Windows LAPS実務ガイド ── 全PC共通のローカル管理者パスワードをやめる

全PCで同じローカル管理者パスワードを使っていると、1台から漏れた認証情報が、ほかの端末へ侵入するための「合鍵」になります。保守の手順は簡単でも、侵害を横へ広げる経路が残る構成です。

この共通パスワードを、端末ごとに異なるパスワードへ変え、定期的な変更とディレクトリへの保存を自動化するのが、OS標準機能の Windows LAPS(Local Administrator Password Solution) です。ただし、OSに入っているだけでは動きません。保存先、管理対象アカウント、権限、保守後の後始末を決めてからポリシーを適用します。¹²

この記事は、中小企業の情シス担当者と、PCキッティング・保守運用を請け負う開発者を対象に、2026年8月時点の一次情報にもとづいて説明します。BitLocker・WSUS廃止・ファイアウォール・証明書ストアに続く、情シス向けセキュリティ連載の一つです。

1. まず決めること ── 保存先・アカウント・権限・後始末

導入時に決めることと、導入後に確認することを分けると、作業の順番が見えてきます。

仕組みを知りたい場合は2章から、導入を進める場合は3・4章で方針を決めてから、AD + GPOなら5章、Entra ID + Intuneなら6章へ進んでください。旧LAPSを運用中なら、新しいポリシーを配る前に8章の移行順序も確認します。

最初に押さえたいのは、Windows LAPSの既定値は無効だという点です。BackupDirectory で保存先を指定して初めて動きます。また、「パスワードが保存されたこと」と「そのアカウントで復旧作業ができること」は別の確認事項です。²

図の実線は常に成り立つ関係、破線は条件付きの関係です(成立条件は詳細ページの各関係の説明に記載)。関係すべての一覧(全31件、根拠・確度つき)と主要概念の定義は知識マップ詳細ページにまとめています。データ: JSON-LD / Turtle

2. Windows LAPSは、どのリスクを減らすのか

2.1. 共通パスワードは、共通のNTハッシュになる

管理対象になるのは、ビルトインAdministratorや、キッティング時に作る保守用アカウントなどのローカル管理者アカウントです。

Windowsは、ローカルアカウントのパスワードから計算したNTハッシュを保持しています。NTLM認証では、このハッシュが認証の材料になります。したがって、パスワードが全台で同じなら、ハッシュも全台で同じです。

攻撃者が1台の管理者権限を奪い、メモリやローカルデータベース(SAM)からハッシュを取り出すと、それを平文パスワードへ戻さずに認証へ使えます。これがPass-the-Hash攻撃です。共通パスワード環境では、1台から得たハッシュがほかの端末でも使えるため、侵害が横へ広がります。認証の仕組みは「図解でわかるNTLMとKerberos」で詳しく説明しています。¹³

flowchart TB
    subgraph BEFORE["共通パスワード環境"]
        A1["PC-01を侵害<br/>(マルウェア・標的型攻撃)"] --> H["管理者のNTハッシュを取得"]
        H -->|"Pass-the-Hash"| B1["PC-02"]
        H -->|"Pass-the-Hash"| B2["PC-03"]
        H -->|"Pass-the-Hash"| B3["…全台に横展開"]
    end
    subgraph AFTER["LAPS導入後"]
        C1["PC-01を侵害"] --> H2["PC-01のハッシュを取得"]
        H2 -->|"パスワードが端末ごとに違うので"| STOP["他のPCではこのハッシュで<br/>認証できない(ローカル管理者<br/>経由の横展開を遮断)"]
    end

図1: 端末ごとにパスワードを変えると、1台から得たローカル管理者のハッシュをほかの端末へ使い回す経路を断てる。

2.2. 個別化と定期変更を、手作業にしない

対策は、ローカル管理者パスワードを端末ごとに変え、定期的にも変更することです。ただし、数十台分を個別に生成して台帳へ記録し、更新し続ける運用は負担になります。共通パスワードが使われてきた背景には、この管理コストがあります。

Windows LAPSは、個別化・自動ローテーション・ディレクトリへの保存をまとめて引き受けます。Microsoftも、Pass-the-Hashと横展開(lateral-traversal)への対策を利点の筆頭に挙げています。¹

