Windows11のLAPSにおいて、パスワードの代わりに読みやすい単語の組み合わせ（パスフレーズ）を使い、その単語の数を決める基本的な仕組みについて解説します。
複雑さとワードリストの関係
Windows LAPSが生成するパスワードやパスフレーズの性質は、「PasswordComplexity（パスワードの複雑さ）」というポリシー設定によって決定されます。従来は、大文字、小文字、数字、特殊文字を組み合わせた複雑なパスワード（値1〜5）のみでしたが、Windows 11 バージョン 24H2 からは、新たに3種類の「パスフレーズ」を生成するオプション（値6〜8）が追加されました。
このパスフレーズ機能は、単なるランダムな文字列ではなく、あらかじめ用意された「ワードリスト（単語帳）」から単語を抽出して組み合わせることで生成されます。例えば、設定値「6」を選んだ場合は、7,776語収録された「長い単語リスト」から単語が選ばれ、「SedimentWaffleEpilogueArrivalWorseningRecent」のようなパスフレーズが生成されます。設定値「7」や「8」では、「短い単語リスト」が使用され、より入力しやすくなります。
ポイント：
これらのワードリストは、Electronic Frontier Foundation（EFF）という組織が作成したものがベースになっており、人間にとっての読みやすさと入力のしやすさを向上させるように設計されています。
従来の複雑なパスワードは、手動で入力する際に非常に手間がかかり、入力ミスも起きやすいという課題がありました。新しいパスフレーズ機能を使うことで、セキュリティ強度を保ちつつ、利便性を大幅に向上させることが可能になります。この機能は、Windows11 LAPSパスフレーズ長制御や自動アカウント管理と組み合わせて運用することで、より強固で管理しやすい環境を構築できます。
エントロピと強度の最適化
パスフレーズを導入する上で気になるのが、「本当に安全なのか？」という点かと思います。そこで重要になるのが「エントロピ」という概念です。エントロピとは、パスワードの推測のしにくさ（不確実性）を数値化したもので、この数値が高いほど、総当たり攻撃に対して強いということになります。
一見すると、複雑な記号が混ざったパスワードの方が安全に思えるかもしれませんが、実は「長さ」がエントロピに大きく影響します。Windows LAPSのパスフレーズは、英単語の組み合わせですが、十分な単語数をつなげることで、従来の複雑なパスワードと同等以上のエントロピを確保できます。例えば、既定の「6つの長い単語」を組み合わせたパスフレーズは、約78ビットのエントロピを持ちます。これは、通常の企業環境において十分な強度とされています。
注意：
単語数を最大値（10単語）に設定すればエントロピはさらに高くなりますが、セキュリティが過剰になり、入力の手間などユーザビリティが大きく低下してしまいます。セキュリティと利便性のバランス（トレードオフ）を考慮して設定することが重要です。
エントロピとユーザビリティのバランスを最適化するために、Microsoftはパスワードを無駄に長く複雑にするのではなく、後述する「自動アカウント管理」機能などを併用して、多層的に防御するアプローチを推奨しています。強度の最適化において、Windows11 LAPSパスフレーズ長制御をどのように設定するかが重要な鍵となります。
既定の単語数と適用条件
では、実際にパスフレーズの長さをコントロールする「PassphraseLength」ポリシーの仕様について見ていきましょう。このポリシーでは、パスフレーズを構成する単語数を「最小3単語」から「最大10単語」の範囲で設定できます。管理者が特に設定を行わなかった場合の既定値は「6単語」となります。先ほどのエントロピの話にあったように、この6単語という長さが、強度と利便性のバランスが最も取れた設定として推奨されています。
また、生成されるパスフレーズは、単語の区切りが分かりやすいように各単語の先頭が大文字になる形式（キャメルケースやパスカルケースと呼ばれる形式）で作成されます。単語の間にスペースやハイフンなどの記号は入りません。
適用条件に関する重要なルール：
この「PassphraseLength」の設定は、前述の「PasswordComplexity」がパスフレーズを生成する設定（値6、7、8）になっている場合にのみ有効になります。もし、従来のパスワード生成設定（値1〜5）のまま「PassphraseLength」を設定しても、システム側で無視されてしまうので注意が必要です。
そして、最も気をつけなければならないのが、このパスフレーズ機能が利用できるOSのバージョンです。パスフレーズ機能およびWindows11 LAPSパスフレーズ長制御は、Windows 11 バージョン 24H2、Windows Server 2025 以降でのみサポートされる新機能です。古いバージョンのWindowsにパスフレーズのポリシーを適用すると、システムは安全のために自動的に従来の複雑なパスワード（値4）を生成する仕様になっています。そのため、環境内に異なるOSバージョンが混在している場合は、ポリシーの適用対象をしっかりと分けるなどの設計上の工夫が必要になります。
Intuneを用いた設定方法
