Microsoft 365の端末セキュリティ対策（Windows LAPS・BitLocker編）｜ローカル管理者パスワードと回復キーをIntuneで管理する

ローカル管理者パスワードと BitLocker の回復キーは、Intune で Microsoft Entra ID にまとめて管理するだけで、セキュリティが大きく高まります。

Windows LAPS と Microsoft Intune を使えば、ローカル管理者のパスワードを端末ごとに別の値にして自動で変え、BitLocker の回復キーと一緒に Microsoft Entra ID で管理できます。必要なライセンスは、Microsoft 365 E3 や Business Premium の範囲で足ります。

どちらも普段は意識されにくいものです。そのため、キッティングのときに決めたパスワードを全台で使い回していたり、回復キーを誰が見られるのかを把握していなかったりします。Windows LAPS を入れるときにも、Microsoft の公開情報を読まないと気づきにくい点があります。

• Intune のポリシーを配っても、Microsoft Entra ID 側で LAPS を有効にしていないと、Entra 参加の端末のパスワードは保存されない
• 端末を Microsoft Entra ID から削除すると、保存していたパスワードも回復キーも消え、元に戻せない
• 回復キーは、既定で端末の利用者本人も見られる。ヘルプデスクを通さずに済む反面、許すかどうかは組織で決める必要がある

この記事では、全台同じパスワードのままで何が困るのかから始めて、Windows LAPS の条件と Intune での設定、パスワードを見られる人の絞り方、BitLocker の回復キーの保存と運用までを、Microsoft Learn の公開情報をもとに解説します。

株式会社ロクシアシステムズは、福岡と東京を拠点に、全国のお客様へ Microsoft 365・Azure の導入支援と、AIの業務活用（AIプライベート）の支援を提供しているIT企業です。

全台同じパスワードのままで何が困るのか

Windows の端末には、削除できない組み込みのローカル管理者アカウントがあり、その端末のすべての操作ができます。このパスワードを全台で同じにしていると、困ることが3つあります。

• 1台から全台に広がる：1台でパスワード（またはその代わりになる情報）を盗まれると、同じパスワードのすべての端末に管理者として入られる。攻撃者はこれを使って社内の端末を渡り歩く
• 知っている人が減らない：キッティングを担当した人、退職した人、委託先の人が、いつまでも同じパスワードを知っている
• 変えられない：全台のパスワードを変えるのは大仕事なので、何年も同じ値のまま残る

Windows LAPS は、このパスワードを端末ごとに別の値にし、決めた間隔で自動で変え、組織のディレクトリに保存する Windows の機能です。管理者は、必要なときだけ保存されたパスワードを見て使います。

回復キーも「誰が持っているか」が問題になる

BitLocker で暗号化した端末は、盗まれても中のデータを読まれにくくなります。ただし、起動時に回復キーを求められる場面は、盗難のときだけではありません。Microsoft Learn では、次のような変化でも回復画面になると説明しています。

• BIOS や UEFI ファームウェアの更新
• TPM の無効化やクリア、マザーボードの交換
• 起動の構成やディスクのパーティションの変更

ファームウェアの更新など予定した作業なら、事前に BitLocker を一時停止しておけば回復画面を避けられます。それでも回復画面になったときに回復キーが見つからなければ、端末の中のデータごと失います。逆に、回復キーを持っている人は、その端末のデータをすべて読めます。回復キーは「なくさないこと」と「見られる人を絞ること」の両方が要る鍵です。

Windows LAPSで変わること｜旧Microsoft LAPSとの違いと、使える条件

Windows LAPS は、2023年4月11日の Windows の更新から Windows に組み込まれた機能です。2016年から配布されていた Microsoft LAPS（以下、旧 Microsoft LAPS）とは別の実装で、インストールは要りません。

項目	旧 Microsoft LAPS	Windows LAPS
入手のしかた	ダウンロードして端末に入れる	Windows に組み込み済み
保存先	オンプレミスの Active Directory	Microsoft Entra ID か、オンプレミスの Active Directory
Active Directory での保存	平文	暗号化できる（ドメインの機能レベルが Windows Server 2016 以上）
パスワードの履歴	無し	Active Directory に暗号化して保存する場合、最大12件
今後	Windows 11 23H2 以降ではインストールできない	今後の標準

使える条件

• OS：Windows 11 23H2 以降と、2023年4月11日の更新を当てた Windows 10・Windows 11。サーバーは Windows Server 2019・2022（同じ更新以降）と 2025
• 端末の参加の形：Microsoft Entra 参加の端末は Entra ID だけ、Active Directory だけに参加している端末は Active Directory だけに保存できる。ハイブリッド参加の端末はどちらかを選ぶ（両方には保存できない）。個人の端末を「登録」しただけの状態は対象外
• ライセンス：Windows LAPS そのものは無償。Entra ID への保存は Microsoft Entra ID Free 以上で使える。Intune で設定を配るには Microsoft Intune Plan 1 が要る（Microsoft 365 E3・Business Premium に含まれる）