LAPSで断つのは、ローカル管理者アカウントの使い回しによる横展開経路です。侵害されたPCからドメイン資格情報を盗まれるなど、ほかの横展開経路まで塞がるわけではありません。日常業務を管理者アカウントで行わず、保守用アカウントの用途を絞ることも必要です。「Windowsの管理者特権が必要になるのはいつなのか」も参照してください。

2.3. 旧LAPSとWindows LAPSは、別の実装

旧LAPS(レガシーMicrosoft LAPS)は、Microsoftが2016年に公開した追加インストール型のツールです。MSIでグループポリシー拡張(CSE)を各端末へ入れ、ADの ms-Mcs-AdmPwd 属性へパスワードを平文で保存し、ACLで保護します。¹

Windows LAPSは、その後継としてOSに組み込まれた別実装です。2023年4月11日の更新プログラム以降のWindows 10、Windows 11 21H2/22H2、Windows Server 2019/2022に含まれ、Windows 11 23H2以降とWindows Server 2025以降には最初から入っています。該当するOSと更新プログラムの構成なら、追加インストールは不要です。¹

Windows LAPSは旧LAPSの単なる改修版ではなく、ADのスキーマ属性も msLAPS-* という別のものを使います。旧LAPSを導入済みでも、Windows LAPS用のスキーマ拡張は改めて必要です。⁵

旧GPOをWindows LAPSが解釈する「エミュレーションモード」もありますが、移行のための仕組みで、新規導入で選ぶ理由はありません。制約と切替手順は8章で説明します。

3. 端末の参加状態から、保存先を選ぶ

3.1. 保存先はADかEntra IDのどちらか一方

Windows LAPSが生成したパスワードは、ディレクトリへ「バックアップ」されます。ADとEntra IDの両方へ同時に保存することはできません。¹

ワークグループ端末では、保存先になるディレクトリがないためWindows LAPSを使えません。運用を続けるなら、キッティング時に端末ごとに異なるパスワードを設定し、パスワードマネージャーなどで安全に台帳管理します。キッティングをスクリプト化している場合は、端末別パスワードの生成も組み込みます。「winget + PowerShellでPCキッティングを自動化する」も参照してください。

3.2. AD保存では、パスワード属性と期限の属性を区別する

AD保存の場合は、コンピューターオブジェクトの属性へ書き込みます。パスワード本体と、その期限は、機密性の扱いが異なります。⁷

暗号化保存とパスワード履歴には、ドメイン機能レベル(DFL)2016以上が必要です。一方、暗号化設定 ADPasswordEncryptionEnabled の既定値は有効です。DFLが2016より古いドメインでは、自動的に平文へ切り替わることを当てにせず、暗号化をポリシーで明示的に無効化し、平文 + ACL保護の構成にします。⁴²

3.3. LAPS自体のライセンスと、管理サービスのライセンスは分ける

Windows LAPSの機能自体は無料です。AD保存に追加ライセンス要件はなく、Entra ID保存もMicrosoft Entra ID Free以上で利用できます。¹

ただし、Intuneでポリシーを配布する場合のIntuneライセンスなど、周辺機能の要件は別に確認します。Entra ID保存では、テナント側の機能有効化も必要です。実際の手順は6章にまとめます。

4. 管理対象アカウントと、適用するポリシーを決める

4.1. 「パスワードを管理する」と「アカウントを使えるようにする」は別

AdministratorAccountName を指定しなければ、Windows LAPSはビルトインAdministratorを既知のRIDで特定します。カスタム保守アカウントを管理するときだけ、名前を指定します。この設定でカスタムアカウントが作られるわけではないため、アカウント自体は別途用意します。²

もう一つ必要なのが、有効・無効の確認です。ビルトインAdministratorはWindowsセットアップで無効化されます。Windows LAPSは無効なアカウントのパスワードも管理しますが、この通常の構成ではアカウントを有効化しません。³²

そのため、「パスワードは保存されているが、復旧時にサインインできない」状態が起こり得ます。復旧用に使うなら、次のいずれかを明示的に選びます。

4.2. 保存先を指定して初めて動き出す

Windows LAPSの BackupDirectory は既定で無効(0)です。ADへ保存するなら2、Entra IDへ保存するなら1を指定します。ここを設定しなければ、パスワードのバックアップは始まりません。²

主要な設定を以下にまとめます。AdministratorAccountName の説明は、自動アカウント管理を使わない通常の構成です。この表の PasswordExpirationProtectionEnabled と ADPasswordEncryptionEnabled はAD保存向けの設定で、Entra ID保存には適用されません。

