Windows LAPSを利用している組織が今回の情報を受けて確認すべきポイントは、ポリシーの配布元、パスワードの保存先、管理対象アカウント、OSの対応状況、監査権限の5点です。緊急パッチのように全組織で即時作業が必要になる更新ではありませんが、設定が競合している環境や、Microsoft Entra IDにパスワードを保存しているつもりで実際には保存できていない環境では、早急な確認が必要です。
特に注意したいのは、Windows LAPSではCSP、グループポリシー、ローカル設定、旧Microsoft LAPSの間に明確な優先順位があり、設定値が自動的に統合されないことです。Intuneで1項目だけ設定したつもりでも、グループポリシー側の設定全体が無視され、未設定項目には既定値が使われる場合があります。(Microsoft Learn)
なお、2026年7月7日付の更新情報として扱われる本件と、参照先ページのメタデータには差があります。Microsoft Learnのページ上では最終更新日が2025年7月1日と表示され、公開GitHub履歴では2026年5月18日と4月16日の修正が確認できます。そのため、2026年7月7日にWindows LAPSの新機能が一斉展開されたと捉えるのではなく、現行のポリシー構成ガイダンスと自社設定を照合するための更新情報として扱うのが安全です。(Microsoft Learn)
Windows LAPSのポリシー構成ガイダンス更新とは
Windows Local Administrator Password Solution、通称Windows LAPSは、Windows端末のローカル管理者パスワードを自動生成し、定期的に変更して、Microsoft Entra IDまたはActive Directoryへ保存する機能です。
端末ごとに異なるローカル管理者パスワードを使用できるため、同じパスワードの使い回しによる横展開や、Pass-the-Hashを利用した侵害拡大のリスクを抑えられます。Microsoft Entra参加端末とハイブリッド参加端末では、Microsoft Entra IDを保存先として利用できます。Active Directory参加端末では、オンプレミスのActive Directoryを保存先として利用します。(Microsoft Learn)
今回のガイダンスで管理者が注目すべきなのは、新しい管理画面や新しいライセンスではありません。次のような、設定ミスにつながりやすい既存仕様の確認です。
| 確認対象 | 見落とした場合に起こり得る問題 |
|---|---|
| ポリシー配布元の優先順位 | Intuneの一部設定によってGPO全体が無視される |
| BackupDirectory | パスワードが意図したディレクトリへ保存されない |
| 管理対象アカウント | 指定したローカルアカウントが存在せず、管理されない |
| OSバージョン | 新しい設定が古いOSで既定値に置き換わる |
| Intuneのポリシー競合 | 設定が端末へ送信されない、または競合状態になる |
| 閲覧・ローテーション権限 | 必要以上の管理者がパスワードを取得できる |
| 監査ログ | パスワード取得や処理失敗を検知できない |
対応要否を最初に判断する
自社がどの程度優先して対応すべきかは、次の表で判断できます。
| 現在の運用状況 | 対応優先度 | 最初に確認すること |
|---|---|---|
| IntuneからWindows LAPSを配布している | 高 | ポリシー競合、BackupDirectory、端末イベント |
| GPOでWindows LAPSを設定している | 高 | CSPとの競合、中央ストアのLAPS.admx |
| Microsoft Entra IDへ保存している | 高 | テナント設定、閲覧権限、監査ログ |
| カスタムのローカル管理者名を指定している | 高 | 対象アカウントが実在するか |
| Windows 11 24H2未満を含む | 高 | 自動アカウント管理などの非対応設定 |
| 旧Microsoft LAPSを利用している | 高 | 新旧ポリシーの混在と移行計画 |
| Windows LAPSをまだ導入していない | 高 | 保存先と管理対象端末を決めて導入する |
| 正常なバックアップと監査を定期確認している | 中 | 権限とアラート条件を再確認する |
Intuneでは、複数のWindows LAPSポリシーが同じ端末に割り当てられ、設定値が異なると競合が発生します。初回適用時から競合している場合は、設定が端末へ送信されないことがあります。Microsoftは、端末ごとに1つのLAPSポリシーを割り当て、ユーザーグループではなくデバイスグループへ割り当てる運用を推奨しています。(Microsoft Learn)
Windows LAPSが保護する対象
1台につき1つのローカル管理者アカウントを管理する
Windows LAPSが管理できるのは、原則として1台の端末につき1つのローカル管理者アカウントです。
管理対象には、次のいずれかを指定できます。
- Windows標準の組み込みAdministratorアカウント
- 管理者があらかじめ作成したカスタムローカルアカウント
- 自動アカウント管理機能でWindows LAPSが作成・管理するアカウント
複数のローカル管理者アカウントを同時に管理する用途には向きません。端末に複数の管理者アカウントが残っている場合、LAPSで管理していないアカウントが攻撃経路にならないよう、不要なアカウントの削除や無効化も必要です。(Microsoft Learn)
