社内のパソコンを点検していて、ふと気づくことがあります。どのパソコンも、ローカルのAdministratorのパスワードが同じ。マスターのイメージを作って全台に流し込んだので、そのイメージに入っていたパスワードが、そのまま何百台にも配られている。普段はドメインの管理者でサインインしているので、ローカルのアカウントのことは誰も気にしていない。

これは珍しい構成ではありません。そして、攻撃する側にとっては、とても都合のよい構成です。1台で手に入れたパスワードが、そのまま隣のパソコンでも通るからです。

この記事は、メンバー限定動画「Windows LAPSでwindowsのローカル管理者のパスワードを管理！」を中心に、無料動画「Active Directory入門 Part 5：ドメイン参加」、メンバー限定の「Active Directory入門 Part 8：スキーマ」「Part 12：バックアップからの復元」を素材に、Windows LAPS（ローカル管理者パスワード ソリューション）を入れるときの判断をまとめたものです。設定とパスワードの取り出し方は、2026年10月29日時点のMicrosoft Learnで確認しました。先に結論を書きます。

  1. Windows LAPSは、Windowsに最初から入っている。 2023年4月の更新以降のWindows 10・11、Windows Server 2019以降なら、追加のインストールもライセンスも要らない
  2. 保存先は、パソコンの参加先で決まる。 ADだけに参加しているならAD、Entra IDだけならEntra ID、ハイブリッド参加ならどちらか一方。両方には保存できない
  3. 「パスワードを平文で保存して大丈夫か」の答えは、保存先の読める人を絞れるかどうか。 ADでもドメインの機能レベルが2016以上なら、既定で暗号化して保存される
  4. パスワードは、使ったら自動で変わる。 既定では、サインインに使われてから24時間後にパスワードを変え、そのアカウントをサインアウトさせる
  5. ドメインコントローラーのDSRMのパスワードも、同じ仕組みでDCごとに管理できる

「全台同じ」は、イメージを流し込んだ時点で始まっている

動画は2分13秒から（メンバー限定）、この構成がなぜ生まれるのかを、図を描きながら説明しています。パソコンを1台ずつセットアップすれば、パスワードを1台ずつ変えることはできます。でも、その台数分のパスワードを誰かが管理して、必要なときに引き出せるようにしておくのは大変です。パスワードが分からなくなったパソコンは、結局初期化するしかなくなる。だから現実には、イメージを流し込むか、自動展開の仕組みで同じパスワードのアカウントを作る、という形に落ち着きます。

続く3分38秒から（メンバー限定）が、その構成の行き着く先です。どこか1台でパスワードが漏れたり、1台が乗っ取られたりすると、同じパスワードを使って隣のパソコンへ、さらに隣へと横に移動できてしまう。公式の「Windows LAPS とは」も、最初の段落で同じことを書いています。ローカル管理者アカウントは多くのデバイスで同じパスワードを共有していることが多く、それが環境の中を横に移動するのに悪用される、と。

偽の確認画面からコマンドを実行させるClickFixの記事で、「1台でやられたときに横へ広がらない状態にしておく」ことを対策に挙げたのは、この理由です。入口を完全に塞ぐことはできません。だから、1台目で止まる構成にしておく必要があります。

ドメインに参加しても、ローカルのアカウントは消えない

「うちはActive Directoryで管理しているから、ローカルのアカウントは関係ない」と考えがちです。そうではないことは、無料動画で確かめられます。

「Active Directory入門 Part 5：ドメイン参加」の6分1秒からでは、ドメインに参加させたパソコンのサインイン画面で、サインイン先をADにするかローカルにするかを選べることを見せています。.\Administrator と打てばローカルのAdministrator、AD\Administrator と打てばドメインのAdministrator。名前は同じでも完全に別のユーザーで、デスクトップのファイルも別々です。ドメインに参加した後も、ローカルのAdministratorはそのパソコンの中にずっと残っています。

LAPSの動画も4分22秒から（メンバー限定）、この点を指摘しています。普段はドメインの管理者で入っているので、ローカルのアカウントがどうなっているかは誰も把握していない。全部同じパスワードのまま放置されている、というのが「あるある」だ、と。

Windows LAPSがやること

Windows LAPSは、ローカル管理者アカウントのパスワードを1台ずつ違うものに自動で変え、その値をディレクトリに保管する仕組みです。管理者がそのパソコンに入りたいときは、保管場所から1台分のパスワードを取り出して使います。

