> For the complete documentation index, see [llms.txt](https://docs.realmjoin.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.realmjoin.com/ja/realmjoin-agent/realmjoin-client/local-admin-password-solution-laps.md). # ローカル管理者パスワード ソリューション (LAPS) RealmJoin LAPS は強力なローカル アカウント パスワードを生成し、自分の Azure Key Vault に保存します。監査は Application Insights または Log Analytics を介して行われます。 当社の Local Administrator Password Solution (LAPS) は、ユーザーサポートや権限昇格のために環境内で同一のアカウントを使用する問題を解決するために構築されました。LAPS はローカルアカウント用の強力なパスワードを生成し、これらは安全に保存されます *あなた自身の* [Azure Key Vault](/ja/realmjoin-agent/realmjoin-client/local-admin-password-solution-laps/keyvault.md)。監査のために、次のいずれかを提供するオプションがあります [Application Insights](/ja/realmjoin-agent/realmjoin-client/local-admin-password-solution-laps/application-insights.md) インスタンスまたは [Log Analytics Workspace](/ja/torogu/log-analytics.md). ## 前提条件 LAPS を始める前に、次の前提条件を満たす必要があります: * 設定 [Application Insights](#application-insights) または [Log Analytics Workspace](/ja/torogu/log-analytics.md) * グループ（またはユーザー）の設定を使用して LAPS アカウントの種類を明示的に有効にする 以下でその両方を見ていきます。 ## ログ記録 LAPS を使用する際、Application Insights と Log Analytics は重要な役割を果たします。LAPS によって発生したパスワード要求は RealmJoin によりログに記録され、構成済みの Application Insights インスタンスまたは Log Analytics Workspace に送られます。これにより、誰がパスワードを取得しているのかを完全に把握できます。 選択するログ記録の形式は 1 つだけでよく、Application Insights か Log Analytics のどちらかです。LAPS の設定時にロギングは任意であり、組織がこの情報を必要としない場合は省略できます。 詳細は次の当社の [Application Insights](/ja/realmjoin-agent/realmjoin-client/local-admin-password-solution-laps/application-insights.md) と [ログ分析](/ja/torogu/log-analytics.md) 記事をご覧ください。 ## グループ設定 LAPS は以下のグローバル設定をサポートしています。 | 設定キー | デフォルト値 | 説明 | | ---------------------------------- | --------- | ------------------------------------------------------------------------------------------------------------------ | | LocalAdminManagement.Inactive | `false` | 設定すると `true` この機能を強制的にオフにします。これによりクリーンアップされ、 **削除** すべてのローカルアカウントが削除されます。 | | LocalAdminManagement.CheckInterval | `"01:00"` | 内部構成チェックの間隔（[HH:mm](https://docs.microsoft.com/en-us/dotnet/standard/base-types/standard-timespan-format-strings)) | 次のアカウント種類がサポートされています。 | 設定キー | デフォルト値 | | -------------------------------------- | ------------ | | LocalAdminManagement.EmergencyAccount | `未定義` (*無効*) | | LocalAdminManagement.SupportAccount | `未定義` (*無効*) | | LocalAdminManagement.PrivilegedAccount | `未定義` (*無効*) | 各アカウント種類は、以下の共通設定を使用して個別に構成できます。種類によっては、それぞれのセクションで説明される特別な設定があります。 {% hint style="info" %} 次の表では `$` は次の 3 つのいずれかを表します `アカウント` 上記の JSON オブジェクト。 {% endhint %} | 設定キー | デフォルト値 | 説明 | | ------------------ | -------------------------------------------------------------------- | ------------------------------------------------------- | | $.NamePattern | `"ADM-{HEX:8}"` | 特別。