組み込みAdministratorは名前を変更しても識別できる
AdministratorAccountNameを空欄にすると、Windows LAPSは名前ではなく既知のRIDを使って組み込みAdministratorアカウントを識別します。
そのため、組み込みAdministratorを「LocalAdmin」などに変更している場合でも、通常は空欄のままで管理できます。組み込みアカウントを管理するだけなら、名前を明示的に指定しない方が、名称変更による設定不一致を防ぎやすくなります。(Microsoft Learn)
カスタムアカウントは存在確認が必要
カスタムアカウント名をAdministratorAccountNameに設定する場合、従来の手動管理モードでは、そのアカウントを事前に作成しておく必要があります。
存在しないアカウント名を指定しても、Windows LAPSが自動で作成してくれるわけではありません。設定自体が適用済みと表示されても、パスワードが管理されない可能性があるため注意が必要です。(Microsoft Learn)
Windows 11 24H2およびWindows Server 2025以降では、自動アカウント管理を利用できます。この機能を有効にすると、Windows LAPSが対象アカウントの作成、名前のランダム化、有効化や無効化などを管理できます。古いOSと新しいOSが混在する場合は、対象OSごとにポリシーを分ける方が安全です。(Microsoft Learn)
Microsoft Entra IDとActive Directoryの保存先を整理する
Windows LAPSでは、BackupDirectoryによってパスワードの保存先を決定します。
| 値 | 保存先 | 主な対象 |
| -: | —————— | ————————— |
| 0 | 保存しない | LAPSを無効にする場合 |
| 1 | Microsoft Entra ID | Microsoft Entra参加、ハイブリッド参加 |
| 2 | Active Directory | Active Directory参加、ハイブリッド参加 |
BackupDirectoryが0の場合、ほかのWindows LAPS設定は基本的に無視されます。パスワードの長さやローテーション間隔だけを設定しても、保存先が無効のままではLAPSは意図した動作をしません。(Microsoft Learn)
参加形態と保存先を一致させる
端末の参加形態と保存先には、次の制約があります。
- Microsoft Entra参加端末はMicrosoft Entra IDへ保存する
- Active Directory参加端末はActive Directoryへ保存する
- ハイブリッド参加端末は、Microsoft Entra IDまたはActive Directoryのどちらか一方へ保存する
- Microsoft Entra登録のみの端末はWindows LAPSのクラウド保存対象外
- Microsoft Entra IDとActive Directoryへの同時保存はできない
Intuneでポリシーが正常に適用されたように見えても、参加形態と保存先が合っていなければ、パスワードのバックアップに失敗することがあります。ポリシーの適用状態だけでなく、実際にパスワードがディレクトリへ保存されたことまで確認してください。(Microsoft Learn)
Microsoft Entra IDへ保存する場合はテナント設定も必要
Microsoft Entra IDを保存先にする場合は、クライアント側のポリシーだけでなく、Microsoft Entra管理センターでもWindows LAPSを有効にします。
基本的な流れは次のとおりです。
- Microsoft Entra管理センターを開く
- IDの「デバイス」からデバイス設定を開く
- Windows LAPSを有効にする
- Intuneなどで
BackupDirectoryをMicrosoft Entra IDに設定する - 端末をIntuneへチェックインさせる
- バックアップ成功イベントと保存済みパスワードを確認する
Microsoft Entra IDへの保存を利用する場合は、テナント側の有効化と端末側のポリシー設定の両方が必要です。(Microsoft Learn)
最重要ポイントはポリシーの優先順位
Windows LAPSは、複数の設定を自動的に統合しません。次の順番で設定場所を確認し、最初に明示的な設定が見つかったルートを採用します。
| 優先順位 | ポリシーの種類 | レジストリルート |
|---|---|---|
| 1 | LAPS CSP／Intune | HKLM\Software\Microsoft\Policies\LAPS |
| 2 | Windows LAPS GPO | HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\LAPS |
| 3 | ローカル構成 | HKLM\Software\Microsoft\Windows\CurrentVersion\LAPS\Config |
| 4 | 旧Microsoft LAPS | HKLM\Software\Policies\Microsoft Services\AdmPwd |
最も重要なのは、優先されたルートに存在しない設定が、下位ルートから引き継がれないことです。
