ローカル管理者パスワードソリューション（LAPS）：ヒントとベストプラクティス
Oct 22, 2026
ローカル管理者パスワードソリューション（LAPS）は、各コンピューターに自動で更新される固有のパスワードを割り当てるため、盗まれた管理者資格情報の拡散を制限します。LAPSはMicrosoftの機能で、各パスワードをActive DirectoryまたはMicrosoft Entra IDに保存し、現在はWindowsに組み込まれたWindows LAPSとして旧製品に代わっています。横方向の移動を制限しますが、管理者アカウントは残ります。
ローカルの Windows 管理者アカウントは、ハッカーやマルウェアにとって魅力的な標的です。ハッカーがサーバーの1台のローカル管理者アカウントを解読できると、さまざまな悪影響が起こり得ます。
管理者アカウントを使って、悪意のあるマルウェアの亜種をダウンロードしてしまうと、通常は恐ろしいことが起こります。さらに、同種のすべてのマシンで既定の管理者アカウントを使い、同じパスワードを設定している場合は、これらの問題の影響がより一層大きくなります。
世界で最も複雑なパスワードを使っていても、それが1台のマシンで侵害されると、同じローカル管理者の認証情報を使っている他のすべての端末にとっては“総当たり”の機会が開かれます。
もちろん、Windows デバイスごとにローカル管理者の認証情報を個別にカスタマイズすることもできますが、これは多くの認証情報セットを棚卸しする作業まで考えると、非常に手間がかかります。さらに、パスワードの更新（もちろん行うべきです）を有効にすると、そのプロセスはほぼ実行不能になります。だからこそ、多くの管理者は結局それを無効化してしまうのです。
しかし、ドメインの信頼関係をリセットしたり、IP アドレスをハードコードしたりといったように、その場に行って「マシンをすぐに直す」ための何らかのローカル管理者アカウントが必要になることは理解できます。
各マシンに同じローカル管理者パスワードを設定するのが良くない考えであるなら、その対策として何ができるのでしょうか？
ヒント 1：Microsoft Local Administrator Password Solution (LAPS) を使用する
Microsoft Local Administrator Password Solution (LAPS) は、Microsoft のツールであり、 AD 管理者が、ドメインに参加しているコンピューターのローカル アカウント パスワードを管理し、それらを AD に保存できるようにします。
グループ ポリシー を介して実装すると、LAPS は、定義された長さと複雑さを持ち、暗号学的に安全で、毎回（毎台のマシンで）異なるランダム パスワードを生成します。次に、新しく作成したパスワードをローカル管理者アカウントに適用し、Active Directory スキーマの安全なフィールドにそのパスワードを記録します。その後、アカウントへのアクセスが必要になったときに取得できます。グループ ポリシーで定義されたパスワードの更新タイミングが到来すると、処理は自動的に実行されます。
LAPS を実装するには、いくつかの要件があります:
- Windows デバイスのみに適用されます
- デバイスはドメインに参加している必要があります
- 無料の Group Policy クライアント側拡張が必要です
- スキーマ拡張が必要です（慌てないでください。）
- ローカル管理者アカウントでのみ動作します
- ローカル管理者アカウントは1つだけで動作します（複数ある場合に備えての説明です）。
ヒント 2：LAPS と Group Policy
先に述べたとおり、LAPS はグループ ポリシーを使用して展開されるため、GPO の作成が必要です。まず LAPS をダウンロードする必要があります。ダウンロードはこちら 。
次にウィザードを使って、Group Policy Management マシンにインストールします。これは手作業で行うことをおすすめし、通常は何らかの自動化された方法では行いません。
必要な ADMX ファイルにアクセスできるように、少なくとも GPO Editor Templates（GPO エディター テンプレート）を選択してください。fat client はグラフィカル ユーザー インターフェイスであり、適切な権限を持つユーザーが指定したデバイスのパスワードを照会できるようになります。管理ツールだけをインストールすればよく、マシン（GPMC がある方）には “AdmPwd GPO Extension” をインストールする必要はありません。
次に、ローカルの PolicyDefinitions フォルダーに移動し、AdmPwd.admx と AdmPwd.adml のファイルをコピーして、AD のセントラル ストアに貼り付けます。（この手順についての動画を確認してください。）
次に、ローカル パスワードを対応させるために AD スキーマを拡張する必要があります。