参照: [特権アカウント](#privileged-account)20 文字以内である必要があります。 | | $.DisplayName | `RealmJoin ローカル管理者` | 表示名 | | $.PasswordCharSet | `"!#%+23456789:=?@ABCDEFGHJKLMNPRSTUVWXYZabcdefghijkmnopqrstuvwxyz"` | パスワード生成器の文字セット（紛らわしい文字は除外） | | $.PasswordLength | 20 | パスワードの長さ | | $.PasswordPreset | 0 | プリセットのパスワードテンプレート。参照: [パスワード生成](#password-generation). | | $.MaxStaleness | 特別。参照: [アカウント再作成](#account-recreation). | プリセットのパスワードテンプレート。参照: [パスワード生成](#password-generation). | | $.OnDemand | 特別。参照: [サポートアカウント](#support-account). | 要求された場合にのみアカウントを作成します。 | | $.Expiration | 特別。参照: [サポートアカウント](#support-account). | 固定のアカウント有効期限日（ISO-8601 形式） | | $.PasswordRenewals | 特別。参照: [特権アカウント](#privileged-account). | 固定のアカウント有効期限日（ISO-8601 形式） | ## パスワード **生成** デフォルトでは、設定に基づいて真にランダムなパスワードが生成されます `PasswordCharSet` と `PasswordLength`デフォルトの文字セットは、次のような見た目が似ている文字を除外するよう選択されています: `I1l` と `O0`生成には、高品質なランダム性を提供するために Windows の暗号学的乱数生成器が使用されます。 {% hint style="info" %} RealmJoin は、アカウント作成時の Windows の複雑さ要件に関する問題を自動的に処理します。真にランダムなパスワードでは、生成されたパスワードが複雑さの要件を満たさないことがあります。これが発生した場合、RealmJoin は使用可能なパスワードが生成されるまで、最大 3 回パスワード生成を行います。それでもすべての再試行を超えてしまう статистically small probability? `再試行回数が上限に達しました`。処理全体は次回の内部構成チェックの実行時に再開されます（設定 `CheckInterval`). {% endhint %} 真にランダムなパスワードは扱いにくいことがあるため、特別なプリセットテンプレートもサポートされています。 * プリセット 1 ⇒ `[大文字 1 文字][小文字 3 文字][数字 4 桁]` * `Tuci9325` * `Lnso5050` * `Khwn2174` * プリセット 2 ⇒ `Key-[6 digit]-[6 digit]-[6 digit]-[6 digit]-[6 digit]-[6 digit]-[6 digit]-[6 digit]` * PasswordLength 設定がサポートされています。設定は数字ブロックの数を決定します。 * `Key-012993-230956-976475` (PasswordLength = 3) * `Key-497254-679158-631224-278319` (PasswordLength = 4) * `Key-506179-861369-706482-613244-730371-097689-404350-340073` (既定) * プリセット 3 ⇒ `[単語]-[単語]-[単語]-[単語]-[単語]-[単語]` から生成された [Eff Long List](https://www.eff.org/files/2016/07/18/eff_large_wordlist.txt) * PasswordLength 設定がサポートされています。設定は単語数を決定します。 * `Exciting-Unearth-Cried-87` (PasswordLength = 3) * `Neurology-Astute-Debate-Marshy-15` (PasswordLength = 4) * `Marshy-Darkened-Undertake-Reset-Shrouded-Wise-26` (既定) ## アカウント再作成 アカウントの使用後、RealmJoin は次の設定を使用してそのアカウントを削除し、再作成するよう構成できます。 `MaxStaleness` 設定。この方法なら、アカウントは常にクリーンな状態になります。構成しない場合、アカウントは再作成されることはなく、無期限に残ります。 {% hint style="danger" %} RealmJoin はアカウントとそのプロファイルを削除します。 **すべてのファイルは完全に削除されます。** アカウントがまだ使用中である場合、つまり、まだログイン中、セッションが開いたまま、ADM として起動したアプリケーションがまだ実行中である場合でも、アカウントはタイムアウトしますが、削除することはできません。 **古いアカウントが削除されない限り、新しいアカウントを作成することはできません。** {% endhint %} ## 競合の回避 RealmJoin はデバイス上のアカウントを管理する際、命名の競合を避けるよう最善を尽くしますが、アカウントがすでにデバイス上に存在して競合を引き起こす可能性は常にあります。そのため、 `NamePattern` 設定では、RealmJoin にとって特別な意味を持つこれらのトークンをサポートしています。トークンは、コロンの後に続く指定の関数とその長さパラメーターによって変換されます。 * `{HEX:8}` ⇒ `F4D027EF`, `B3C4F74E`、…（ランダムな 16 進数文字） * `{DEC:6}` ⇒ `506453`, `066946`、…（ランダムな 10 進数文字） * `{COUNT:2}` ⇒ `01`, `02`、…（カウンター、 `01` 競合がない場合はそのまま維持されます） ## 緊急アカウント このアカウント種類は、デバイスが致命的な障害に見舞われた場合のバックアップアクセスです。事前に作成されます。これにより、復旧用のアクセスを常に確保できます。次の用途で構成することを推奨します: [アカウント再作成](#account-recreation). *例* キー `LocalAdminManagement.EmergencyAccount` （共通設定については [グループ設定](#group-settings)) ```json { "NamePattern": "ADM-Emergency-{HEX:4}", "DisplayName": "緊急アクセス", "MaxStaleness": "04:00", "PasswordPreset": 2 } ``` ## サポートアカウント このアカウント種類は、オンデマンド作成用に構成できます。オンデマンドモードでは、既定で 12 時間の限定的な時間枠で使用するよう設計されています。有効期限の時間枠は、Tenant ごとに次の場所で調整できます。 *RealmJoin Portal* （LAPS Tenant 構成）。 {% hint style="danger" %} サポートアカウントとそのプロファイルは、使用状況にかかわらず、アカウント要求から構成済みの有効期限（既定 12 時間）が経過すると削除されます（サポートユーザーがサインアウトした後）。 **すべてのファイルは完全に削除されます。** {% endhint %} {% hint style="danger" %} オンデマンドモードでアカウント再作成を使用する場合（`MaxStaleness`) *使用しないでください*。サポート業務のワークフローに支障をきたす可能性があります。 {% endhint %} オンデマンドワークフローの要件: * このモードは次の設定で有効になります: `"OnDemand": true`. * ユーザーがサインインしている * RealmJoin エージェントが実行中である * デバイスがインターネットに接続されている * デバイスが RealmJoin バックエンドに到達できる {% hint style="info" %} RealmJoin エージェントが要求を検知するまでに最大 30 分かかる場合があります。サインイン中のユーザーは、RealmJoin のトレイメニューから「このデバイスを同期」を選択することで、この処理を早めることができます。 {% endhint %} オンデマンドモードでない場合は、事前に作成されます。 *例* キー `LocalAdminManagement.SupportAccount` （共通設定については [グループ設定](#group-settings)) ```json { "NamePattern": "ADM-Support-User-{HEX:2}", "DisplayName": "サポートユーザー", "OnDemand": true, "PasswordPreset": 1 } ``` ## 特権アカウント このアカウント種類は、自分のデバイスで定期的だが制御された管理者権限を必要とするパワーユーザー向けに設計されています。固定のアカウント有効期限日を指定できます（`有効期限`). {% hint style="danger" %} この種類ではアカウント再作成（`MaxStaleness`) *使用しないでください*目的は、ユーザーのために永続的なアカウントを用意することです。 {% endhint %} 強制的なパスワードローテーションがサポートされています: 1. `2021-11-20T12:34:56+01:00`：ISO-8601 形式の明示的なタイムスタンプ。複数のタイムスタンプを指定できます。 2. `DayAfterCreate`アカウントが作成された後、そのアカウントのパスワードは変更されます。これは、ユーザーが追加のサインイン オプションとして Windows Hello を設定する場合に役立ちます。 3. `毎年`, `毎月` または `毎週`：より短い間隔が優先されます（`毎週` > `毎月` > `毎年`）。それ以上条件が指定されていない場合、既定は `毎月` は `毎週`、さらに `毎年` 既定では、パスワードの最終設定日 + 365 日になります。7 曜日すべてを指定できます。したがって、 `水曜日` と `毎週` が指定されると、パスワードは毎週水曜日に変更されます。 `水曜日` と `毎月` が指定されると、パスワードは毎月最初の水曜日に変更されます。 `毎年` を曜日指定と組み合わせると、期限は 365 日に達する直前の、指定可能な最も遅い曜日に設定されます。 *例* キー `LocalAdminManagement.PrivilegedAccount` （共通設定については [グループ設定](#group-settings)) ```json { "NamePattern": "Privileged-User-{COUNT:1}", "DisplayName": "特権ユーザー", "PasswordRenewals": ["DayAfterCreate", "Monthly", "Thursday"], "PasswordPreset": 3, "PasswordLength": 3 } ``` ## パスワードへのアクセス パスワードにアクセスするには RealmJoin Portal を使用します。
