Windows LAPS
ローカル管理者アカウントのパスワードを端末ごとにランダム化して自動ローテーションし、Active DirectoryまたはMicrosoft Entra IDにバックアップする、Windowsに組み込まれた機能。
- 概念URI
https://comcomponent.com/knowledge/windows-laps/- 別名・表記
- LAPS / Local Administrator Password Solution
- 下位概念
- 旧LAPSエミュレーションモード
- 最終確認日
- 2026-08-01
- 機械可読データ
- JSON-LD
この概念が関わる関係
- Windows LAPSはMicrosoft Intuneで構成できます。Intuneのアカウント保護ポリシーでWindows LAPSを構成し、ローカル管理者パスワードの要件やローテーションを管理できる。 / 確度: 確立した関係 / 確認日: 2026-08-20 出典
- Windows LAPSは全PC共通のローカル管理者パスワードを防ぎます。Windows LAPSはローカル管理者パスワードを端末ごとにランダム化して自動ローテーションするため、全台共通のパスワードという構成そのものがなくなる。 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- Windows LAPSは横展開(ラテラルムーブメント)を軽減します。マイクロソフトはWindows LAPSの利点の筆頭にPass-the-Hash攻撃と横展開攻撃からの保護を挙げている。断てるのはローカル管理者アカウントの使い回しという経路で、侵害された端末上のドメイン資格情報の窃取など他の経路まで塞がるわけではない。 / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
- Windows LAPSはローカル管理者アカウントを自動化します。Windows LAPSは、管理対象としたローカル管理者アカウントのパスワード生成・ローテーション・ディレクトリへのバックアップを自動で行う。 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- Windows LAPSはビルトインAdministratorアカウントを利用します。AdministratorAccountNameを指定しない場合、Windows LAPSはビルトインAdministratorをRIDで自動特定して管理対象にする。 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- Windows LAPSは管理対象アカウントが無効のまま残る状態の原因になることがあります。Windows LAPSは無効化されたアカウントでもパスワードを管理するが、アカウントの有効化までは行わない。そのため既定構成のままでは、パスワードはディレクトリに保存されているのに、そのアカウントでは誰もサインインできない状態になり得る。 / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
- Windows LAPSは旧LAPS(レガシーMicrosoft LAPS)の後継に当たります。Windows LAPSはOSに組み込まれた後継実装で、旧LAPSはWindows 11 23H2以降で非推奨となり、新しいOSではMSIのインストール自体がブロックされる。 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- Windows LAPSはActive Directory(AD DS)に保存されます。ADドメイン参加のみの端末では、パスワードはコンピューターオブジェクトのmsLAPS-*属性に保存される。ADとEntra IDの両方に保存することはできない。 / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
- Windows LAPSはMicrosoft Entra IDに保存されます。Entra参加のみの端末ではMicrosoft Entra IDに保存される。ハイブリッド参加ではADかEntra IDのどちらか一方を選ぶ。 / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
- Windows LAPSはワークグループ構成と両立しません。ADにもEntra IDにも参加していない端末にはパスワードのバックアップ先が存在しないため、Windows LAPSは利用できない。 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- Windows LAPSはBackupDirectory設定を前提とします。BackupDirectoryの既定値は「無効」で、ポリシーで保存先(AD=2、Entra ID=1)を明示するまでWindows LAPSは何も行わない。 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- Windows LAPSはLAPSパスワードの暗号化保存を利用します。ADPasswordEncryptionEnabledの既定値は有効なので、DFL 2016以上のドメインでは既定で暗号化保存になる。DFLが古いドメインでは自動的に平文へ切り替わることを当てにせず、ポリシーで明示的に無効化する。 / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典 出典
- Windows LAPSはPostAuthenticationActionsを利用します。管理対象アカウントでの認証を検知すると、猶予時間(PostAuthenticationResetDelay、既定24時間)の経過後にパスワードのリセットとサインアウトを実行する。猶予時間を0にするとこの機能自体が無効になる。 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- Windows LAPSはLAPS PowerShellモジュールで構成できます。パスワードの取得(Get-LapsADPassword／Get-LapsAADPassword)、ポリシーの即時処理(Invoke-LapsPolicyProcessing)、端末上の即時ローテーション(Reset-LapsPassword)、権限と監査の設定はLAPS PowerShellモジュールのコマンドレットで行う。 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- Windows LAPSはLAPS/Operationalログで確認できます。端末側の動作は専用のイベントログチャネルに記録され、処理開始10003・成功10004・失敗10005、パスワード保存成功のAD=10018／Entra ID=10029などで結果を確認できる。 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
この概念を扱う記事
一次資料
このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。