この章では設定方針を決め、実際のポリシー配布は保存先の準備が済んでから行います。ADなら次章、Entra IDなら6章へ進みます。

5. AD + GPO構成で導入する

5.1. フォレストのスキーマと、対象OUの権限を準備する

AD保存では、ポリシーを配る前にスキーマと権限を準備します。スキーマ拡張はフォレストで1回、自己更新・閲覧・期限変更の権限は対象OUと担当グループに合わせて設定します。⁴

以下のOU、ドメイン名、グループ名、後続のPC名は例です。自分の環境の対象へ置き換えて実行してください。

# 1. スキーマ拡張(フォレストで1回だけ。Schema Admins権限で実行)
Update-LapsADSchema

# 2. 対象OU配下のコンピューターに、自分のパスワード属性を更新する権限を付与
Set-LapsADComputerSelfPermission -Identity "OU=社内PC,DC=example,DC=co,DC=jp"

# 3. パスワードを閲覧できるグループを付与(Domain Adminsは既定で閲覧可能)
Set-LapsADReadPasswordPermission -Identity "OU=社内PC,DC=example,DC=co,DC=jp" `
    -AllowedPrincipals @("EXAMPLE\HelpdeskAdmins")

# 4. パスワード期限を操作(即時失効=リセット指示)できるグループを付与
#    (7.1節の Set-LapsADPasswordExpirationTime に必要。Domain Adminsは既定で可能)
Set-LapsADResetPasswordPermission -Identity "OU=社内PC,DC=example,DC=co,DC=jp" `
    -AllowedPrincipals @("EXAMPLE\HelpdeskAdmins")

# 5. 想定外の閲覧権限保持者がいないか確認(5.2節で詳述)
Find-LapsADExtendedRights -Identity "OU=社内PC,DC=example,DC=co,DC=jp"

Update-LapsADSchema は、旧LAPSの Update-AdmPwdADSchema とは別のコマンドレットです。追加される属性も異なるため、旧LAPS用の準備だけでは足りません。⁵

5.2. 閲覧・復号・期限変更を、それぞれ許可する

暗号化保存を使う場合、閲覧権限を与えただけではパスワードを復号できません。復号できるのは既定でDomain Adminsだけです。ヘルプデスクへ取得を委任するなら、ポリシーの ADPasswordEncryptionPrincipal にも対象グループ(上の例なら EXAMPLE\HelpdeskAdmins)を指定します。⁴²

ここで、許可したグループだけを見て終わらないでください。対象OUにAll Extended Rights(拡張権利)を持つプリンシパルも、機密属性を読み取れます。過去の広い権限委任が残っていると、想定外のグループまで読める状態になります。Find-LapsADExtendedRights で保持者を洗い出し、SYSTEMとDomain Admins以外が出たら委任内容を見直します。⁴

暗号化保存なら、属性の閲覧と復号を分離できます。「ヘルプデスクは担当OUのパスワードだけを復号できる」という設計は、この二段構えで行います。

5.3. 管理用テンプレートを用意し、GPOを配布する

GPOの設定場所は、「コンピューターの構成 > ポリシー > 管理用テンプレート > システム > LAPS」です。4章で決めた管理対象とパスワード設定に加え、BackupDirectory = 2 を指定します。DFLと暗号化の組合せは3.2節、復号するグループは5.2節のとおりです。²⁴

GPOの中央ストア(Central Store)を使っている場合は、テンプレートのコピーも必要です。Windows Updateは、Windows LAPSのテンプレートを中央ストアへ自動コピーしません。²

%windir%\PolicyDefinitions\LAPS.admx と、対応言語の LAPS.adml をセットでコピーします。日本語UIなら ja-JP サブフォルダーのADMLを、中央ストアの対応する言語フォルダーへ置きます。ADMXだけでは、GPMCでリソースエラーになるため注意してください。

5.4. 対象端末で保存を確認し、管理端末から取得する

Windows LAPSは、有効なポリシーを1時間ごとに処理します。適用を待たずに確認するなら、対象端末上で即時処理を実行し、イベントログを確認します。⁴

# 端末側: ポリシーを即時処理(検証時の定番)
Invoke-LapsPolicyProcessing

# 端末側: イベントログで結果を確認
# 10003=処理開始 / 10004=成功 / 10005=失敗 / 10018=ADへの保存成功
Get-WinEvent -LogName "Microsoft-Windows-LAPS/Operational" -MaxEvents 20