必要な属性は 2 つです：
- ms-Mcs-AdmPwd – パスワードを平文のまま保存します
- ms-Mcs-AdmPwdExpirationTime – パスワードをリセットする時刻を保存します
スキーマを更新するには、AdmPwd PowerShell モジュールを読み込み、下に示すとおり update-AdmPwdADSchema コマンドを使用するだけです。
次の手順は、コンピューター側の GPO を作成することです。この例では、LAPS Policy と呼ぶことにします。LAPS の設定は、Computer Configuration > Administrative Templates > LAPS の配下に表示されます。下に示すとおり、そこには 4 つの設定が用意されています。
LAPS GPO を使用して、デフォルトのローカル管理者、またはカスタムのローカル管理者アカウントのいずれかのパスワードを管理できます。以下では “Enable local admin password management ” 設定を有効にしています。”
ローカル管理者アカウントの名前を変更している場合（変更すべきです）は、次に更新された名前を指定できます。管理者アカウントを選択したら、最後の手順として Group Policy setting を有効にします。これにより、パスワード設定（パスワードの長さと有効期限を含む）が構成されます。
設定できたら、あとは PDQ Deploy のような希望するソフトウェア展開方法で、LAPS のクライアント側拡張ソフトウェアを展開するだけです。手作業で初期テストを行う予定がある場合に限り、「GPO Extension」部分だけが必要です。こちらで確認できます。
PolicyPak を使うことで、展開プロセスをさらに細かく制御することもできます。詳しくはすぐに説明します。
ヒント #3：LAPS を使って必要なときにパスワードを取得する
そして、ある日あなたが Windows マシンの 1 台について、現在生成されているパスワードが何かを知る必要が出てきます。どうすればよいのでしょうか？いくつか方法があります。その 1 つは、次の PowerShell コマンドを使用することです。
Get-AdmPwdPassword -Computername “コンピューター名”
LAPS Fat Client をインストールした場合、スタートメニューから LAPS UI アプリケーションにアクセスできます。
ヒント #4：アイテム単位のターゲティングでユーザーにきめ細かな LAPS ポリシーを割り当てる
PolicyPak は PolicyPak Admin Templates Manager で ADMX テンプレート設定をすべて提供し、さらに新しい ADMX リリースのたびにそれらを更新します。標準のグループ ポリシーと比べて Admin Templates Manager を使用することで得られる利点はたくさんあります。
PolicyPak は下に示すとおりグループ ポリシー エディターをそのまま使用していますが、そこに秘密の超能力が追加されています。
主なメリットは、PolicyPak が LAPS を含むあらゆる Group Policy 設定に対して、項目レベルのターゲティング（Item-level Targeting）を利用できることです。
Group Policy Preferences に詳しい方なら、ILT がポリシー割り当てに関してどれほどきめ細かな粒度を提供するか、すでにご存じでしょう。たとえば、サーバー上にあるローカル管理者アカウントがすべて ServAdm1n という名前で、これらの管理者向けに別の LAPS ポリシーを作成したいとします。これらは管理者ドメイン アカウントではないため、グループ ポリシーではターゲットにできませんが、ILT を使って Windows Server 2016 を実行している該当マシンをターゲットにできます。
では、C-Level の役員用ノートPC向けに LAPS ポリシーを作成しましょう。もちろん、これらのローカル管理者アカウントには強力なパスワードを設定したいはずです。このケースでは、最も強い複雑性を使用して 20 文字のパスワードを強制します。次に、ILT を使って C-Level セキュリティ グループをターゲットにします。下のスクリーンショットをご覧いただくと、コンピューター名、OU Match、Site Match、コンピューターのフォーム ファクター（Laptop 対 Desktop）など、ターゲット可能なオプションが多数あることが分かります！
おまけとして、Group Policy Editor 内で作成した従来の GPO は通常 Group Policy を使ってのみ展開できますが、PolicyPak の設定は SCCM、KACE、またはお使いの MDM サービスなど、さまざまな方法で展開できます。