動画は5分49秒から（メンバー限定）、ADの場合の動きを図にしています。ポリシーを受け取ったパソコンが自分のローカル管理者のパスワードを新しく作り直し、その値をADの自分のコンピューターアカウントに書き込む。そのための置き場所を作るのがスキーマの拡張で、隣のパソコンも、その隣も、それぞれ全然違うパスワードを自分のコンピューターアカウントに持つことになります。

公式の概要ページで押さえておくことは4つです。

  • 追加のインストールは要らない。 2023年4月11日の更新以降のWindows 10・11、Windows Server 2019・2022、Windows Server 2025に組み込まれている。Windows 10は2025年10月14日にサポートが終わっているので、使えるのは延長セキュリティ更新（ESU）などで更新を受け続けている端末だけ
  • ライセンスは要らない。 ADへの保存は追加ライセンスなし、Entra IDへの保存はEntra ID Free以上で使える
  • 昔のMicrosoft LAPS（ダウンロードして入れるMSI）は非推奨。 Windows 11 23H2以降ではインストールがブロックされる。いまから入れるならWindows LAPS一択
  • アカウントを指定しなければ、組み込みのAdministratorを管理する。 名前ではなく、決まった番号（RID）で見分ける。言語によってアカウント名が違っても対象を取り違えない

保存先は、パソコンの参加先で決まる

パソコンの状態 保存できる先
Active Directoryだけに参加 ADだけ
Microsoft Entra IDだけに参加 Entra IDだけ
ハイブリッド参加（両方） ADかEntra IDのどちらか一方。両方には保存できない
Entra 登録済み（個人のパソコンを職場のアカウントで登録しただけ） 対象外

ハイブリッド参加のパソコンをどちらに寄せるかは、パスワードを取り出す人がどこで作業しているかで決めるのが実際的です。後で書くとおり、Intune管理センターの画面から見えるのは、Entra IDに保存したパスワードだけです。

「パスワードを平文で保存して大丈夫？」への答え

動画で一番時間をかけているのが、この疑問です。7分57秒から（メンバー限定）、パスワードは普通ハッシュにして保存するもので、生のまま保存するのは悪い作法とされている、という前提をまず確認します。そのうえで8分42秒から、LAPSは取り出せるようにするために生のパスワードを持つ仕組みなので、そこだけ聞くと不安になるのは正しい感じ方だ、と認めています。

動画の答えはこうです。全台同じパスワードのほうがはるかに危ない。それに、保管場所のパスワードが読めるということは、ADやEntra IDの管理者の権限がすでに奪われているということで、その時点で個々のパソコンはどのみち守れていない。だから、保管場所の管理者のIDを守ることが前提になる、と。

この答えに、公式の資料から2つ補足しておきます。

1. ADでも、いまは既定で暗号化して保存される。 公式の「Windows LAPS のポリシー設定を構成する」の既定値の表では、ADへの保存時の暗号化（ADPasswordEncryptionEnabled）は既定で有効です。暗号化はパソコン側で行ってからADへ送られ、復号できるのは既定でDomain Adminsだけです。ただし、これにはドメインの機能レベルが2016以上であることが必要です。それより前の機能レベルでは、パスワードは平文のまま、ADのアクセス制御リストだけで守られます。昔のMicrosoft LAPSの設定をそのまま使う互換モード（レガシ Microsoft LAPS エミュレーション モード）も平文です。動画が「生で保存する」と説明しているのは、この平文の形のことだと読んでください。

2. Entra IDに保存したパスワードは、取り出せるロールが決まっている。 公式の「Microsoft Entra ID での Windows Local Administrator Password Solution」によると、パスワードそのものを読めるのは、組み込みのロールではクラウド デバイス管理者とIntune サービス管理者（と、すべての権限を持つグローバル管理者）です。ヘルプデスク管理者やセキュリティ管理者は、最後にいつ変わったかといった付随情報しか読めません。