Windows 10 は2025年10月14日にサポートが終わる予定です。これから Windows LAPS を展開するなら、Windows 11 への移行と合わせて計画すると手戻りが減ります。

旧 Microsoft LAPS が入っている場合

Intune から配る Windows LAPS の設定は、グループ ポリシーや旧 Microsoft LAPS の設定より優先されます。旧 Microsoft LAPS の設定をそのまま読む互換のモードもありますが、パスワードは平文のままで、暗号化や履歴は使えません。移行の途中だけの手段と考え、Windows LAPS の設定に切り替えます。

IntuneでWindows LAPSを設定する｜テナント設定とポリシーの中身

設定は、Microsoft Entra ID と Intune の2か所で行います。順番を間違えると、ポリシーは届いているのにパスワードが保存されない状態になります。

1. Microsoft Entra ID で LAPS を有効にする

Microsoft Entra 管理センターの「デバイス」→「デバイスの設定」で、「Microsoft Entra ローカル管理者パスワード ソリューション（LAPS）を有効にする」を「はい」にします。操作には、クラウド デバイス管理者以上のロールが要ります。

この設定がオフのままでも、Intune のポリシーはエラーなく端末に届きます。そのため、Entra 参加の端末のパスワードが保存されていないことに、管理画面を開くまで気づきません。なお、ハイブリッド参加の端末では、この設定は要りません。

2. Intune で LAPS のポリシーを作る

Intune 管理センターの「エンドポイント セキュリティ」→「アカウント保護」で、プロファイル「ローカル管理者パスワード ソリューション（Windows LAPS）」を作ります。主な設定と既定値は次のとおりです。

設定	既定値	決め方
バックアップ先	無効（保存しない）	Entra 参加の端末は Microsoft Entra ID、Active Directory 参加の端末は Active Directory を選ぶ。参加の形と合わない保存先を選ぶと、エラーは出ずに保存されない
パスワードの有効期間	30日	Entra ID に保存する場合は7〜365日の範囲で決める
パスワードの複雑さ	大文字・小文字・数字・記号	下げない。低い設定は古い LAPS との互換のためにある
パスワードの長さ	14文字	8〜64文字の範囲で決める
管理するアカウント名	空欄（組み込みの Administrator）	別のアカウントを管理するなら、その名前を入れる
使った後の操作	パスワードを変えてサインアウト	再起動まで行う設定もある。作業中のデータが失われることがある点に注意する
使った後の猶予	24時間	0〜24時間。0にすると、使った後の操作は行われない

「使った後の操作」は、管理用のアカウントでサインインしてから猶予の時間が過ぎると、パスワードを自動で変える仕組みです。ヘルプデスクが一度読み上げたパスワードを、そのまま使い続けられないようにできます。

管理できるアカウントは1台に1つ

Windows LAPS が管理するのは、1台につき1つのアカウントです。アカウント名を空欄にすると、名前を変えていても組み込みの Administrator が対象になります。名前を指定する場合、そのアカウントは別の方法で作っておく必要があり、端末に無い名前を指定しても何も管理されず、エラーも出ません。

Windows 11 24H2 以降では、Windows LAPS がアカウントを自分で作り、名前に乱数を付けたり、無効にしたりして管理する設定もあります。

ポリシーはデバイス グループに1つだけ割り当てる

LAPS のポリシーは、ユーザーのグループではなくデバイスのグループに割り当てます。ユーザーのグループに割り当てると、端末を使う人が変わるたびに設定が入れ替わります。また、内容の違う2つのポリシーが同じ端末に届くと競合になり、まだ設定の無い端末では、どちらの設定も適用されません。

パスワードを見られる人を絞る｜ロール・監査・手動ローテーション

Entra ID に保存したパスワードは、Intune 管理センターの端末の画面（「監視」の「ローカル管理者パスワード」）や、Microsoft Entra 管理センターから見られます。見られるかどうかは、Microsoft Entra のロールで決まります。

Microsoft Entra のロール	パスワード	端末名・最終変更日時など
クラウド デバイス管理者	見られる	見られる
Intune 管理者	見られる	見られる
ヘルプデスク管理者	見られない	見られる
セキュリティ管理者・セキュリティ閲覧者	見られない	見られる

見られる人を絞るには、次の方法を組み合わせます。

• カスタム ロール：パスワードを読む権限（microsoft.directory/deviceLocalCredentials/password/read）だけを持つロールを作る。Microsoft Entra ID P1 以上が要る
• 管理単位：部署や拠点ごとに端末をまとめ、その範囲だけでクラウド デバイス管理者を割り当てる
• 条件付きアクセス：パスワードを見られる組み込みのロールに、多要素認証などを求める。カスタム ロールと管理単位の範囲のロールは、条件付きアクセスの対象にできない

