ローカル管理者パスワードの管理全PC同一パスワード問題とLAPSの位置づけ

PCの初期設定を楽にするため、全台のローカルAdministratorに同じパスワードを設定している会社は少なくありません。合理的に見えますが、1台の侵害を全台の侵害に変える構造です。

この記事はクライアントPCのローカル管理者パスワードに絞ります。サーバー側はWindows Serverの特権アカウント管理、権限設計はアカウントの権限管理とはで扱っています。

なぜ全台同一パスワードになるのか

意図して決めたのではなく、運用の積み重ねでそうなるのが実情です。

• マスターイメージの複製 — 1台を作り込んで展開すると、パスワードもそのまま複製される
• 手順書への記載 — 「Administratorは○○に設定」と書かれ、全端末で同じ値が使われる
• サポートの都合 — 担当者がその場で入力できるよう統一しておく
• 変更する手段がない — 1台ずつ触るしかなく、放置される

1台の侵害が全台に広がる仕組み

パスワードが全台共通だと、被害は次の順で広がります。

この横移動は、ドメインのパスワードポリシーでは止まりません。GPOのパスワード要件はドメインアカウント向けで、各端末のローカルアカウントには及ばないためです（グループポリシーでできるアカウント保護設定）。

ランサムウェアが「1台の感染」でなく「全社の停止」に至るのは、多くがこの段階を止められていないためです（ランサムウェア対策の基本、フィッシング）。

LAPSとは何をする仕組みか

標準的な対処が、ローカル管理者のパスワードを端末ごとに別の値へ自動で変え、その値を組織側で保管する仕組みです。WindowsではLAPS（Local Administrator Password Solution）として、現在はWindowsに組み込まれた形で使えます。

人が覚えて使い回す運用を、必要なときに調べて使う運用に置き換えるものです。

導入前に決めておく4つのこと

仕組みは追加費用なしで入れられますが、次を決めずに始めると運用で止まります。

• 誰が参照できるか — 対応者を限定するなら、不在時の代わりも決める
• ネットにつながらない端末をどうするか — 長期の持ち出しや閉域網の端末は、保管値と実際の値がずれることがある
• ローカル管理者を残すか、無効にするか — 日常業務で不要なら、管理するより無効にするほうが確実
• 手順書を改訂するか — 固定パスワードが書かれたままだと、新しい端末だけ元に戻る

3つ目は最初に考える価値があります。使う場面が年に数回なら、無効にして必要なときだけ有効にするほうが管理対象が減ります。

この対策で閉じない経路

LAPSが閉じるのは「1台から回収した資格情報で他の端末に入る」経路だけです。最初の1台に入られる経路は閉じません。

正規のドメインアカウントのID・パスワードを盗まれ、正面からログインされる経路も別の問題で、パスワード以外の要素を足す話になります（Windows/Windows Server OSログインの二要素認証）。ローカル管理者パスワードの管理は被害の広がりを抑える対策で、入口側の対策と組み合わせて意味を持ちます。

普段の管理が楽になると何が変わるか

この問題の根っこは「1台ずつ触るしかない」ことでした。全PC・サーバーを1か所で管理できれば（アプリップリキー）、ローカル管理者のアカウントで誰がいつ、どのPCにログインしたかを、ログイン記録で絞り込んで確かめられます。保守の作業日以外に管理者アカウントでのログインがあれば、画面を開くだけで気づけます。

使わなくなったローカルアカウントは、席まで行かずに管理画面から無効化できます。年に数回しか使わない管理者アカウントを「普段は止めておき、必要なときだけ戻す」運用も、1台ずつ回らずに済みます。PCの台数・OS・利用者も1画面に並ぶので、キッティング手順書と実機を突き合わせるときの下調べにも使えます。

いまの運用を棚卸ししてみる

ローカル管理者パスワードが全台共通かどうかは、キッティング手順書と実機を突き合わせればすぐに判明します。applippliの無料棚卸しでは、10問・約3分で、こうしたアカウント管理・認証の対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。