たとえば、GPOでパスワード長や保存先、認証後の処理を細かく設定していても、Intune側でBackupDirectoryだけを設定すると、CSP側が優先されます。その結果、CSP側で未設定の項目にはGPOの値ではなく既定値が使われます。(Microsoft Learn)
実務で起こりやすい設定競合
次の構成は特に注意が必要です。
- GPOからIntuneへ移行中で、両方の設定が残っている
- セキュリティ基準用と部門用のIntuneポリシーが重複している
- 旧Microsoft LAPSのポリシーが残っている
- テスト用CSP設定を削除せず本番端末へ展開している
- ユーザーグループとデバイスグループの両方からポリシーを割り当てている
Intuneの「成功」は、その端末が意図した全設定で動いていることを必ずしも意味しません。端末側のLAPS Operationalログに記録されるポリシーソースまで確認する必要があります。
GPOを利用している場合の注意点
Windows LAPSのグループポリシーは、次の場所にあります。
コンピューターの構成 > ポリシー > 管理用テンプレート > システム > LAPS
Windows LAPSの管理用テンプレートは、通常、各端末の%windir%\PolicyDefinitions\LAPS.admxに配置されます。ただし、Windows UpdateによってActive Directoryの中央ストアへ自動コピーされるわけではありません。
中央ストアを利用している組織は、新しいLAPS.admxと対応する言語ファイルを手動で反映する必要があります。中央ストアが古いままだと、管理画面に新しい設定項目が表示されず、設定漏れにつながります。(Microsoft Learn)
パスワードポリシーで確認すべき値
Windows LAPSの主な設定と既定値は次のとおりです。
| 設定 | 主な内容 | 既定値・注意点 |
|---|---|---|
| PasswordAgeDays | パスワードの有効日数 | 30日。Microsoft Entra ID保存では最低7日 |
| PasswordLength | パスワードの長さ | 14文字。設定可能範囲は8～64文字 |
| PasswordComplexity | 文字種や生成方式 | 4。大文字、小文字、数字、記号を使用 |
| PassphraseLength | パスフレーズの単語数 | 6語。新しいOSのみ対応 |
| PostAuthenticationResetDelay | 使用後に変更するまでの猶予 | 24時間 |
| PostAuthenticationActions | パスワード使用後の処理 | 3。変更後にサインアウト |
| AutomaticAccountManagementEnabled | アカウントの自動管理 | 既定では無効 |
Microsoftは、対応OSではPasswordComplexityを4以上にすることを推奨しています。5～8の新しい生成方式やパスフレーズは、Windows 11 24H2およびWindows Server 2025以降で利用できます。古いOSに非対応値を配布すると、既定値へフォールバックする場合があるため、OS別のポリシー分割が重要です。(Microsoft Learn)
PasswordAgeDaysを変更しても即時ローテーションされない
PasswordAgeDaysを変更しても、現在保存されているパスワードの有効期限が直ちに変更されるわけではありません。また、変更しただけで即時ローテーションが開始されるわけでもありません。
設定変更と同時に新しいパスワードへ切り替えたい場合は、Intuneのローテーション操作などを別途実行し、その後にバックアップ成功を確認します。(Microsoft Learn)
ローカルパスワードポリシーとの不一致に注意する
Windows LAPSで14文字を指定していても、端末側のパスワードポリシーが20文字以上を要求していれば、パスワード更新に失敗します。
Windows LAPSの設定だけでなく、次の設定も確認してください。
- 最小パスワード長
- パスワード履歴
- 複雑さの要件
- カスタムパスワードフィルター
- セキュリティベースライン
- サードパーティー製の認証・端末管理ソフト
パスワードポリシーとの不一致がある場合、LAPS OperationalログにイベントID 10027が記録されることがあります。(Microsoft Learn)
認証後の自動ローテーションを確認する
Windows LAPSでは、管理対象パスワードが認証に使われた後、一定時間が経過するとパスワードを変更できます。
PostAuthenticationActionsの代表的な値は次のとおりです。
| 値 | 動作 |
| -: | —————————- |
| 1 | パスワードを変更する |
| 3 | パスワードを変更し、管理対象アカウントをサインアウトする |
| 5 | パスワードを変更し、端末を再起動する |
| 11 | パスワード変更、サインアウト、残存プロセス終了を行う |
既定値は3です。値11はWindows 11 24H2およびWindows Server 2025以降で利用できます。
PostAuthenticationResetDelayを0にすると、猶予時間がゼロになるのではなく、認証後処理そのものが無効になります。即時変更を意図して0を設定すると、期待とは逆の動作になるため注意してください。(Microsoft Learn)