どちらの場合も、守るべきは誰がパスワードを読めるかです。

  • ADなら、拡張権限を持っている人を確かめる。 LAPSのパスワードの属性は「機密」の印が付いていて、OUに対する拡張権限を持つ人は読めてしまいます。Find-LapsADExtendedRights -Identity <OU名> で、SYSTEMとDomain Admins以外が出てこないことを確かめます
  • Entra IDなら、取り出しの記録と条件付きアクセス。 パスワードを取り出すと監査ログに残ります（Entra 管理センターの［デバイス］→［監査ログ］で「デバイスのローカル管理者パスワードの回復」を絞り込む）。取り出せるロールには、多要素認証を求める条件付きアクセスを掛けられます。ただし公式の注記のとおり、対象にできるのは組み込みのロールで、管理単位で範囲を絞ったロールやカスタムロールは条件付きアクセスの対象外です。条件付きアクセスの設計の考え方は条件付きアクセスの記事にまとめています

動画も10分6秒から（メンバー限定）、管理者の権限は必要なときだけ昇格させ、操作の記録を残しておく、という前提がそろっていれば、リスクは十分に低いと言える、と締めています。

ADに保存する場合の流れ

公式の「Windows LAPS と Windows Server Active Directory を始める」の手順を、作業の順に並べます。PowerShellのコマンドはWindows LAPSのモジュールに入っていて、別途のインストールは要りません。

1. スキーマを更新する（フォレストで1回だけ）。

Update-LapsADSchema

スキーマの拡張は、ADの全体に効いて元に戻せない操作です。メンバー限定の「Active Directory入門 Part 8：スキーマ」では、8分6秒から、検証環境のスキーマにユーザーの属性を自作して足したところ、複製でエラーが出始め、オブジェクトが見つからないと言われる状態になる様子をそのまま見せています。そのうえで12分48秒から、Exchange Serverの導入で行うスキーマの拡張も裏で同じことをしている、と説明しています。LAPSのスキーマ更新はMicrosoftが用意したコマンドで行うので手作業の拡張とは違いますが、「何を足すのか」を知ったうえで実行したい人は、この回で手触りをつかめます。スキーマの拡張にはスキーママスターの役割を持つDCが必要で、その役割の確かめ方はFSMOの記事に書いています。

2. パソコン自身が、自分のパスワードを書き込めるようにする。 対象のパソコンが入っているOUに権限を付けます。

Set-LapsADComputerSelfPermission -Identity "OU=PCs,DC=contoso,DC=local"

3. 読める人を決める。 Domain Adminsは最初から読めます。ヘルプデスクのグループなどに読ませるなら、OU単位で付けます。

Set-LapsADReadPasswordPermission -Identity "OU=PCs,DC=contoso,DC=local" -AllowedPrincipals @("CONTOSO\LapsReaders")

暗号化を有効にしている場合、ここで読む権限を付けても、それだけでは復号できません。復号できる人は、ポリシーの ADPasswordEncryptionPrincipal で別に決めます（指定できるのはユーザーかグループを1つだけ。複数に許すなら、それらを入れたグループを作る）。

4. 拡張権限を持つ人がいないか確かめる。 先に書いた Find-LapsADExtendedRights です。

5. グループポリシーで有効にする。 最低限、バックアップ先（BackupDirectory）をADにします。グループポリシーの中央ストアを使っている環境では、Windows LAPSの管理用テンプレートを中央ストアへ手でコピーする必要があります。

6. 反映を確かめる。 Windows LAPSはポリシーを1時間ごとに処理します。待たずに試すなら、対象のパソコンで Invoke-LapsPolicyProcessing を実行し、LAPSのイベントログにイベントID 10018（ADへのパスワードの更新に成功）が出ることを確かめます。

Entra IDに保存する場合の流れ

公式の「Windows LAPS と Microsoft Entra ID での Windows LAPS の概要」の流れです。

1. テナントで有効にする。 これを忘れると何も始まりません。既定では、Entra IDはパソコンからのパスワードの書き込みを受け付けません。 Entra 管理センターの［Entra ID］→［デバイス］→［概要］→［デバイス設定］で「ローカル管理者パスワード ソリューション (LAPS) を有効にする」を［はい］にします。

2. パソコンにポリシーを配る。 Intuneを使っているなら、［エンドポイント セキュリティ］→［アカウント保護］で、プロファイル「ローカル管理者パスワード ソリューション (Windows LAPS)」を作ります（公式の「Intune ポリシーを展開して Windows LAPS を管理する」）。バックアップ先はEntra IDにします。割り当てはデバイスのグループに。ユーザーのグループに割り当てると、使う人が変わったときに別のポリシーが当たり、管理するアカウントや次に変わる日がばらつきます。