そのプロセスについて詳しくは、 この動画 で、Group Policy エンジン自体は使わずに Group Policy 設定を配信する手順を紹介しているのでご覧ください。
ヒント 5：LAPS を PolicyPak Least Privilege Manager と組み合わせましょう
Local Administrator Password Solution は、最も重要なマシンへの管理者アクセスをより厳密にするための優れたツールです。実際に、PolicyPak Least Privilege Manager と組み合わせるのも最適です。PolicyPak Least Privilege Manager は、ローカル管理者権限を持つ必要を完全に取り除き、標準ユーザーが管理者のように特別な機能を実行できるようにします……ただし、実際の管理者権限は付与されません。
この2つを組み合わせることで、すべてのエンタープライズ マシンに LAPS を適用できます……もはやローカル管理者アクセスは必要なくなるためです。
結局のところ、グループ ポリシー（Group Policy）でできることは何でも、PolicyPak ならより良く実現できます。LAPS を導入し、PolicyPak を追加して、より高いセキュリティ、パワー、そして俊敏性を手に入れてください。
共有されたローカル管理者パスワードは、1台の侵害されたマシンを、それらを使用するすべてのマシンへのアクセスに変えます。これはローカル管理者パスワードソリューションが対処する問題です。各デバイスに固有のパスワードを設定することで再利用を防げますが、すべての資格情報を保存し定期的に更新する必要があるため、インベントリの問題が生じます。
LAPSとは何ですか？
LAPSの仕組み
パスワード生成
手動で管理することは非現実的になるため、多くの管理者がアカウントを無効にし、76％の組織が不要になった際に即座に常設アクセスを取り消せないことが、Netwrix 2026 Data and Identity Security Reportによって報告されています。
すべての管理対象デバイスは、アクティブなポリシーを処理するバックグラウンドタスクによって駆動される同じサイクルを実行します 毎時間 Group Policyの更新サイクルとは独立して。
Directory ストレージ
このアカウントは、ドメイン信頼関係のリセットや他の方法が失敗した場合のIPアドレスのハードコーディングなど、即時の修復に今でも役立ちます。Windows LAPSはその回復アクセスを保持し、パスワード管理を自動化します。
回転
LAPSは、管理者がドメイン参加コンピューターのローカル管理者パスワードを管理し、Active Directoryに保存できるMicrosoftのツールです。現在のバージョンでは、Windows LAPSはパスワードをMicrosoft Entra IDにバックアップすることもできます。各デバイスは、定義された長さと複雑さの要件を満たす独自のランダムなパスワードを生成するため、2台のマシンが同じ資格情報を共有することはありません。to Microsoft Entra ID. Each device generates its own random password that meets defined length and complexity requirements, so no two machines share a credential.
取得
Windows LAPSを有効にするポリシーがGroup PolicyまたはMicrosoft Intuneを通じてデバイスに届くと、デバイスはポリシーの長さと複雑さの要件を満たすランダムなパスワードを生成し、管理対象のローカル管理者アカウントに適用します。
デバイスはポリシーのパスワード有効期限に基づく期限とともに、設定されたディレクトリにパスワードを保存します。Active Directoryでは、パスワードはコンピューターオブジェクトの機密属性に平文または暗号化された状態で保存されます。各デバイスが自身のパスワードを書き込むため、コンピューターはLAPS属性への書き込み権限が必要であり、別の小規模なグループが読み取り権限を持ちます。
有効期限が来ると、デバイスは新しいパスワードを生成して保存します。パスワードのローテーションは、管理者がデバイス上で Reset-LapsPassword を実行したり、ディレクトリで有効期限を設定したり、管理対象アカウントのサインイン後にポリシーに従ってパスワードをローテーションしたりすることで、早期に行われることもあります。
LAPSが保護するもの
認可された管理者は、そのマシンにサインインする必要があるときに、PowerShell または Active Directory Users and Computers を通じてパスワードを取得します。
LAPSはローカル管理者の資格情報自体の弱点を狙っています：多くのマシンで同じパスワード、使用後も有効なパスワード、そして多くの人が読めるパスワードです。
