ローカル管理者パスワード ソリューション（LAPS）に関するトップのヒント 5選

ローカルの Windows 管理者アカウントは、ハッカーやマルウェアにとって魅力的な標的です。ハッカーがサーバーの1台のローカル管理者アカウントを解読できると、さまざまな悪影響が起こり得ます。

管理者アカウントを使って、悪意のあるマルウェアの亜種をダウンロードしてしまうと、通常は恐ろしいことが起こります。さらに、同種のすべてのマシンで既定の管理者アカウントを使い、同じパスワードを設定している場合は、これらの問題の影響がより一層大きくなります。

世界で最も複雑なパスワードを使っていても、それが1台のマシンで侵害されると、同じローカル管理者の認証情報を使っている他のすべての端末にとっては“総当たり”の機会が開かれます。

もちろん、Windows デバイスごとにローカル管理者の認証情報を個別にカスタマイズすることもできますが、これは多くの認証情報セットを棚卸しする作業まで考えると、非常に手間がかかります。さらに、パスワードの更新（もちろん行うべきです）を有効にすると、そのプロセスはほぼ実行不能になります。だからこそ、多くの管理者は結局それを無効化してしまうのです。

しかし、ドメインの信頼関係をリセットしたり、IP アドレスをハードコードしたりといったように、その場に行って「マシンをすぐに直す」ための何らかのローカル管理者アカウントが必要になることは理解できます。

各マシンに同じローカル管理者パスワードを設定するのが良くない考えであるなら、その対策として何ができるのでしょうか？

ヒント 1：Microsoft Local Administrator Password Solution (LAPS) を使用する

Microsoft Local Administrator Password Solution (LAPS) は、Microsoft のツールであり、 AD 管理者が、ドメインに参加しているコンピューターのローカル アカウント パスワードを管理し、それらを AD に保存できるようにします。

グループ ポリシー を介して実装すると、LAPS は、定義された長さと複雑さを持ち、暗号学的に安全で、毎回（毎台のマシンで）異なるランダム パスワードを生成します。次に、新しく作成したパスワードをローカル管理者アカウントに適用し、Active Directory スキーマの安全なフィールドにそのパスワードを記録します。その後、アカウントへのアクセスが必要になったときに取得できます。グループ ポリシーで定義されたパスワードの更新タイミングが到来すると、処理は自動的に実行されます。

LAPS を実装するには、いくつかの要件があります:

• Windows デバイスのみに適用されます
• デバイスはドメインに参加している必要があります
• 無料の Group Policy クライアント側拡張が必要です
• スキーマ拡張が必要です（慌てないでください。）
• ローカル管理者アカウントでのみ動作します
• ローカル管理者アカウントは1つだけで動作します（複数ある場合に備えての説明です）。

ヒント 2：LAPS と Group Policy

先に述べたとおり、LAPS はグループ ポリシーを使用して展開されるため、GPO の作成が必要です。まず LAPS をダウンロードする必要があります。ダウンロードはこちら 。
次にウィザードを使って、Group Policy Management マシンにインストールします。これは手作業で行うことをおすすめし、通常は何らかの自動化された方法では行いません。

必要な ADMX ファイルにアクセスできるように、少なくとも GPO Editor Templates（GPO エディター テンプレート）を選択してください。fat client はグラフィカル ユーザー インターフェイスであり、適切な権限を持つユーザーが指定したデバイスのパスワードを照会できるようになります。管理ツールだけをインストールすればよく、マシン（GPMC がある方）には “AdmPwd GPO Extension” をインストールする必要はありません。

次に、ローカルの PolicyDefinitions フォルダーに移動し、AdmPwd.admx と AdmPwd.adml のファイルをコピーして、AD のセントラル ストアに貼り付けます。（この手順についての動画を確認してください。）

次に、ローカル パスワードを対応させるために AD スキーマを拡張する必要があります。

必要な属性は 2 つです：

• ms-Mcs-AdmPwd – パスワードを平文のまま保存します
• ms-Mcs-AdmPwdExpirationTime – パスワードをリセットする時刻を保存します

スキーマを更新するには、AdmPwd PowerShell モジュールを読み込み、下に示すとおり update-AdmPwdADSchema コマンドを使用するだけです。

次の手順は、コンピューター側の GPO を作成することです。この例では、LAPS Policy と呼ぶことにします。LAPS の設定は、Computer Configuration > Administrative Templates > LAPS の配下に表示されます。下に示すとおり、そこには 4 つの設定が用意されています。