3. 反映を確かめる。 Entra IDへの更新に成功すると、イベントログにイベントID 10029が出ます。

Entra IDに保存する場合、パスワードを変える間隔（PasswordAgeDays）の最小は7日です（ADなら1日）。既定は30日、パスワードの長さの既定は14文字です。

パスワードを取り出す方法

いざパソコンに入りたいときの取り出し方は、保存先で変わります。

保存先 画面で見る コマンドで見る
AD 「Active Directory ユーザーとコンピューター」のコンピューターのプロパティ Get-LapsADPassword -Identity PC001 -AsPlainText
Entra ID Entra 管理センターの［デバイス］→［ローカル管理者パスワードの回復］、またはIntune 管理センターの対象のデバイス →［ローカル管理者パスワード］ Get-LapsAADPassword -DeviceIds PC001 -IncludePasswords -AsPlainText

気をつけるところは3つです。

  • Intune管理センターで見えるのは、Entra IDに保存したパスワードだけ。 ハイブリッド参加のパソコンをADに保存している場合、Intuneの画面には出てきません
  • Get-LapsAADPassword は、Microsoft Graphを経由する。 事前に Connect-MgGraph でサインインし、使うアプリに DeviceLocalCredential.Read.All（パスワード本体まで読む）を許可しておく必要があります。DeviceLocalCredential.ReadBasic.All では、いつ変わったかしか読めません。PowerShellのスクリプトが動かないときは実行ポリシーの記事を見てください
  • Graph APIで直接取ると、パスワードはBase64で返ってくる。 そのまま打ち込んでも通りません。デコードしてから使います

動画は7分15秒から（メンバー限定）、この「管理者がその都度読み出して、そのパソコンに入る」という使い方の流れを説明しています。

取り出したパスワードは、使い捨てになる

Windows LAPSは、管理しているアカウントでサインインがあったことを検知すると、しばらくしてパスワードを自動で変えます（認証後のアクション）。既定の動きは、公式のポリシー設定のページによると次のとおりです。

  • 待つ時間（PostAuthenticationResetDelay）: 24時間。0にすると、この仕組み自体が止まる
  • やること（PostAuthenticationActions）: 3＝パスワードを変えて、そのアカウントのサインインを終わらせる。対話型でサインインしている人には、2分前に警告が出る

つまり、ヘルプデスクがパスワードを取り出してパソコンに入った翌日には、そのパスワードはもう使えません。メモに残したパスワードを使い回すことは、仕組みとしてできなくなります。作業中に突然サインアウトされると困る場合は、待つ時間を作業に必要な長さに合わせます。

すぐに変えたいとき（漏れた疑いがあるとき、検証のとき）は、手で変えられます。

  • パソコン上で Reset-LapsPassword
  • ADなら Set-LapsADPasswordExpirationTime -Identity PC001 で期限切れの印を付ける（次の処理で変わる）
  • Intuneなら、デバイスの操作「ローカル管理者パスワードを回転させる」

なお、LAPSが管理しているアカウントのパスワードを、パソコン上で人が手で変えようとすると拒否されます（エラー 0xC000A08B、LAPSのイベントログにID 10031）。昔の手順書どおりに net user Administrator * でパスワードを変えようとして失敗したら、それはLAPSが働いている印です。

つまずきやすいところ

別名の管理者アカウントは、自分で作っておく。 組み込みのAdministratorではなく、別名のアカウント（AdministratorAccountName）を管理させる場合、Windows LAPSはそのアカウントを作りません。先にアカウントを作っておかないと、管理対象が見つからずに失敗します。Windows 11 24H2とWindows Server 2025以降では、アカウントの作成から任せる「自動アカウント管理モード」も選べます（公式の「Windows LAPS アカウント管理モード」）。このモードでは、アカウントを普段は無効にしておく、名前をパソコンごとにばらばらにする、といった構成も取れます。動画も10分48秒から（メンバー限定）、誰もが名前を知っている組み込みのAdministratorは無効にして別のアカウントにする、という使い方に触れています。

展開の途中でパスワードが変わる。 公式の「Windows LAPS のアーキテクチャ」が注意しているのがこれです。Windows LAPSはポリシーが当たった瞬間から動きます。OSの自動展開の途中でLAPSのポリシーが付いたOUにドメイン参加させ、展開の仕組みが自動サインインに使っているローカルアカウントがLAPSの対象だと、再起動した後にパスワードが変わっていて展開が止まります。公式の勧めは、展開中のパソコンをLAPSのポリシーが付いていない一時的なOUに置き、最後に本来のOUへ移すことです。

