オンプレADのLAPSから「Entra ID LAPS」への移行とアクセス権限設計

オンプレミスADで運用していたローカル管理者パスワード管理(LAPS)を、フルクラウドPCやハイブリッド参加PCへ向けてEntra ID LAPSへ移行。しかし、管理者ポータルでパスワードが参照できない、あるいは権限過剰なスタッフまで参照できてしまう設計不備が懸念されます。

原因と落とし穴

従来のLAPSと異なり、Entra ID LAPSは「デバイスプロパティ」に統合されています。RBAC(ロールベースアクセス制御)で「Cloud Device Administrator」ロールが強すぎるため、特定のヘルプデスク担当者のみにパスワード参照を許可する「最小権限の原則」の実装にはカスタムロールの理解が不可欠です。

切り分け・対処手順

Intuneポリシーの有効化: エンドポイントセキュリティの「アカウント保護」からLAPSポリシーを作成し、バックアップ先を「Azure AD (Entra ID)」に指定します。

RBACの構成: カスタムロールを作成し、microsoft.directory/deviceLocalCredentials/password/read 権限のみを対象ユーザーに割り当てます。

動作確認: Intuneポータルのデバイス詳細画面から「ローカル管理者のパスワード」が表示されること、イベントビューアー(LAPSログ)に同期成功が記録されていることを確認します。

まとめ

LAPSのクラウド移行は、単なるストレージの変更ではなく、ポータルへのアクセス権限を「最小限」に絞り込むプロセスがセキュリティ上の最重要事項となります。

■ あわせて読みたい

▶ ローカル管理者運用のPCを安全にドメイン/Entra IDへ統合する「User Profile Wizard」実務ガイド
▶ IntuneでBitLocker管理を新規導入するときに気をつけたい「暗号化方式の統一」

---

■ この記事に関連するテンプレート

LAPSの閲覧権限のように「誰に何を許可するか」を決めて残しておく作業は、M365のセキュリティ方針づくり全体で発生します。条件付きアクセスやIntune・Entra IDの方針をNotionにまとめるためのテンプレートを作りました。
まずは無料版で、使い方が合うかを確かめてみてください。

▶ 無料版（情シス向けNotionテンプレート3種）を見る
▶ 中小企業向けセキュリティベースライン設計キット（¥2,980）