Windows LAPS はアカウントを作らない。割り当て済みでも回す相手がいなかった

新入社員の PC の仕上げで、利用者を PC の管理者から外した。外したあとに管理者の一覧をもう一度見たら、手順書に「このアカウントでサインインして作業する」と書いてある、LAPS 用のローカル管理者がいなかった。

Intune には Windows LAPS（PC ごとのローカル管理者のパスワードを自動で定期的に変え、Entra ID に保管する仕組み）のポリシーがあり、この PC にも割り当てられていた。それでも、パスワードを回す相手のアカウントが PC になかった。Windows LAPS は、指定した名前のアカウントのパスワードを回すだけで、アカウントは作らない（自動アカウント管理をオンにしない限り）。ポリシーが割り当て済みでも、それだけではパスワードが回っている証拠にならない。

ある会社（30名規模）で、気づいてからアカウントを作り、LAPS が動いたことをイベントログで確かめるまでを書く。アカウントがなかった原因は、自分が手順書を書き直したときの書き写し漏れだった。

▼きっかけ：利用者を管理者から外したら、ローカルの管理者が残らなかった

この会社では、新しい PC の初期設定を利用者のアカウントで進めて Entra ID に参加させる。Entra 参加の操作をしたユーザーは、その PC の管理者（ローカルの Administrators）に入る。だから仕上げで、利用者を標準ユーザーに戻す。

今回は PowerShell で、利用者を Administrators から外した。外したあと、もう一度一覧を出した。残っていたのは次の3つだけだった。

手順書が「LAPS の管理者でサインインして、利用者を標準ユーザーに戻す」と書いている、そのアカウントがない。手順書どおりに進めていたら、最初の一歩（そのアカウントでサインイン）で止まっていたはずだ。今回は PowerShell で外したので、外したあとに気づいた。

気づけたのは LAPS を調べていたからではない。外したあとに、もう一度一覧を見たからだ。

▼原因：Windows LAPS は「既にあるアカウント」を回すだけで、作らない

ポリシーの中身

Intune の Windows LAPS のポリシーを開いて読んだ。

Microsoft のドキュメント（Intune の LAPS ポリシーの説明）にもはっきり書いてある。自動アカウント管理がオフ（既定）なら、管理するアカウントは管理者が先に作っておく。Intune の LAPS のポリシーは、新しいアカウントもパスワードも作らず、PC に既にあるアカウントを管理するだけだ。

作る前の状態は、見ていない

正直に書くと、アカウントを作る前に、この PC の LAPS のイベントログも、Intune でのポリシーの状態表示も見ていない。気づいた時点でそのまま作ったので、「作る前に LAPS が何をしていたか」の記録はない。

ただ、Microsoft の Intune の LAPS の FAQ には、こう書いてある。自動アカウント管理を使わない設定（または Windows 11 23H2 以前）で、PC にない名前を指定しても「効果はなく、エラーも出ない」。指定した名前のアカウントがなければ、管理されるアカウントは「なし」になる。

つまり、ポリシーの割り当ては問題なく済み、エラーも出ないまま、パスワードは1回も回らない。管理画面の「割り当て済み」を見て安心していると、この状態には気づけない。

なぜアカウントがなかったか：手順書を書き写すとき「作る」手順が落ちた

前任のベンダーが残した手順書を読み直した。PC の初期設定の章に、LAPS 用の管理者を作る手順はあった。「PC の台帳を更新する」と同じ手順番号の中に、「ローカルアカウントを追加する。仮のパスワードで作っておけば、ポリシーが同期されたあと Entra でローテーションされる」という形で入っていた。

その手順書をもとに、自分が今の手順書を書き直したのは、この PC の初期設定と同じ日だ。そのとき「台帳を更新する」は写した。同じ手順の中の「アカウントを作る」は落とした。一方で、仕上げの「LAPS の管理者でサインインして戻す」は写していた。

「使う」手順は、サインインの ID まで書いてあって目立つ。「作る」手順は、別の作業の中に1行で埋もれている。書き写すと、目立つほうが残り、埋もれたほうが落ちる。

前任の手順書の食い違いは、前に275ページの手順書を突き合わせた記事で、ずれの一覧として拾っていた。今回は、写した自分の側で新しいずれを作っていた。手順書に「このアカウントで」と書いてあったら、そのアカウントが手順書のどこで作られているかを探す。見つからなければ、それが抜けだ。

