が決まります。

  • Microsoft Entra ID にのみ 参加しているデバイスは、Microsoft Entra ID にのみパスワードをバックアップできます。
  • Windows Server Active Directory にのみ参加しているデバイスは、パスワードを Windows Server Active Directory にのみバックアップできます。
  • ハイブリッド参加済み (Microsoft Entra ID と Windows Server Active Directory の両方に参加している) デバイスは、パスワードを Microsoft Entra ID または Windows Server Active Directory のいずれかにバックアップできます。

Microsoft Entra ID と Windows Server Active Directory の両方にパスワードをバックアップすることはできません。

Windows LAPS は、Microsoft Entra ワークプレイスに参加しているクライアントをサポートしていません。

Windows LAPS ポリシーを設定する

Windows LAPS 展開のポリシーを設定および管理するには、複数のオプションがあります。

Windows LAPS の管理と監視

Windows LAPSの管理や監視には複数のオプションがあります。

Windows のオプションは次のとおりです。

Microsoft Entra IDにパスワードをバックアップすると、Microsoft Entra IDベースの監視および報告ソリューションが得られます。

従来の Microsoft LAPS 製品の廃止

Important

従来の Microsoft LAPS 製品は、Windows 11 23H2 以降では非推奨となっています。 新しいOSのバージョンでは、レガシーのMicrosoft LAPS Microsoft Installer(MSI)パッケージのインストールがブロックされます。 MicrosoftはもはやレガシーなMicrosoft LAPS製品のコード変更を考慮していません。

Windows LAPSを使ってローカル管理者アカウントのパスワードを管理してください。 Windows LAPS は、Windows Server 2019 以降、およびサポートされている Windows 10 および Windows 11 クライアントで使用できます。

Microsoftは、以前Windows 11 23H2以前に対応していた古いWindowsバージョンでも、従来のMicrosoft LAPS製品をサポートし続けます。 そのサポートは、そのOSバージョンの通常のサポート終了で終わります。

Windows LAPS とレガシ Microsoft LAPS の比較

Windows LAPS は、レガシ Microsoft LAPS から多くの設計概念を継承しています。 もしレガシーなMicrosoft LAPSに馴染みがあるなら、多くのWindows LAPS機能を認識しているでしょう。 主な違いは、Windows LAPS は、Windows にネイティブな完全に独立した実装であるということです。 Windows LAPS には、レガシ Microsoft LAPS では使用できない多くの機能も追加されています。 Windows LAPS を使用すると、Microsoft Entra ID へのパスワードのバックアップ、Windows Server Active Directory でのパスワードの暗号化、パスワード履歴の保存を行うことができます。

Windows LAPS では、レガシ Microsoft LAPS をインストールする必要はありません。 レガシ Microsoft LAPS をインストールしたり参照したりすることなく、すべての Windows LAPS 機能を完全に展開して使用できます。 既存のレガシーMicrosoft LAPS展開を移行するために、Windows LAPSはレガシーMicrosoft LAPSエミュレーションモードを提供しています。 レガシーのMicrosoft LAPS製品は新しいMicrosoft OSバージョンでは推奨されていないことを覚えておいてください。 詳細については、「 従来の Microsoft LAPS 製品の廃止」を参照してください。

レガシーのMicrosoft LAPSからネイティブのWindows LAPSへ

レガシーなMicrosoft LAPS製品は非推奨で、新しいWindowsバージョンではインストーラーがブロックされるため、ネイティブのWindows LAPSがローカル管理者パスワードを管理するサポート方法となっています。 ネイティブWindows LAPSは別途ダウンロードやインストールを必要としません。 対応しているWindowsやWindows Serverのバージョンに組み込まれているので、レガシーなMicrosoft LAPSをインストールしなくても採用できます。

現在レガシーMicrosoft LAPSを使用しているデバイスの移行を計画・完了するには、「レガシーLAPSからWindows LAPSへの移行」をご覧ください。 その記事は、移行の前提条件、利用可能な移行オプション、ネイティブのWindows LAPSがアカウントを正常に管理しているかの検証方法、そして移行後にレガシーなMicrosoft LAPSソフトウェアを削除する方法についての権威ある情報源です。

