全 PC で同じローカル管理者パスワードを使うリスクを Windows LAPS で解消する

Windows LAPS は端末ごとに異なるローカル管理者パスワードを生成、保存、ローテーションし、取得権限と監査を制御します。

1. 結論と対象範囲

全端末で同じローカル管理者パスワードを使うと、一台の侵害が横展開につながります。Windows LAPS は端末ごとに別パスワードを管理し、自動更新、AD への暗号化保存、履歴、権限制御された取得を提供します。

Active Directory、DNS、GPO、認証、DC 健全性に関係します。変更前に複製、バックアップ、影響範囲を確認します。

2. 優先して確認するリスク兆候

• イメージ、スクリプト、手動構築で全 PC に同じ Administrator パスワードを設定している。
• 退職者、委託先、マルウェアが一つのパスワードから多数端末を管理できる。

3. 変更前の確認項目

1. クライアントと DC の更新、ディレクトリ要件、旧 Microsoft LAPS との共存状態を確認します。
2. 管理アカウント、長さ、複雑性、更新周期、認証後リセットを決めます。
3. 読取、復号、リセット、監査の最小権限グループを設計します。
4. 試験 OU でスキーマ、コンピューター自己書込、GPO、イベントログを確認します。

Get-LapsADPassword -Identity PC-001
Invoke-LapsPolicyProcessing
Reset-LapsPassword
Get-WinEvent -LogName Microsoft-Windows-LAPS/Operational -MaxEvents 30

4. 推奨実施手順

1. 必要に応じ AD スキーマを更新し、対象コンピューターへ LAPS 属性書込権限を与えます。
2. GPO で保存先、アカウント、パスワード方針、ローテーションを設定します。
3. 取得権限は承認済みヘルプデスク／管理者だけに与え、照会を監査します。
4. 試験後に端末とサーバーを段階展開し、DC の DSRM パスワードは別途計画します。

5. 検証、切戻し、よくある誤り

• 端末ごとに異なるパスワードが生成され、期限後に更新されます。
• 未承認利用者は取得できず、承認者は管理手順により取得できます。
• リセット、方針失敗、バックアップのイベントを追跡できます。

よくある誤り

• LAPS 導入後も共通の第二管理者アカウントを残す。
• 広すぎるグループへ読取権限を付与する。
• オフライン端末、長期停止端末、復旧場面を考慮しない。

公式資料

• Microsoft： Windows LAPS overview

よくある質問

Windows LAPS はインターネットが必要ですか。

オンプレミス AD 保存では不要です。端末は社内 AD へパスワードを保存できます。

独自ローカル管理者を管理できますか。

対応ポリシーで設定し、アカウント存在と方針処理を確認すれば可能です。