再起動やプロセス終了を伴う設定は、端末の利用者が編集中のデータを失う可能性があります。一般的な業務用PCでは、まず値1または3を検討し、値5や11はキオスク端末、特権作業端末、用途を限定したサーバーなどで十分にテストしてから導入するのが現実的です。
監査・検知への影響
今回のガイダンス確認によって、新しいWindowsイベントIDが一律追加されるわけではありません。実務上の影響は、ポリシー配布元や保存先が変わることで、確認すべきログや監査場所も変わることです。
端末側のLAPS Operationalログ
端末では、次のログを確認します。
アプリケーションとサービス ログ > Microsoft > Windows > LAPS > Operational
主なイベントは次のとおりです。
| イベントID | 意味 | 管理者の判断 |
|---|---|---|
| 10003 | ポリシー処理開始 | 端末で処理が開始されている |
| 10004 | ポリシー処理成功 | 一連の処理が正常終了した |
| 10005 | ポリシー処理失敗 | 設定や接続、権限を確認する |
| 10021 | AD保存用ポリシーを検出 | 意図した保存先か確認する |
| 10022 | Microsoft Entra ID保存用ポリシーを検出 | ポリシーソースも確認する |
| 10018 | Active Directoryへの保存成功 | AD側の保存成功を確認できる |
| 10029 | Microsoft Entra IDへの保存成功 | クラウドへの保存成功を確認できる |
| 10020 | ローカルアカウント更新成功 | 端末側のパスワード変更が完了した |
| 10031 | 外部からのパスワード変更要求をブロック | 繰り返す場合は発生元を調査する |
| 10041 | 管理対象パスワードによる認証を検出 | 認証後処理がスケジュールされた |
| 10043 | 認証後処理に失敗 | 再試行や端末状態を確認する |
| 10044 | 認証後処理に成功 | ローテーションと後処理が完了した |
Microsoft Entra IDへ保存する端末では、正常時に10022、10029、10020、10004などが確認できるかを一つの目安にできます。ただし、記録順序や表示内容は処理状況によって異なるため、単一イベントだけで正常性を判断しないことが重要です。(Microsoft Learn)
PowerShellでは、代表的なイベントを次のように確認できます。
$LapsEventIds = 10004,10005,10018,10020,10021,10022,10029,10031,10041,10043,10044
Get-WinEvent `
-LogName 'Microsoft-Windows-LAPS/Operational' `
-MaxEvents 200 |
Where-Object {
$_.Id -in $LapsEventIds
} |
Select-Object TimeCreated, Id, LevelDisplayName, MessageMicrosoft Entra IDの監査ログ
Microsoft Entra IDを保存先にしている場合、Microsoft Entra管理センターの監査ログで次のアクティビティを確認できます。
Update device local administrator passwordRecover device local administrator password
前者はパスワード更新、後者は管理者によるパスワード取得を示します。特にパスワード取得は、管理者の正当なサポート作業なのか、不審な資格情報収集なのかを区別できるようにしておく必要があります。(Microsoft Learn)
監視対象として有効なのは、次のような操作です。
- 通常は取得しない管理者によるパスワード取得
- 短時間に多数の端末パスワードを取得する操作
- 深夜や休日のパスワード取得
- 退職予定者や異動者による取得
- パスワード取得後にローテーションされていない端末
- 同一端末で繰り返される取得操作
Microsoft Entra IDへ保存していない端末の操作は、Microsoft Entra IDの監査ログだけでは追跡できません。Active Directory保存の場合は、端末のLAPS OperationalログやActive Directory側の監査を組み合わせて確認します。
Intuneのレポート
Intune管理センターでは、「エンドポイントセキュリティ」の「アカウント保護」からWindows LAPSポリシーの状態を確認できます。
見るべき状態は、単純な成功件数だけではありません。
- 成功
- エラー
- 競合
- 保留中
- 設定項目ごとの状態
- 競合元となっているポリシー
特に「競合」は、同じ端末に異なるLAPS設定が複数割り当てられている可能性を示します。端末単位でドリルダウンし、どのポリシーが競合しているかを確認してください。(Microsoft Learn)
パスワード閲覧権限を最小化する
Microsoft Entra IDに保存されたWindows LAPSパスワードは、誰でも閲覧できるわけではありません。パスワードの取得には、microsoft.directory/deviceLocalCredentials/password/readに相当する権限が必要です。