Netwrix Privilege Secure は、各管理セッションに対してタスクスコープのアカウントを作成し、セッション終了時に削除します。デモをリクエストしてください。
Pass-the-hash と横方向の移動
ヘルプデスク作業での共有資格情報
到達不能なデバイス
許可されていないパスワードの読み取り
リモートヘルプデスク作業はローカル管理者アクセスが必要で、多くの技術者が知っていて誰も変更しないパスワードが、チケット終了後も長期間アクセスを維持します。LAPSを使うと、技術者は1台のマシンのパスワードを取得してサインインし、使用後にパスワードが変更されるため、覚えた資格情報は無効になります。
ドメインの信頼関係が破損しているか、ドメインアカウントでサインインできないデバイスでも、現在のパスワードを知っている限りローカル管理者アカウントを通じてアクセス可能です。LAPSはそのパスワードをディレクトリに保持し、管理者がアクセスできないデバイスにサインインして復旧できるようにします。
Windows LAPS と legacy Microsoft LAPS の比較
保存されたパスワード自体がターゲットになるため、access control modelが重要です。Active Directoryの権限とオプションの暗号化により、誰が各パスワードを読み取ったり復号したりできるかが決まり、Microsoft Entra IDはロールベースのアクセス制御を使用しているため、許可された閲覧者のみが特定のパスワードを取得します。
パスワードハッシュを解読せずに盗まれたハッシュを再利用するpass-the-hash attackは、共有されたローカル管理者パスワードにより、そのハッシュが使用されるすべてのマシンで有効になるため、1台の侵害されたワークステーションがラテラルムーブメントをネットワーク全体で可能にします。LAPSを使用すると、各デバイスに異なるパスワードが設定されているため、1台のマシンから盗まれたハッシュはそのマシンでのみ認証されます。
2つの製品がLAPSという名前を共有しており、その違いがパスワードの保存場所、暗号化の有無、Microsoftが問題を修正する期間を決定します。
Windows LAPSが追加するもの
Windows LAPSは別の実装であり、レガシー製品のアップデートではないため、異なるアカウントを管理する場合にのみ、両方を1台のデバイスで実行できます。
Windows LAPSは2023年4月11日のWindowsアップデートで提供され、OSに組み込まれているため、クライアントパッケージを配布する必要はありません。
- Microsoft Entra IDへのバックアップは2023年10月23日に一般提供が開始され、Entra-joinedおよびhybrid-joinedデバイスを同じモデルに統合しました。
- Active Directoryでは、Windows LAPSが保存されたパスワードを暗号化し、パスワード履歴を保持でき、ドメインコントローラーはDSRMアカウントのパスワードをバックアップできます。
- Windows 11 24H2 と Windows Server 2025 はパスフレーズ生成と自動アカウント管理を追加します。
レガシーLAPSの廃止が意味すること
どのバージョンを使用するか
MicrosoftはWindows 11 23H2以降でレガシーMicrosoft LAPSのサポートを終了しました。新しいOSはレガシーインストーラーをブロックし、Microsoftは製品のコード変更を検討していません。サポートは古いWindowsバージョンでのみ、そのバージョンのサポート終了まで継続されます。
- 各バージョンは専用のイベントログに書き込み、PowerShellモジュールを提供します。
LAPSは、従来のAdmPwdコマンドレットに代わるものです。
Windows LAPSにはレガシーなエミュレーションモードが含まれており、移行中に既存のレガシーポリシーを尊重します。パスワードを平文で保存し、暗号化やパスワード履歴を使用できないため、橋渡しとして扱ってください。
Windows 11 23H2以降およびWindows Server 2025以降の新規展開にはWindows LAPSを使用してください。Windows 11 22H2および21H2、Windows Server 2022および2019、Windows 10などの以前のサポート対象リリースには、2023年4月11日以降の更新プログラムが必要です。
Windows LAPSの設定と使用方法
Netwrix Privilege Secureは常設管理者アカウントを、自動的に取り消されるジャストインタイムの特権セッションに置き換えます。デモをリクエストしてください。
Windows 10はサポート終了を2025年10月14日に迎え、Windows LAPSはExtended Security Updatesプログラムなどで更新を受けているWindows 10デバイスでのみ利用可能です。新規導入にはWindows 11またはサポートされているWindows Serverのバージョンを使用してください。