### LAPS アカウントにアクセスできる人 ポータルユーザーがデバイスの LAPS アカウントで何ができるかは、その人の RealmJoin ロールによって異なります: | ロール | 緊急アカウント | サポートアカウント | 特権アカウント | | ----------- | ---------- | ------------------ | ------------------ | | 管理者、上級サポーター | パスワードを読む | パスワードを読む、アクセスを要求する | パスワードを読む、アクセスを要求する | | 監査者 | アカウントの表示のみ | アカウントの表示のみ | アカウントの表示のみ | | サポーター | パスワードを読む | パスワードを読む、アクセスを要求する | — | 複数のロールを持つユーザーは、それらのロールの権限を組み合わせたアクセス権を得ます。 {% hint style="info" %} プライマリユーザーのいないデバイスでは、グローバル管理者と管理者のみが LAPS アカウントにアクセスできます。 {% endhint %} #### カスタムロール [カスタムロール](/ja/to/permission/custom-roles.md) は以下の権限で LAPS アクセスを付与できます。各権限は、上の表にある対応する組み込みロールとまったく同じ LAPS アクセスを与えます。そのロールの他の権限は付与しません。 | 権限 | 次のような LAPS アクセス | | ------------------------------------- | --------------- | | `CanUseDeviceLapsAsAdvancedSupporter` | 上級サポーター | | `CanSeeDeviceLapsAsAuditor` | 監査者 | | `CanUseDeviceLapsAsSupporter` | サポーター | アクセス制限については [アクセス制限](#restricting-access)、これらの権限のいずれかを持つユーザーは、対応するロールを持つユーザーとして扱われます。たとえば、 `CanUseDeviceLapsAsSupporter` は次に示すグループのいずれかに含まれている必要があります `サポーター`. ### アクセスの制限 次を使用して `Restrict.LAPS` 設定を使用して、たとえば役員のデバイスなど、特定のデバイスの LAPS アカウントにアクセスできるポータルユーザーを制限します。 [アクセス制限](/ja/ugd-management/user-and-group-settings/additional-settings.md#access-restrictions) の詳細をご覧ください。 この *LAPS* RealmJoin Portal のデバイス セクションには、あなたが保持している LAPS ロールと、そのうちどれが `Restrict.LAPS` そのデバイスで許可されているかが表示されます。 ## セルフサービスを有効にする ユーザーは、自分の *自身の* デバイス上で作成されたアカウントにアクセスできます（それらは「PrimaryUser」です）。次を使用して有効化する場合: *RealmJoin Portal* バージョン `2022.5.1`から有効になります。有効にするには、次のキーを使用して設定を定義します: `Allow.SelfLAPS`。この設定はグループとユーザーで定義できます。 `Allow.*` これらはユーザーとそのすべてのグループ全体で AND 結合されます。 ```json { "EmergencyAccount": true, "SupportAccount": true, "PrivilegedAccount": true } ``` 値は純粋なブール値でも構いません `true`/`false`。これはワイルドカードとして使用でき、現在および将来のすべてのアカウント種類を含みます。これはアクセスを無効化する場合にのみ推奨されることに注意してください（`false`). {% hint style="info" %} 以前は、この設定を `true`に設定することが推奨されていました。しかし、RealmJoin の拡張に伴い、新しいアカウント種類が追加されます。そのため、すべての `true` 値を、より明示的なオブジェクト表記に移行することを強く推奨します {% endhint %} 設定例は次のようになります: | グループ | | コメント | | ------------ | --------------------------------------------------------- | -------------------------------------------------------------------------------- | | すべてのリモートワーカー | `{ "EmergencyAccount": true }` | リモートワーカーは、自分のデバイスの緊急アカウントにアクセスできます。 | | すべての開発者 | `{ "EmergencyAccount": true, "PrivilegedAccount": true }` | 開発者は、リモートワーカーであるかどうかにかかわらず、緊急アカウントと特権アカウントにアクセスできます。 | | すべての研修生 | `false` | 研修生には、3 種類のアカウントのいずれにもアクセス権があってはなりません **と** 将来追加されるすべての種類にも、たとえリモートワーカーや開発者であっても | {% hint style="info" %} SelfLAPS は通常の LAPS ロールよりも強力です。とはいえ、管理者ユーザーが通常のユーザーアカウントで LAPS を管理している場合、自分自身の LAPS を管理することはできません。 対策: これらの管理者アカウントで SelfLAPS を有効にするか、分離された管理者アカウントを使用してください。 {% endhint %} --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.realmjoin.com/ja/realmjoin-agent/realmjoin-client/local-admin-password-solution-laps.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.