保存されたパスワードは、閲覧・復号の権限を持つ管理端末側の利用者が取得します。⁴

# ADからパスワードを取得(-AsPlainTextなしなら文字列を伏せたまま扱える)
Get-LapsADPassword -Identity PC-0123 -AsPlainText

# 出力例: Account, Password, PasswordUpdateTime, ExpirationTimestamp,
#         Source(EncryptedPasswordなら暗号化保存), AuthorizedDecryptor などが返る

-AsPlainText を付けない場合は、文字列を伏せたまま扱えます。GUIでは「Active Directory ユーザーとコンピューター」のコンピューターのプロパティにあるLAPSタブから参照できます。¹

保存・取得を確認したら、4.1節で決めたアカウントが復旧用途で使えるかも確認します。取得後のローテーションは7章、ログの読み分けは9章へ進みます。

6. Entra ID + Intune構成で導入する

Entra ID保存では、AD用のスキーマ拡張やOUのACL設定は不要です。代わりに、テナント側の有効化と、Entra ID側の閲覧権限を確認します。⁶

テナント側で機能を有効にしていないと、端末はパスワードを保存できません。また、ADの保存成功は10018ですが、Entra IDは10029です。保存先に合ったイベントを確認します。⁶⁸

Entra IDでは、既定でグローバル管理者などの特権ロールがパスワードを閲覧できます。Microsoft Graphから取得する場合も、必要な権限を持つ接続で実行します。次は委任アクセスでスコープを明示する例です。⁶

# Entra ID保存のパスワードをGraph経由で取得(委任アクセスの例)
# 接続時に必要なスコープを明示的に要求する
Connect-MgGraph -Scopes "Device.Read.All","DeviceLocalCredential.Read.All"
Get-LapsAADPassword -DeviceIds PC-0123 -IncludePasswords -AsPlainText

管理対象アカウントの有効状態は、Entra ID保存でも4.1節と同じ確認が必要です。保守後のローテーションには、AD専用の期限変更コマンドレットではなく、7.2節で説明する端末側の操作またはIntuneの操作を使います。

7. 保守作業の後に、パスワードをローテーションする

7.1. 期限切れの指示と、端末での変更完了を区別する

保守作業でパスワードを取得したあとや、侵害の疑いがあるときは、次の定期ローテーションまで待たずに変更します。コマンドごとに、実行場所と、そこで完了することを分けてください。⁴⁵

AD保存では、次のように使い分けます。前半の2つのコマンドは、実行場所が異なります。

# 管理端末から: 期限を「今」にして、次回処理でローテーションさせる
Set-LapsADPasswordExpirationTime -Identity PC-0123
# 対象端末で即時処理を蹴れば、その場で新パスワードに変わる
Invoke-LapsPolicyProcessing

# 対象端末上で直接、即時ローテーションする場合
Reset-LapsPassword

期限を変えるコマンドが成功したことと、対象端末のパスワードが新しくなったことは同じではありません。対象端末の処理結果と保存成功のログまで確認します。

7.2. Entra ID保存では、対象端末かIntuneから変更する

Set-LapsADPasswordExpirationTime はAD保存専用です。Entra ID保存の端末では、対象端末上で Reset-LapsPassword を実行するか、Intuneのローカル管理者パスワードのローテーション操作を使います。保存先が違えば、管理側からの操作も違うと考えてください。⁶⁵

7.3. 自動リセットは「認証後」であり、「参照後」ではない

Windows LAPSには、管理対象アカウントでの認証を検知してから、猶予時間の経過後に後始末する PostAuthenticationActions があります。既定では24時間後に「パスワードのリセット + サインアウト」を実行します。²

「使った瞬間に無効になる」機能ではありません。猶予時間中は、同じパスワードが有効です。さらに、次の2点を区別してください。

パスワードをメモやチャットに残したままにしないためにも、取得したら、使用の有無にかかわらず作業完了時に明示的なローテーションを行うことを手順に固定します。ADなら7.1節、Entra IDなら7.2節の方法を使い、結果まで確認してください。

8. 旧LAPSからは、二重管理を作らずに移行する

8.1. Windows LAPSの優先と、旧CSEの停止は別

同じアカウントを旧LAPSとWindows LAPSの両方で管理する構成は、サポートされません。2つの仕組みが同じパスワードを変更し合うため、セキュリティリスクになります。⁹