ステップ1：要件を確認する
更新プログラムに含まれる Windows LAPS PowerShell モジュールがあるサーバーまたはワークステーションで、次の手順を実行してください。
これらの手順は、Windows LAPSをドメイン参加デバイスに展開し、パスワードをActive Directoryにバックアップします。
各デバイスが2023年4月11日以降の更新プログラムを適用したサポート対象のオペレーティングシステムを実行し、Active Directoryに参加またはハイブリッド参加していることを確認してください。パスワードの暗号化には2016年以降のドメイン機能レベルが必要であり、DSRMバックアップにはWindows Server 2019以降を実行するドメインコントローラーが必要です。
ステップ2：Active Directoryスキーマを更新する
ステップ3：権限を付与する
Windows LAPS がコンピューター オブジェクトの新しい属性にパスワードを保存できるように、フォレストごとにスキーマを拡張します。Windows Server 2019 以降のドメイン コントローラー、またはモジュールがあるサーバーでコマンドレットを実行してください。
次に、そのOUにすでに拡張権限を持つユーザーを確認します。すべてのWindows LAPSパスワード属性は機密情報であるため、拡張権限を持つ主体はそれらを読むことができます：
展開には、自分のパスワードを作成するデバイス、パスワードを読むグループ、および有効期限を強制できるグループ（多くの場合同じグループ）が必要です。各グループに対して、コンピューターが所属する組織単位に権限を付与してください:
ステップ4: Group Policyでポリシーを設定する
パスワードを読むべきでないプリンシパルから拡張権限を削除してください。
このコマンドレットは スキーマ属性 を追加します。例として msLAPS-Password、msLAPS-EncryptedPassword、および msLAPS-PasswordExpirationTime。同じフォレスト内の他のドメインでは繰り返す必要はありません。
ステップ5：適用されたポリシーを確認する
ターゲットデバイスで、Windows LAPSのイベントログにあるイベントID 10018 を確認してください。これはパスワードがActive Directoryに書き込まれたことを示します。時間単位のサイクルを待ちたくない場合は、今すぐポリシーを処理してください：
Active Directory用にBackupDirectoryを2に設定し、AdministratorAccountNameは未設定のままにして、Windows LAPSが名前ではなくよく知られた相対識別子で識別する組み込み管理者アカウントを管理し、カスタムアカウントに対してのみ構成してください。Windows LAPSはそのカスタムアカウントを作成しないため、Windows 11 24H2またはWindows Server 2025で自動アカウント管理を有効にしない限り、最初に作成してください。
ステップ6: パスワードを取得する
コンピューター側のグループポリシーオブジェクト（GPO）を作成し、コンピューターの構成 > ポリシー > 管理用テンプレート > システム > LAPS を開いて、Windows LAPSのpolicy settingsを構成します。 LAPS.admx テンプレートはローカルの PolicyDefinitions フォルダーに含まれており、central storeを使用している場合は、Windows の更新プログラムが自動でコピーしないため、手動でコピーしてください。
同じ人々がActive Directory Users and Computersのコンピューターオブジェクトのプロパティからパスワードを読むことができます。
ステップ3のリーダーグループのアカウントを使って、特定のマシンにアクセスする必要があるときに現在のパスワードを取得します:
ステップ7：必要に応じてパスワードを変更する
次に、コンピューターオブジェクトに新しいまたは更新された msLAPS-PasswordExpirationTime 属性があることを確認します。イベント 10018 が一度も表示されないか、属性が空のままの場合は、ステップ3のGPOリンクと自己書き込み権限を再確認してください。
組み込みアカウントの名前も 少し推測しにくく 変更してください。ただし、アカウントのよく知られた識別子が利点を制限します。パスワード設定を未構成のままにすると、PasswordAgeDays はデフォルトで30、PasswordLength は14、そして PasswordComplexity は4です。
技術者がパスワードを使用した後、またはそれが露出した可能性のあるイベントの後は、パスワードを変更してください。デバイス上で次を実行します：