Microsoft Entra IDの組み込みロールでは、Cloud Device AdministratorやIntune Service Administratorなどがパスワードを取得できます。一方、Helpdesk Administrator、Security Administrator、Security Readerは、標準ではメタデータの確認にとどまります。(Microsoft Learn)
管理者は次の点を確認してください。
- パスワードを閲覧できるロールの割り当て人数
- 常時割り当てが本当に必要か
- 外部委託先に閲覧権限が付与されていないか
- パスワード取得時に多要素認証を要求しているか
- 取得理由をチケット番号などと関連付けているか
- 取得後の手動ローテーション手順が定められているか
Intuneからローカル管理者パスワードを手動ローテーションする権限は、パスワードを閲覧するMicrosoft Entraロールとは別に管理されます。ローテーション操作を担当者へ委任する場合は、必要なリモートタスク権限だけを付与したカスタムIntuneロールを検討します。(Microsoft Learn)
管理者が優先して実施すべき対応
最優先で確認する項目
まず、代表的な端末を3～5台選び、次の項目を確認します。
- 端末がMicrosoft Entra参加、ハイブリッド参加、AD参加のどれか
BackupDirectoryが参加形態と一致しているか- CSP、GPO、旧LAPSの設定が重複していないか
- Intuneで競合やエラーが発生していないか
- 管理対象のローカルアカウントが実在するか
- イベントID 10029または10018で保存成功を確認できるか
- Microsoft Entra IDまたはActive Directoryに最新パスワードが存在するか
- パスワード取得操作が監査ログへ残るか
この確認で問題が見つかった場合は、全端末へ対象を広げます。
1週間以内に整理したい項目
次に、ポリシーと権限を整理します。
- 1台の端末に割り当てるLAPSポリシーを原則1つにする
- Intuneの割り当てをデバイスグループ中心に統一する
- 不要なCSP、GPO、旧LAPS設定を削除する
- Windows 11 24H2以上と古いOSでポリシーを分ける
- カスタムアカウントの作成方法を統一する
- GPO中央ストアのLAPS.admxを更新する
- パスワード閲覧権限を必要最小限にする
- 監査ログの保存期間と確認担当者を決める
計画的に進める項目
旧Microsoft LAPSを利用している場合は、Windows LAPSへの移行計画を作成します。
移行時には、単に新しいGPOを追加するのではなく、次の順序で進めると安全です。
- 対象端末と旧LAPSポリシーを棚卸しする
- Microsoft Entra IDとActive Directoryのどちらへ保存するか決める
- テスト端末へWindows LAPSを適用する
- 保存成功、閲覧、ローテーション、監査を確認する
- 段階的に対象端末を増やす
- 旧LAPSの設定と管理ツールを整理する
- ヘルプデスクの取得手順を更新する
よくある設定ミス
Intuneで成功と表示されているため、バックアップも成功していると思う
ポリシーの適用成功と、パスワードのバックアップ成功は別です。Microsoft Entra ID保存ならイベントID 10029、Active Directory保存なら10018を確認し、実際にディレクトリからパスワードを取得できることまで検証します。
カスタム管理者名を指定すればアカウントも作成されると思う
従来の手動管理モードでは作成されません。対象アカウントを別の方法で事前作成するか、対応OSで自動アカウント管理を利用します。
GPOの未設定値がIntuneへ引き継がれると思う
引き継がれません。CSPが優先された場合、CSP側で未設定の値には既定値が使われます。移行期間中は特に注意が必要です。
BackupDirectoryだけ設定すればMicrosoft Entra IDへ保存されると思う
テナント側でWindows LAPSが有効になっていること、端末が対応する参加状態であること、端末がチェックインしていることも必要です。
PasswordAgeDaysを短くすれば、すぐに新しいパスワードになると思う
設定変更だけでは即時ローテーションされません。必要に応じて手動ローテーションを実施し、保存成功を確認します。
PostAuthenticationResetDelayを0にすれば即時変更になると思う
0は認証後処理の無効化です。即時変更を意図した設定としては利用できません。
まとめ
今回のWindows LAPSポリシー構成ガイダンスで最も重要なのは、設定項目を増やすことではなく、現在の構成が実際にどのポリシーソースから適用され、どこへパスワードが保存されているかを確認することです。
特に、次のいずれかに該当する組織は優先して確認してください。
- IntuneとGPOを併用している
- 旧Microsoft LAPSから移行中である
- Microsoft Entra IDへパスワードを保存している
- カスタムローカル管理者アカウントを指定している
- Windows 11 24H2未満の端末が混在している
- 複数のIntuneポリシーを割り当てている
- パスワード取得権限を広く付与している
- LAPS Operationalログを監視していない
最初の作業として、代表端末でイベントID 10022または10021を確認し、続いて10029または10018によるバックアップ成功を確認します。そのうえで、Intuneの競合状態とMicrosoft Entra IDのパスワード閲覧権限を点検すれば、対応要否を具体的に判断できます。
コメント