レガシーMicrosoft LAPSエミュレーションモード

ネイティブのWindows LAPSに直接移行できない場合は、移行オプションとしてWindows LAPSをレガシーMicrosoft LAPSエミュレーションモードで実行できます。 このモードでは、移行を完了する間、Windows LAPSは既存のレガシーMicrosoft LAPSグループポリシー設定を尊重します。

エミュレーションモードには2つの重要な前提条件があります:

  • 管理されたデバイスには、レガシーなMicrosoft LAPSグループポリシーのクライアントサイド拡張(CSE)をインストールしないでください。 レガシーCSEが存在する場合、Windows LAPSはそれに従い、競合を避けるためにエミュレーションモードを無効化します。
  • ネイティブのWindows LAPSポリシー設定が優先されます。 デバイスをネイティブのWindows LAPSポリシー設定とレガシーのMicrosoft LAPSポリシー設定の両方で設定すると、Windows LAPSはネイティブ設定を適用し、エミュレートされたレガシー設定は無視します。

エミュレーションモードにはセキュリティ上の制限があります。 レガシー Microsoft LAPSと同様に、パスワードはWindows Server Active Directoryに明文形式のみ保存するため、ネイティブWindows LAPSのパスワード暗号化やパスワード履歴機能は使えません。 エミュレーションモードは一時的な措置として扱い、セキュリティ機能を活用するためにネイティブのWindows LAPSへの移行を計画してください。 詳細については、「Microsoft LAPSのレガシーなエミュレーションモードでのWindows LAPSを始める方法」をご覧ください。

Windows LAPS と従来の Microsoft LAPS に関するサポート声明

Microsoftは2016年にMicrosoft ダウンロード センターでレガシーなMicrosoft LAPS製品をリリースしました。 Windows LAPSは、2023年4月11日にリリースされたWindowsアップデートの一部として、Windows LAPS対応プラットフォーム向けに提供されました。

Microsoftとそのサポート提供組織は、レガシーなMicrosoft LAPSとWindows LAPSの両方に対して、両製品の相互運用性を含む支援サポートを提供しています。 Microsoftは、従来のMicrosoft LAPS製品を新しいMicrosoft OSバージョンで非推奨化しました。 詳細については、「 従来の Microsoft LAPS 製品の廃止」を参照してください。

今すぐWindows LAPS対応システムを従来のMicrosoft LAPSからWindows LAPS機能へ移行する計画を始めることを強くお勧めします。 Windows LAPS には、多くの新しいセキュリティ機能と改善された製品サービスが用意されています。

サードパーティのローカルアカウントパスワード管理ツールとWindows LAPS間の制限や相互運用性に関する直接質問は、サードパーティアプリケーションの開発者にお尋ねください。これはMicrosoftではありません。

Windows LAPSライセンス要件

Windows LAPS機能は、サポートされるすべてのWindowsプラットフォームで無料で利用可能です。

他のライセンス要件なしで、Windows Server Active Directory にパスワードをバックアップできます。

Microsoft Entra ID Free 以上のライセンスを使用して、Microsoft Entra ID にパスワードをバックアップできます。

他のMicrosoft Entra IDやMicrosoft Intuneの機能は、他のライセンス要件を持つ場合があります。

Windows LAPSに関するフィードバックを送信してください

弊社に対するフィードバックを歓迎いたします。 文書ごとご質問を提出するには、このページ下部のフィードバックリンクをご利用ください。

また、Windows LAPSフィードバックテックコミュニティのページでもフィードバックやその他のリクエストを提出できます。

もしフィードバックがMicrosoft Entra ID関連またはIntune関連LAPS機能に関するものであれば、Microsoft Entraのフィードバックフォーラムからフィードバックを送信してください。

フィードバックの送信先がわからない場合は、次のいずれかのオプションを使用して送信してください。

関連するコンテンツ

  • Last updated on