Microsoft Entra IDを使用したWindows LAPS
これらの7つのステップを実施すると、組織単位内のすべてのデバイスがActive Directoryに独自のパスワードを保持します。リーダーグループはそれを取得してローテーションでき、時間ごとのポリシーサイクルが追加作業なしでローテーションスケジュールを維持します。
ディレクトリ側で有効期限を現在に設定すると、デバイスは次のポリシーサイクルで回転するか、Invoke-LapsPolicyProcessing を実行するとすぐに回転します:
管理者は最初にテナントの Windows LAPS を有効にする必要があります。Entra ID は既定で管理対象デバイスからの新しいパスワードを受け付けません。
Entraのロールベースアクセス制御はパスワードを保護し、デフォルトではGlobal Administrator、Cloud Device Administrator、およびIntune Administratorのロールのみがパスワードを取得できるため、これらの高権限ロールを持つユーザーを確認してください。
レガシーLAPSからWindows LAPSへの移行方法
ポリシーはMicrosoft IntuneとWindows LAPS構成サービスプロバイダーから提供され、BackupDirectoryが1に設定されており、取得はMicrosoft GraphのGet-LapsAADPasswordまたはEntraおよびIntuneポータルを通じて行われます。
Microsoft Entra IDにのみ参加しているデバイスはMicrosoft Entra IDにのみバックアップし、Active Directoryにのみ参加しているデバイスはActive Directoryにのみバックアップし、ハイブリッド参加デバイスはどちらか一方を選択し、両方は選択しません。Entra IDはスキーマ拡張やActive Directoryの権限を必要としないため、上記のセットアップ手順はこれらのデバイスには適用されません。
ドメインに参加しているWindowsデバイス上で動作し、すべての管理対象マシンに拡張機能があり、スキーマ拡張と単一の管理されたローカル管理者アカウントがあります。
- ポリシー: レガシーグループポリシーには、「ローカル管理者パスワード管理を有効にする」を含む4つの設定があります。
- クライアント: スタートメニューにあるLAPSのユーザーインターフェース（ファットクライアント）は、権限を持つユーザーがデバイスのパスワードを照会できます。
- 属性： パスワードは
ms-Mcs-AdmPwdにプレーンテキストで保存され、ms-Mcs-AdmPwdExpirationTimeはリセット時間を保持します。 - 展開： 管理者は通常、ソフトウェア展開ツールを使ってエンドポイントに拡張機能を配布します。
- コマンド:
Update-AdmPwdADSchemaスキーマを拡張し、Get-AdmPwdPassword -ComputerName 「コンピューター名」パスワードを取得します。
レガシー展開はまだ一般的なので、移行前に自分の展開を特定してください。レガシー展開は、ダウンロード可能なMicrosoftインストーラー、そのGroup Policyクライアント拡張機能（AdmPwd extension）、Group Policy Management Console用の管理ツール、およびAdmPwd.admxとAdmPwd.admlテンプレートを使用します。
ステップ1：移行方法を選択する
移行前にセットアップセクションでWindows LAPSスキーマの更新と権限付与を完了してください。
ステップ2：レガシーポリシーを無効にし、Windows LAPSポリシーを適用します
ステップ3：移行を確認する
- Windows LAPSのイベントログでパスワード更新成功イベントを確認してください。
移行中の組織単位のレガシーGPOのリンクを解除または無効化し、できるだけ同時にWindows LAPS GPOをリンクしてください。デバイスが初めてWindows LAPSポリシーを適用すると、管理対象アカウントのパスワードが即座に変更されるため、誰もそのマシンの即時パスワードを必要としない時間帯に変更をスケジュールしてください。
サンプルデバイスで移行を確認してください：
即時の移行は 1回の変更でデバイスをレガシー管理からWindows LAPS管理に切り替えます。並行アプローチでは、既存のアカウントにレガシーLAPSを維持しつつ、Windows LAPSが2つ目のローカルアカウントを管理し、最後に余分なアカウントを削除します。レガシーポリシーとWindows LAPSポリシーは、同じデバイスの同じアカウントを対象にしてはなりません。
ステップ4：レガシーソフトウェアを削除する
- コンピューターオブジェクトに