LAPS GPO を使用して、デフォルトのローカル管理者、またはカスタムのローカル管理者アカウントのいずれかのパスワードを管理できます。以下では “Enable local admin password management ” 設定を有効にしています。”

ローカル管理者アカウントの名前を変更している場合（変更すべきです）は、次に更新された名前を指定できます。管理者アカウントを選択したら、最後の手順として Group Policy setting を有効にします。これにより、パスワード設定（パスワードの長さと有効期限を含む）が構成されます。

設定できたら、あとは PDQ Deploy のような希望するソフトウェア展開方法で、LAPS のクライアント側拡張ソフトウェアを展開するだけです。手作業で初期テストを行う予定がある場合に限り、「GPO Extension」部分だけが必要です。こちらで確認できます。

PolicyPak を使うことで、展開プロセスをさらに細かく制御することもできます。詳しくはすぐに説明します。

ヒント #3：LAPS を使って必要なときにパスワードを取得する

そして、ある日あなたが Windows マシンの 1 台について、現在生成されているパスワードが何かを知る必要が出てきます。どうすればよいのでしょうか？いくつか方法があります。その 1 つは、次の PowerShell コマンドを使用することです。

Get-AdmPwdPassword -Computername “コンピューター名”

LAPS Fat Client をインストールした場合、スタートメニューから LAPS UI アプリケーションにアクセスできます。

ヒント #4：アイテム単位のターゲティングでユーザーにきめ細かな LAPS ポリシーを割り当てる

PolicyPak は PolicyPak Admin Templates Manager で ADMX テンプレート設定をすべて提供し、さらに新しい ADMX リリースのたびにそれらを更新します。標準のグループ ポリシーと比べて Admin Templates Manager を使用することで得られる利点はたくさんあります。

PolicyPak は下に示すとおりグループ ポリシー エディターをそのまま使用していますが、そこに秘密の超能力が追加されています。

主なメリットは、PolicyPak が LAPS を含むあらゆる Group Policy 設定に対して、項目レベルのターゲティング（Item-level Targeting）を利用できることです。

Group Policy Preferences に詳しい方なら、ILT がポリシー割り当てに関してどれほどきめ細かな粒度を提供するか、すでにご存じでしょう。たとえば、サーバー上にあるローカル管理者アカウントがすべて ServAdm1n という名前で、これらの管理者向けに別の LAPS ポリシーを作成したいとします。これらは管理者ドメイン アカウントではないため、グループ ポリシーではターゲットにできませんが、ILT を使って Windows Server 2016 を実行している該当マシンをターゲットにできます。

では、C-Level の役員用ノートPC向けに LAPS ポリシーを作成しましょう。もちろん、これらのローカル管理者アカウントには強力なパスワードを設定したいはずです。このケースでは、最も強い複雑性を使用して 20 文字のパスワードを強制します。次に、ILT を使って C-Level セキュリティ グループをターゲットにします。下のスクリーンショットをご覧いただくと、コンピューター名、OU Match、Site Match、コンピューターのフォーム ファクター（Laptop 対 Desktop）など、ターゲット可能なオプションが多数あることが分かります！

おまけとして、Group Policy Editor 内で作成した従来の GPO は通常 Group Policy を使ってのみ展開できますが、PolicyPak の設定は SCCM、KACE、またはお使いの MDM サービスなど、さまざまな方法で展開できます。
そのプロセスについて詳しくは、 この動画 で、Group Policy エンジン自体は使わずに Group Policy 設定を配信する手順を紹介しているのでご覧ください。

ヒント 5：LAPS を PolicyPak Least Privilege Manager と組み合わせましょう

Local Administrator Password Solution は、最も重要なマシンへの管理者アクセスをより厳密にするための優れたツールです。実際に、PolicyPak Least Privilege Manager と組み合わせるのも最適です。PolicyPak Least Privilege Manager は、ローカル管理者権限を持つ必要を完全に取り除き、標準ユーザーが管理者のように特別な機能を実行できるようにします……ただし、実際の管理者権限は付与されません。

この2つを組み合わせることで、すべてのエンタープライズ マシンに LAPS を適用できます……もはやローカル管理者アクセスは必要なくなるためです。

結局のところ、グループ ポリシー（Group Policy）でできることは何でも、PolicyPak ならより良く実現できます。LAPS を導入し、PolicyPak を追加して、より高いセキュリティ、パワー、そして俊敏性を手に入れてください。