▼LAPS 用の管理者を作り、「Entra に保存」と「更新」をイベントログで確かめる

既存のポリシーは名前を指定したアカウントを管理する設定なので、その名前でアカウントを作った。管理者の PowerShell で1行ずつ打つ。

仮のパスワードは、手で決めずにランダムに作り、どこにも記録しない。LAPS が動けばすぐに上書きされるので、覚えておく意味がない。手で決めた値を管理表に書くと、LAPS が上書きしたあとも「もう使えない古い値」が表に残る。

LAPS は1時間ごとに自分でポリシーを処理する。Invoke-LapsPolicyProcessing は、それを待たずに今すぐ処理させるコマンドだ。このコマンド自体は結果を返さないので、結果はイベントログで見る。見るのは次の2つ。

LAPS は先に Entra に保存してから、ローカルのアカウントを書き換える。今回は2つとも出た。パスワードは Intune／Entra の管理画面の「ローカル管理者パスワード」から見る。

「ポリシーが割り当て済み」でも「アカウントを作った」でもなく、この2つのイベントが出たところで「LAPS が動いている」と言える。新しい PC の手順書には、この5行を足した。

▼手順の順番：LAPS の管理者があるのを確かめてから、利用者を外す

利用者を管理者から外す手順そのものは短い。これも管理者の PowerShell で1行ずつ打つ。

画面（設定 → アカウント → 他のユーザー）から種類を変えてもいい。ただ PowerShell なら、外す前と後の一覧をそのまま見比べられる。今回の抜けに気づけたのも、3の一覧があったからだ。

だから順番は、LAPS 用の管理者があることを確かめ（なければ作って LAPS を動かし）、そのあとで利用者を外す。今回は逆の順で進めて、外したあとに気づいた。手順書には作り方の5行を足したが、今は「外す」手順の後ろに書いてある。並びを入れ替えるのは、次にこの手順書を使う前にやる。

▼まだ確かめていないこと

確かめたのは新しい1台だけだ。手順書を書き直した日の時点で、前からある別の PC では、Intune でこのアカウントのパスワードが取れていた（＝アカウントがあった）。抜けたのは、自分が書き直した手順書で仕上げた PC で、今わかっているのはこの1台だ。手順書を書き換えたら、まずその後に仕上げた PC を疑う。ただ、前からある PC がすべてそうかはまだ見ていないので、全台も見る。

全台を見る方法は、Intune／Entra の「ローカル管理者パスワード」が出ない PC を洗い出すか、Intune のスクリプトで各 PC の Administrators の一覧を集めるか。どちらで行くかは、まだ決めていない。

次の手：自動アカウント管理

Windows LAPS には、アカウントの作成まで任せる「自動アカウント管理」がある。オンにすれば、今回のような作り忘れは起きない。ただし Windows 11 24H2 以降の機能で、この会社には Windows 10 の PC がまだ数台ある。

もう1つ、オンにすると、ポリシーで指定しているアカウント名は使われなくなり、LAPS は新しく作るアカウント（既定の名前は WLapsAdmin）に切り替わり、今の lapsadmin は LAPS の管理から外れる。しかも新しいアカウントは既定では「無効」で作られるので、今回のように「PC の中だけで使える鍵」として使うなら、有効にする設定も一緒に入れる必要がある。OS で割り当てを分けられるか（Intune のフィルター）と、既存のアカウントをどう片付けるかを確かめてから決める。まだ切り替えていない。

▼まとめ

• ▶ Windows LAPS は、自動アカウント管理をオンにしない限りアカウントを作らない。PC にない名前を指定してもエラーは出ないので、「ポリシーが割り当て済み」は「パスワードが回っている」の証拠にならない
• ▶ 前任の手順書を書き写すときは、「このアカウントで」と書かれたアカウントを作る手順がどこにあるかを探す。「使う」手順は残り、「作る」手順は落ちやすい
• ▶ LAPS が動いたかは、イベントログの 10029（Entra に保存）と 10020（ローカルを更新）で確かめる。仮のパスワードはランダムに作り、記録しない
• ▶ 利用者を管理者から外すのは、ローカルの管理者があると確かめてから。外したあとはもう一度一覧を見る
• ▶ 自動アカウント管理はまだ切り替えていない。古い OS の PC と、今のアカウントの扱いを確かめてから決める