msLAPS-PasswordExpirationTimeの新しい値があることを確認してください。 - 新しいパスがエンドツーエンドで機能することを証明するために、
Get-LapsADPasswordでパスワードを取得します。
対象範囲内のすべてのデバイスがWindows LAPSで報告したら、エンドポイントからレガシー拡張機能をアンインストールし、管理用ワークステーションから管理ツールをアンインストールします。MSIインストールの場合は、管理者権限のコマンドプロンプトからこれを実行してください：
LAPSの展開を安全に保つ方法
パスワードを閲覧できるユーザーを制限する
動作する展開と安全な展開は、誰がパスワードを読めるか、どのように保存されるか、使用済みパスワードがどれくらい早く期限切れになるかで異なります。
Active Directoryのパスワードを暗号化する
委任変更後に Find-LapsADExtendedRights を再実行してください。拡張権限の保持者は機密パスワード属性を読むことができます。
ウォークアップ修理を行うヘルプデスク階層など、専用のセキュリティグループに読み取り権限を付与し、広範なITグループは除外してください。Domain Adminsはすでにパスワードを読むことができるため、このグループはそれに加わり、そのメンバーは他の特権グループと同様のアクセスレビューを受けるに値します。
強力なパスワード設定を行う
デバイスがパスワードを ADPasswordEncryptionEnabled するように有効にし、msLAPS-EncryptedPassword 属性に書き込む前に暗号化します。暗号化には2016年以降のドメイン機能レベルが必要です。
読み取り権限は復号権限を付与せず、ADPasswordEncryptionPrincipal は復号を許可された単一のユーザーまたはグループを指定し、未設定の場合はデフォルトでDomain Adminsになります。読み取りグループに設定してください。復号できない属性を読み取れるヘルプデスクには意味がありません。
使用後にパスワードをリセットする
暗号化はパスワード履歴も解除するため、技術者が前のパスワードを必要とする場合に備えて ADEncryptedPasswordHistorySize （デフォルトは0、最大12まで設定可能）を設定してください。
異なるデバイスに異なるポリシーを使用する
敏感なデバイスの遅延を短縮し、技術者が10分で終了した場合はステップ7のオンデマンド回転と組み合わせて、資格情報が午後まで残らないようにします。
有効なWindows LAPSパスワードを持つユーザーは管理者権限を取得し、これらのメカニズムを防止または回避できるため、リセットは強制せずに露出を制限します。
PostAuthenticationActions は、管理されたアカウントで認証した後に何が起こるかを制御し、PostAuthenticationResetDelay はデバイスが待機する時間を制御します。デフォルトでは、デバイスは認証後24時間でパスワードをリセットし、管理されたアカウントからサインアウトします。遅延が0の場合、これらのアクションは無効になります。
ドメインコントローラーの回復アカウントをバックアップする
ローカル管理者アカウント名がServAdm1nのサーバーは1つのポリシーを使用でき、役員用ノートパソコンは20文字のパスワードを強制する別のポリシーを使用でき、それぞれのGPOは対応する組織単位にリンクされるか、セキュリティグループにフィルターされます。
パスフレーズ、自動アカウント管理、および認証後のアクション11はWindows 11 24H2およびWindows Server 2025にのみ適用されるため、古いOSと新しいOSで別々のポリシーを使用してください。
LAPSの限界
LAPSは常設の管理者アカウントを残します
ドメインコントローラーで ADBackupDSRMPassword を有効にして、Windows LAPS が DSRM アカウントのパスワードをバックアップできるようにします。これはパスワードの暗号化と Windows Server 2019 以降のドメインコントローラーが必要です。
LAPSはローカル管理者の資格情報を保護し、常時アクセス、承認ワークフロー、非Windowsのカバレッジは他のコントロールに任せます。
デバイスが必要とする場合は、デフォルトの14文字以上に PasswordLength を最大64まで引き上げ、PasswordComplexity を4以上に保ちます。Windows 11 24H2およびWindows Server 2025では、複雑度の値6から8が電話で読みやすいパスフレーズを生成し、PassphraseLength は単語数を設定します。各設定はデバイスのローカルパスワードポリシーに合わせてください。不適合な値はWindows LAPSがパスワードを作成できず、イベント 10027 を記録します。