混同しやすいのは、次の2つです。

つまり、「Windows LAPSが優先されるから、旧CSEが残っていても大丈夫」ではありません。旧GPOの適用対象に残したまま新しいポリシーを有効にすると、両方が同じアカウントをローテーションする状態になります。⁹

8.2. エミュレーションモードが動く条件を確認する

旧LAPSのGPOをWindows LAPSに処理させるエミュレーションモードは、旧CSEがインストールされていない端末でのみ動きます。旧スキーマ・旧ACLなど、旧LAPS環境の前提をそのまま使いますが、暗号化やEntra ID保存などの新機能は使えません。⁹

OSを更新しただけでも、旧GPOが残っている端末が意図せずエミュレーションモードで動き始めることがあります。キッティング直後の想定外のパスワード変更を避けたい場合は、ローカル構成キーで BackupDirectory = 0 を設定して抑止できます。⁹

8.3. 旧管理を外してから、新管理を有効にする

移行は次の順番で進めます。

1. 対象OUを旧LAPSのGPO適用から外すか、旧CSEをアンインストールし、旧管理を外す。
2. Windows LAPSのポリシーを適用する。
3. 旧GPO・旧CSEの残りを撤去する。

端末単位で、どちらの仕組みが管理しているかを一意にするのが要点です。逆順にすると、旧CSEが残る端末で二重管理を作ってしまいます。

9. 動作確認のログと、パスワード閲覧の監査を分ける

9.1. 端末では、処理・保存先・適用ポリシーを確認する

Windows LAPSの動作は、イベントビューアーの 「アプリケーションとサービス ログ > Microsoft > Windows > LAPS > Operational」 に記録されます。⁸

5.4節の Get-WinEvent で取得できます。「動かない」「取得できない」ときは、ポリシーが有効か、保存先の準備が済んでいるか、保存に成功しているか、取得側に閲覧・復号権限があるかを分けて確認します。

9.2. ディレクトリ側では「誰が、いつ見たか」を残す

端末が正常にローテーションした記録だけでは、管理者がパスワードを閲覧した履歴の代わりになりません。集中保存するパスワードの閲覧は、別に監査します。

AD保存では、Set-LapsADAuditing で対象OUの監査設定を構成し、パスワード属性へのアクセスをドメインコントローラーのセキュリティログに記録します。Entra ID保存では、Entra側の監査ログ・レポート機能で追跡します。⁵¹

10. まとめ ── 保存できたところで、導入を終えない

Windows LAPSは、全PC共通のローカル管理者パスワードを、端末ごとの個別管理と自動ローテーションへ変える仕組みです。対応するWindowsに組み込まれているため追加インストールは不要ですが、保存先を指定するポリシーがなければ動きません。新規導入はWindows LAPSを選び、旧LAPSは移行を計画します。¹²

導入と保守の確認は、次のところまで含めます。

ワークグループ端末はLAPSの対象外なので、手動での端末別パスワード管理か、Entra ID参加・ドメイン参加への見直しが必要です。また、LAPSで対処するのはローカル管理者パスワードの使い回しであり、ほかの資格情報の窃取まで防げるわけではありません。

「保存できる」「必要な担当者が取得できる」「復旧に使える」「作業後に変更できる」までを、一つの運用として確認することが大切です。

関連記事

• BitLocker実務ガイド ── 回復キーの管理から始めるドライブ暗号化
• 図解でわかるNTLMとKerberos ── なぜ認証はNTLMに「落ちる」のか
• Windows の管理者特権が必要になるのはいつなのか - UAC、保護領域、設計上の見分け方
• winget + PowerShellでPCキッティングを自動化する ── 手順書を実行可能にする
• WindowsのTPMとは何か ── 図解でわかる「鍵を外に出さない金庫」と測定起動
• Windows PCを廃棄する前にやっておきたいこと ── データ消去・アカウント解除・バックアップの実務チェックリスト

関連する相談領域

合同会社小村ソフトでは、PCキッティングの自動化スクリプト作成、Windows LAPS導入を含む端末セキュリティ設定の整備、既存の共通パスワード運用からの移行計画づくりを扱っています。「キッティング手順書はあるが属人化している」「LAPSを入れたいがADの権限設定に自信がない」といった段階からで構いません。

