Windows Server 2025 / Windows LAPSでローカル管理者のパスワードを管理する

Windows LAPS（Local Administrator Password Solution）は端末ごとに異なるローカル管理者パスワードを更新し、許可された担当者が回収できるようにします。AD保存ではスキーマ、端末の書き込み権、読み取り・復号権、コンピューターポリシーを別々に準備します。

対象アカウントと保存先を決める

Lab\ServersのメンバーFS1でlabadminを管理します。DC1の通常ローカルユーザーやDSRM管理ではありません。Windows LAPSと従来のMicrosoft LAPSはコマンドやスキーマが異なります。

OS更新、LAPSコマンド、ADMXと対応する言語のADML、AD暗号化の機能レベル条件を確認します。回収担当を限定し、別の管理・復旧経路を残します。AD保存のシナリオを確認し、古いドメインへ2025実習の条件をそのまま当てはめません。

FS1で管理対象を準備する

FS1の管理者コンソールで名前を調べます。既存なら目的を確認して作成を止めます。組み込みAdministratorsは言語差を避けるためSIDから取得します。

Get-LocalUser -Name 'labadmin' -ErrorAction SilentlyContinue
$initialLocalPassword = Read-Host 'Initial local password' -AsSecureString
New-LocalUser -Name 'labadmin' -Password $initialLocalPassword -Description 'LAPS lab account'
$localAdminGroup = (Get-LocalGroup -SID 'S-1-5-32-544').Name
Add-LocalGroupMember -Group $localAdminGroup -Member "$env:COMPUTERNAME\labadmin"

この方式は管理するカスタムアカウントを自分で作ります。自動アカウント管理の方式とは分けて考えてください。

ADのスキーマと委任を準備する

スキーマ拡張はフォレスト全体の変更で、GPO解除では戻りません。本番なら変更と復旧を承認した計画で行い、ここでは隔離実習で適切な権限を使います。

Update-LapsADSchema
Set-LapsADComputerSelfPermission -Identity 'OU=Servers,OU=Lab,DC=ad,DC=example,DC=test'

自己書き込み権は各PCが自分のLAPS情報を更新する権利です。任意の管理者へ秘密を読む権利を与えるものではありません。次のグループは存在しない場合だけ作り、指定担当だけを所属させます。

New-ADGroup -Name 'GG_LAPSReaders' -GroupCategory Security -GroupScope Global -Path 'OU=LabGroups,OU=Lab,DC=ad,DC=example,DC=test'
Set-LapsADReadPasswordPermission -Identity 'OU=Servers,OU=Lab,DC=ad,DC=example,DC=test' -AllowedPrincipals 'AD\GG_LAPSReaders'
Find-LapsADExtendedRights -Identity 'OU=Servers,OU=Lab,DC=ad,DC=example,DC=test'

読み取りと暗号化パスワードの復号は別です。既存の拡張権限も調べ、広い閲覧権がないか確認します。LAPS管理コマンドを参照します。

テスト範囲へポリシーをリンクする

1. Lab-LAPS-ServersをLab\Serversへリンクし、実習対象だけであることを確認します。
2. コンピューターの構成 → ポリシー → 管理用テンプレート → システム → LAPSを開きます。
3. 保存先をWindows Server Active Directory、アカウント名をlabadminにします。
4. 暗号化を有効にして復号主体をAD\GG_LAPSReadersに限定します。
5. 実習例として長さ20、複雑さ4、有効期間30日を指定し、対応条件を確認します。

LAPSポリシーの設定で版ごとの対応を確認します。新しいパスフレーズや自動管理の項目を古い端末へ無差別に適用しません。

処理結果と秘密の回収権限を確認する

FS1で更新と処理を行い、イベントビューアーのMicrosoft → Windows → LAPS → Operationalを確認します。

gpupdate /target:computer /force
Invoke-LapsPolicyProcessing

許可された管理PCで、秘密の文字列を表示せずメタ情報を確認します。

Get-LapsADPassword -Identity 'FS1' | Select-Object ComputerName,Account,PasswordUpdateTime,ExpirationTimestamp,DecryptionStatus

端末、アカウント、更新・期限、復号状態を照合し、一般利用者に回収権がないことも確認します。実際の回収では画面共有やトランスクリプトへ残さず、対象ローカルアカウントへ入れることを別に確認します。

停止しても旧パスワードは戻りません。別の経路と固有パスワードを確保してから対象ポリシーと委任だけを整理します。スキーマ削除や全端末共通パスワードへの変更で戻そうとしないでください。