管理対象アカウントは使用間に無効化できるローカル管理者アカウントのままであり、LAPSはパスワードをユニークにしてローテーションします。Netwrix 2026 Data and Identity Security Reportによると、常時特権アクセスが標準の場合、侵害率がさらに7ポイント上昇することがわかりました。
LAPSには承認やセッションのワークフローがありません
LAPSはWindowsのみ対応しています
Windows LAPSはDSRMパスワードをMicrosoft Entra IDにバックアップできません。すべてのドメインコントローラーがダウンしている場合、Get-LapsADPassword コマンドの -Port パラメーターはマウントされたディレクトリのバックアップからパスワードを読み取ります。
Netwrixが常駐ローカル管理者アクセスを削減する方法
常設のローカル管理者アクセスをジャストインタイムアクセスに置き換えます
ローカル管理者権限の必要性をlocal administrator rights 完全に取り除くことが最も効果的な方法です。標準ユーザーはそれなしで特別な作業を処理でき、LAPSが管理するアカウントは滅多に使われない緊急用資格情報になります。LAPSとleast privilegeは連携して機能し、LAPSが残りのアカウントを保護します。
Windows LAPSは、Active DirectoryまたはMicrosoft Entra IDに参加しているWindowsデバイスのローカルアカウントを管理し、Microsoft Entra workplace-joinedクライアントはサポートしていません。Linuxホスト、macOSノートパソコン、ネットワーク機器は対象外であり、ディレクトリに参加していないWindowsマシンも含まれません。
読み取り権限を持つ者は委任された範囲内でパスワードを取得でき、取得したパスワードは回転するまでローカル管理者権限を付与します。認証後の遅延がそのウィンドウを制限し、権限リストは誰がパスワードを取得できるかを特定します。LAPSは資格情報を管理し、管理者がサインイン後に行った操作を記録しないため、別の監査で彼らの行動が示されます。
日常の管理作業ではしばしばアクティブなアカウントが残り、Netwrix Privilege Secureがそのアカウントを対象とします。
管理者が昇格アクセスで行う操作を記録する
常駐特権アカウントを見つける
Netwrix Privilege Secureは常時管理者権限をジャストインタイムアクセスに置き換え、タスクに必要なアクセスのみを作成し、タスク終了時に削除します。昇格は時間制限があり自動で期限切れとなるため、使用間に永続的な昇格資格情報がアイドル状態になることはありません。
日常管理のためにLAPSをジャストインタイムアクセスと組み合わせる
Eastern Carver County Schoolsは、Red Teamsが過剰かつ不必要なprivileged accessを通じて重要なシステムに繰り返しアクセスするのを目撃しました。Netwrix Privilege Secureを使用して、地区は作業完了後に削除される一時アカウントを介して即座にアクセスを付与し、数か月ではなく数日で重要システムのprivileged access managementを実装しました。
Netwrix Privilege Secureは、Privileged Access Management製品であり、特権セッションを記録および監視します。昇格セッション中に何が起こったかを尋ねる監査人には、そのセッション自体が提供されます。この記録は、LAPSが提供しない法医学作業のための監査証跡を調査者に提供します。
Netwrix Privilege Secure は環境をスキャンして隠れた特権アカウントを検出します。結果を使用して、LAPSが管理すべきアカウント、ジャストインタイムアクセスに移行すべきアカウント、削除すべきアカウントを決定してください。
適切なLAPSの展開では、レガシー製品の代わりにWindows LAPSを使用し、パスワードを適切なディレクトリで暗号化し、閲覧できるユーザーを制限し、使用後にパスワードをローテーションし、古いクライアントをまだ使用しているデバイスを移行します。
維持すべきアカウントを保護します。それ以外の管理作業については、常設アカウントが本当に必要かを確認し、作業の期間、自動取り消し、セッション証拠に応じて制御を調整してください。
Netwrix Privilege Secureは、その決定のルーチン管理側をjust-in-time access、セッション記録および常設特権アカウントの検出でカバーします。
デモをリクエストして、Netwrix Privilege Secureが常設管理者アカウントをジャストインタイムセッションに置き換え、管理者の操作を記録し、まだ存在する常設特権アカウントを検出する方法をご覧ください。
ローカル管理者パスワードソリューション（LAPS）に関するよくある質問
共有する
もっと詳しく
著者について