間隔の設定を変えても、すぐには変わらない。 PasswordAgeDays を短くしても、いま有効なパスワードの期限は変わらず、変更も始まりません。すぐに変えたいなら、上の手での変更を使います。

昔のMicrosoft LAPSからの移行は、互換モードで止めない。 互換モードは、昔のLAPSのグループポリシーの設定を新しいWindows LAPSが読む仕組みで、移行の途中には便利です。ただ、パスワードは平文でしか保存できず、暗号化もパスワードの履歴も使えません。公式も一時的な措置として扱うよう書いています。

DSRMのパスワードも、DCごとに管理できる

Windows LAPSは、パソコンのローカル管理者だけでなく、ドメインコントローラーのディレクトリサービス復元モード（DSRM）のパスワードも管理できます。

DSRMのパスワードは、DCに昇格するときに決めるものです。無料動画「企業でよくあるWindows／M365環境 Part 5：Active Directory構築」の43分27秒からが、その入力の場面です。普段は一度も使わず、使うのはDCが壊れたとき、バックアップから戻すときだけ。メンバー限定の「Active Directory入門 Part 12：バックアップからの復元」では、14分5秒から、DSRMで再起動したDCにドメインの管理者で入ろうとして断られ、DSRMのパスワードで入り直す場面を見せています。何年も前に決めたパスワードが、その場で分からない。復旧の手順はそこで止まります。誤って消したユーザーを戻す手順の中でこの場面がどう出てくるかは、ADで削除したユーザーを復元する記事に書きました。

LAPSでDSRMのパスワードを管理する条件は、パソコンの場合より厳しくなります。

  • 保存先はADだけで、暗号化が有効であること（つまりドメインの機能レベルが2016以上）
  • DCがWindows Server 2019以降であること。2016以前のDCは対象外
  • 設定 ADBackupDSRMPassword を有効にすること（既定は無効）
  • 使った後に自動で変える仕組み（認証後のアクション）は、DSRMには働かない

すべてのDCが止まってしまったときでも、ADのバックアップがあれば取り出す方法があります。バックアップのデータベースを dsamain.exe でマウントし、Get-LapsADPassword にポート番号（-Port）を指定して読みます。

導入前後のチェックリスト

いつ 確かめること 見るもの
導入前 いまのローカル管理者のパスワードが全台同じではないか イメージや展開の手順書
導入前 保存先 パソコンの参加の種類（AD／Entra ID／ハイブリッド）
導入前（AD） 暗号化が使えるか ドメインの機能レベルが2016以上か
導入前（Entra ID） テナントでLAPSが有効か Entra 管理センターの［デバイス設定］
導入前 展開の仕組みが使うローカルアカウントと、LAPSの対象が重ならないか 展開用の一時的なOU
導入後 パスワードが保存されたか イベントID 10018（AD）／10029（Entra ID）
導入後 読める人が絞れているか Find-LapsADExtendedRights、Entra IDのロールの割り当て
運用中 誰がいつ取り出したか Entra IDの監査ログ
DCを持つなら DSRMのパスワードもLAPSで管理するか ADBackupDSRMPassword

まとめ

  • ローカル管理者のパスワードが全台同じなのは、イメージの流し込みでよく起きる。1台の乗っ取りが全台に広がる構成で、ドメインに参加していてもローカルのアカウントは残っている
  • Windows LAPSはWindowsに組み込まれていて、追加のインストールもライセンスも要らない。昔のMicrosoft LAPSはもう入れない
  • 保存先はADかEntra IDの一方。Intuneの画面で見られるのはEntra IDに保存したものだけ
  • 「平文で保存して大丈夫か」は、読める人を絞れるかの問題。ADでも機能レベル2016以上なら既定で暗号化される。Entra IDならロールと監査ログ、条件付きアクセスで守る
  • 取り出したパスワードは、既定で24時間後に変わる。使い捨てと考える
  • DCを持っているなら、DSRMのパスワードも同じ仕組みでDCごとに管理できる

全台同じパスワードは、普段は何も困らないので、見直すきっかけがありません。気づくのは、どこか1台がやられて、それが隣に広がった後です。いま社内のパソコンのローカルのAdministratorで、同じパスワードが何台に通るか。 それを数えてみることが、導入を決めるいちばん早い材料になります。