クラウド デバイス管理者や Intune 管理者は、パスワードを見られる強いロールです。常に割り当てておくのではなく、必要なときだけ有効にする運用も検討します。考え方はMicrosoft 365・Azureの特権ID管理で解説しています。

見た記録は監査ログに残る

パスワードを見ると、Microsoft Entra の監査ログに「Recover device local administrator password」として記録されます。パスワードが変わったときは「Update device local administrator password」です。誰がいつどの端末のパスワードを見たかを、定期的に確かめる担当を決めておきます。

手動のローテーションにはカスタム ロールが要る

決めた間隔を待たずにパスワードを変えたいときは、Intune の端末の操作「ローカル管理者パスワードのローテーション」を使います。この操作の権限は、Intune の組み込みロールにも、Microsoft Entra の Intune 管理者にも含まれていません。Intune のカスタム ロールを作って割り当てます。

Entra 参加の端末は、操作したときにオンラインである必要があり、オフラインなら失敗します。一括の操作はできず、1台ずつです。手動で変えると、次の自動の変更はその日から数え直しになります。

BitLocker回復キーをEntra IDに保存する｜ディスク暗号化ポリシー

BitLocker の設定は、Intune 管理センターの「エンドポイント セキュリティ」→「ディスクの暗号化」で、BitLocker のプロファイルとして配るのが推奨です。利用者に操作を求めずに暗号化する「サイレント暗号化」には、端末の側に次の条件があります。

• Microsoft Entra 参加か、ハイブリッド参加をしている
• TPM 1.2 以降を持ち、UEFI モードで起動し、セキュア ブートが有効
• Windows 回復環境（WinRE）が使える状態にある

回復キーに関わる設定は、次の表のとおりです。設定名は、Intune の画面の英語表記で書いています。

設定	値	意味
Require Device Encryption	有効	端末に暗号化を求める
Allow Warning For Other Disk Encryption	無効	利用者に確認を出さずに暗号化する。他社の暗号化ソフトがあっても進むため、先に洗い出しておく
Allow Standard User Encryption	有効	標準ユーザーでサインインしている端末でも暗号化する
Save BitLocker recovery information to Microsoft Entra ID	有効	回復キーを Entra ID に保存する
Store recovery information in Microsoft Entra ID before enabling BitLocker	必須	Entra ID への保存が済むまで暗号化を始めない
Client-driven recovery password rotation	有効	回復キーを使った後に、新しい回復キーへ自動で変える（次の章で説明）

サイレント暗号化では、起動時の PIN やスタートアップ キーを求める設定を「許可しない」にしておきます。起動時の入力を求める設定が別のポリシーから届いていると、サイレント暗号化は止まります。Microsoft Learn では、Defender のセキュリティ ベースラインがこの設定を有効にすることがあると注意しています。

暗号化の状況は、Intune 管理センターの「デバイス」→「暗号化レポート」で確かめられます。なお、Entra ID に保存できる回復キーは1台につき200個までで、上限に達するとサイレント暗号化が失敗します。

回復キーを聞かれたとき・端末をなくしたときの運用

回復キーは、Intune 管理センターの端末の画面（「監視」の「回復キー」）や、Microsoft Entra 管理センターの端末の詳細から見られます。見られるのは、端末の所有者と、全体管理者のほか、クラウド デバイス管理者、ヘルプデスク管理者、Intune 管理者、セキュリティ管理者、セキュリティ閲覧者です。

利用者が自分で回復キーを見るのを許すか

既定では、端末の所有者は自分の端末の回復キーを、Intune のポータルサイトの Web サイトなどから見られます。夜間や出張先でもヘルプデスクを待たずに済む一方、回復キーを見られる人が増えることにもなります。

止める場合は、Microsoft Entra 管理センターの「デバイスの設定」で、「所有しているデバイスの BitLocker キーの回復を管理者以外のユーザーに制限する」を「はい」にします。変更には特権ロール管理者以上のロールが要ります。全面的に止めずに、条件付きアクセスで準拠している端末からだけ見られるようにする方法もあります。どちらの場合も、見た記録は監査ログに「Read BitLocker key」として残ります。

使った回復キーは、新しいキーに変える

電話で読み上げた回復キーは、聞いた人が知っています。前の章の「Client-driven recovery password rotation」を有効にすると、回復キーで端末を開いた後に、端末が新しい回復キーを作って Entra ID に保存します。前提として、「Entra ID への保存が済むまで暗号化を始めない」設定を必須にしておく必要があります。

この設定の既定値は、Microsoft Learn の中で記述が揃っていません。既定に任せず、明示的に有効にしておくのが確実です。また、Intune の端末の操作「BitLocker キーのローテーション」を使えば、管理者が1台ずつ回復キーを変えることもできます。