• Windowsアプリ開発
• 技術相談・設計レビュー
• お問い合わせ

参考リンク

関連する記事

同じタグを共有する最新の記事です。さらに近い話題で知識を深められます。

関連トピック

このテーマと近いトピックページです。記事を起点に、関連するサービスや他の記事へ進めます。

このテーマがつながるサービス

この記事は次のサービスページにつながります。近い入口からご覧ください。

よくある質問

この記事のテーマについて、相談時によくある質問をまとめています。

旧LAPS(MSI配布のMicrosoft LAPS)をすでに運用しています。何かする必要がありますか？

移行の計画を始めてください。旧LAPSはWindows 11 23H2以降で非推奨となり、新しいOSではMSIのインストール自体がブロックされます。現在のOS(2023年4月更新適用済みのWindows 10/11、Windows Server 2019/2022以降)にはWindows LAPSが組み込まれているため、追加インストールなしで移行できます。移行期間中はWindows LAPSの「旧LAPSエミュレーションモード」で旧ポリシーを継続処理させることもできますが、旧LAPSのCSEがインストールされた端末では動作しない、暗号化やEntra ID保存など新機能が使えないなどの制約があります。同じアカウントを新旧両方で管理する構成はサポートされないので、端末単位でどちらが管理しているかを明確にして切り替えてください。

取得したパスワードを使った後、そのまま放置しても大丈夫ですか？

既定の構成なら自動で後始末されますが、即時ではありません。Windows LAPSには、管理対象アカウントでの認証(ログオン)を検知してから猶予時間の経過後に処理を行うPostAuthenticationActionsがあり、既定では認証の24時間後にパスワードのリセットとサインアウトが実行されます。裏を返せば、その猶予時間が過ぎるまで同じパスワードは有効なまま使えるので、「使った瞬間に無効になる」わけではありません。また、この仕組みが動くのは「パスワードで認証したとき」であって「ディレクトリから参照しただけ」では動きません。確実なのは、作業完了時に明示的に失効させる運用です。AD保存ならSet-LapsADPasswordExpirationTimeで期限切れにします(このコマンドレットはAD保存専用です)。Entra ID保存の場合は、対象端末上でReset-LapsPasswordを実行するか、Intuneのローカル管理者パスワードのローテーション操作を使います。

ドメインにもEntra IDにも参加していないワークグループ運用のPCでは使えますか？

使えません。Windows LAPSはパスワードの保存先としてActive DirectoryまたはMicrosoft Entra IDを必要とし、どちらにも参加していない端末にはバックアップ先がないためです。ワークグループ運用を続けるなら、端末ごとに異なるローカル管理者パスワードを設定して安全な場所(パスワードマネージャー等)で台帳管理する、という手動運用が現実的な代替になります。台数が増えてきたら、LAPSを含む集中管理の恩恵を受けるためにEntra ID参加(+Intune)やドメイン参加への移行を検討する時期です。

保存されたパスワードは誰が閲覧できますか？

Active Directory保存の場合、既定で閲覧できるのはDomain Adminsのメンバーで、他のユーザーやグループにはSet-LapsADReadPasswordPermissionで明示的に権限を付与します。ただし、パスワード属性は機密属性(confidential)であるものの、OUに対して拡張権利(All Extended Rights)を持つプリンシパルは読み取れてしまうため、Find-LapsADExtendedRightsで想定外の保持者がいないかを導入時に必ず確認してください。さらにADPasswordEncryptionEnabledで暗号化を有効にすれば(ドメイン機能レベル2016以上が必要)、復号できる相手をADPasswordEncryptionPrincipalで指定したグループに絞れます。Entra ID保存の場合は、既定ではグローバル管理者などの特権ロールが閲覧でき、Microsoft Graphでの取得にはDeviceLocalCredential.Read.All権限が必要です。

Windows LAPSの利用に追加ライセンスは必要ですか？

機能自体は無料です。Windows LAPSはサポートされるWindowsに組み込まれた標準機能で、Active Directoryへのパスワード保存に追加のライセンス要件はありません。Microsoft Entra IDへの保存も、Microsoft Entra ID Free以上のライセンスで利用できます。Intuneでポリシーを配布する場合のIntuneライセンスなど、周辺のEntra/Intune関連機能には別途ライセンス要件があり得るため、そこだけ確認してください。

著者プロフィール

記事の著者プロフィールページです。

小村 豪

合同会社小村ソフト 代表

Windows ソフト開発、技術相談、不具合調査を中心に、既存資産が残る案件や原因が見えにくい障害調査に強みがあります。