端末を削除する順番に気をつける

端末を Microsoft Entra ID から削除すると、その端末の LAPS のパスワードも BitLocker の回復キーも消え、元に戻す方法はありません。削除は取り消せない操作です。

また、BitLocker で守られた Entra 参加の端末について、Intune の端末の情報を削除すると、端末の同期をきっかけに OS ドライブの保護が外れ、BitLocker が一時停止の状態になります。使い続ける端末の情報を、整理のつもりで削除しないようにします。返却や廃棄のときは、端末のデータを消して回収を確かめてから、最後に削除します。

弊社の支援

弊社は、Microsoft 365 と Azure の導入とセキュリティ設定を支援しています。Windows LAPS と BitLocker の設定そのものは数項目ですが、時間がかかるのは、端末の参加の形を確かめ、誰がパスワードや回復キーを見るのかという運用を決める作業です。

Entra ID と Intune の設定から、ロールの設計、ヘルプデスクの手順づくり、旧 Microsoft LAPS からの移行までをご一緒に進めます。端末を守る仕組みの全体はMicrosoft 365の端末セキュリティ対策（Defender for Endpoint編）で、セキュリティ対策の全体像はゼロトラストとはで解説しています。

よくあるご質問

こちらをクリックして「よくある質問」を表示

Windows LAPS を使うのに追加のライセンスは要りますか？

Windows LAPS は Windows に組み込まれた無償の機能で、Microsoft Entra ID への保存は Entra ID Free 以上で使えます。Intune で設定を配るには Microsoft Intune Plan 1 が要りますが、Microsoft 365 E3 と Business Premium に含まれています。パスワードだけを読めるカスタム ロールを作る場合は、Entra ID P1 以上が要ります。

Intune のポリシーを配ったのに、パスワードが表示されません。なぜですか？

Entra 参加の端末なら、まず Microsoft Entra ID の「デバイスの設定」で LAPS が有効になっているかを確かめます。ほかに、保存先が端末の参加の形と合っているか、ポリシーが競合していないか、端末が Intune と同期できているかも確かめます。端末が無効になっていると、パスワードの変更と保存は行われません。

パスワードを Entra ID と Active Directory の両方に保存できますか？

できません。保存先はどちらか一方です。ハイブリッド参加の端末はどちらも選べますが、Active Directory に保存した場合、Intune 管理センターではパスワードを表示できません。

ヘルプデスク管理者のロールで LAPS のパスワードを見られますか？

見られません。ヘルプデスク管理者が見られるのは、端末名や最終変更日時などの情報までです。BitLocker の回復キーはヘルプデスク管理者でも見られるので、混同しないようにします。ヘルプデスクに LAPS のパスワードを見せる場合は、パスワードを読む権限だけを持つカスタム ロールを作ります。

利用者が自分の BitLocker 回復キーを見られないようにできますか？

できます。Microsoft Entra 管理センターの「デバイスの設定」で、所有しているデバイスの BitLocker キーの回復を管理者以外のユーザーに制限する設定を「はい」にします。止めると、回復のたびにヘルプデスクへの連絡が必要になるため、夜間や出張先での対応も合わせて決めておきます。

Mac でもローカル管理者パスワードや回復キーを管理できますか？

Windows LAPS と BitLocker は Windows の機能なので、Mac には使えません。Intune には macOS 向けのローカル アカウントの管理と FileVault の設定が別にあり、仕組みも設定の場所も違います。Mac を含めて管理する場合は、Windows とは別の手順として設計します。

ローカル管理者のパスワードも回復キーも、困ったときに初めて必要になる鍵です。端末ごとに別の値にして、保存先と見られる人を決めておけば、いざというときに慌てずに済みます。お使いの端末の状況をお聞かせいただければ、設定と運用の進め方をご提案します。お問い合わせよりお気軽にご相談ください。

関連サービス・関連コラム

• セキュリティ強化支援（ゼロトラスト）
• クラウド導入支援（Microsoft 365）｜安全で生産性の高い働き方の基盤を構築
• Microsoft 365の端末セキュリティ対策（Defender for Endpoint編）｜P1・P2・Defender for Businessの違いと、入れただけでは効かない設定
• Microsoft 365・Azureの特権ID管理｜PIMで管理者権限を必要なときだけ有効にする
• ゼロトラストとは｜中小企業がMicrosoft 365で始めるセキュリティ

まずは無料トライアルで、効果をご確認ください

「AIプライベート」は短期・低コストで試せます。帳票入力（AI-OCR）・電話対応（AI-Voice）・計画づくり（AI-Enhance）の自動化から、クラウド（Azure・Microsoft 365）・DXのご相談まで、お気軽にどうぞ。