モダンなIT環境では、Microsoft Intuneを使ってクラウドからWindows LAPSを管理するのが一般的です。IntuneからWindows11 LAPSパスフレーズ長制御を含めたポリシーを配信し、生成されたパスフレーズをEntra IDに安全に保存するまでの流れを解説します。
まず大前提として、Entra ID（旧Azure AD）側で、デバイスから送られてくるLAPSのパスワードを受け取る設定が有効になっている必要があります。Entra IDの管理センターで、「Microsoft Entra Local Administrator Password Solution (LAPS) の有効化」が「はい」になっていることを必ず確認してください。
次に、Intune管理センターからポリシーを作成します。「エンドポイントセキュリティ」の「アカウント保護」から「Local admin password solution (Windows LAPS)」のプロファイルを作成します。設定項目の中で、パスワードのバックアップ先を「Microsoft Entra ID」に指定し、「パスワードの複雑さ」をパスフレーズのオプション（長い単語など）に設定します。ここで合わせて、「パスフレーズの長さ（単語数）」を設定します。
運用時の権限管理：
保存されたパスフレーズを閲覧したり、強制的にローテーション（再生成）させたりするには、Entra IDやIntune上で適切な権限（RBAC）が割り当てられている必要があります。セキュリティ上、必要最小限の担当者のみがアクセスできるように権限を設計してください。
GPOによるオンプレミス管理
もちろん、従来のActive Directory（AD）とグループポリシー（GPO）を使ったオンプレミス環境でも、新しいWindows LAPSを管理することが可能です。GPOを使ってWindows11 LAPSパスフレーズ長制御を行う場合のポイントを見てみましょう。
オンプレミスAD環境に展開する場合、まずADのスキーマ（データベースの構造）を拡張して、LAPSのパスフレーズ情報を保存できる専用の場所を作る必要があります。これは、PowerShellの「Update-LapsADSchema」コマンドレットを実行して行います。その後、パソコン自身が自分のパスワード情報をADに書き込めるように、アクセス権の付与（Set-LapsADComputerSelfPermission）を行います。
ポリシーの設定自体は、普段お使いのグループポリシー管理エディター（GPMC）から行います。ただし、新しいパスフレーズ設定の項目を表示させるためには、Windows 11 24H2などの最新OSから、LAPSの管理用テンプレート（.admx および .adml ファイル）をADのセントラルストア（SYSVOL）にコピーして更新しておく必要があります。準備ができたら、「コンピューターの構成」＞「管理用テンプレート」＞「システム」＞「LAPS」から、パスフレーズの複雑さや長さを設定して展開します。
ポリシーの競合に注意：
Intune（MDM）とGPOの両方を使っているハイブリッド環境では、設定が競合する可能性があります。Windows LAPSの仕様上、Intuneから配信されたポリシーが最も優先され、GPOの設定は上書きされてしまいます。意図しない動作を防ぐためにも、管理手法はできるだけ一元化することをおすすめします。
Windows11のLAPSパスフレーズ長制御設計
パスフレーズを導入した後の、安全かつ効率的な運用管理のための設計や、トラブルシューティングについて解説します。
自動アカウント管理の仕組み
Windows 11 バージョン 24H2から搭載された機能の中で、個人的にパスフレーズ機能と並んで非常に強力だと感じているのが、この「自動アカウント管理（Automatic Account Management）」機能です。従来のLAPSでは、パスワードを管理する「対象のローカル管理者アカウント」を、事前にパソコン上に作成しておく必要がありました。
しかし、この自動アカウント管理機能を有効にすると、LAPSが自らアカウントの作成からパスワードの管理までをすべて自動で行ってくれるようになります。さらに画期的なのが、アカウント名にランダムな文字列（サフィックス）を自動的に付与してくれる機能（AutomaticAccountManagementRandomizeName）です。パスワードが変更されるタイミングで、アカウント名も「WLapsAdmin338517」のように動的に変更されます。
多層防御としてのランダム化：
アカウント名が毎回変わることで、攻撃者が管理者アカウント名を推測して攻撃を仕掛けてくるリスクを大幅に下げることができます。強力なパスフレーズと組み合わせることで、非常に強固なセキュリティを実現できます。
この自動アカウント管理とWindows11 LAPSパスフレーズ長制御をセットでIntuneなどから配信すれば、事前のスクリプト実行などの手間なく、安全な特権アクセス環境をゼロタッチで構築できるようになります。今後はこの手法がベストプラクティスになっていくと考えられます。
認証後のアクションと時限制御
LAPSのパスフレーズを使ってパソコンにサインインした後、そのまま放置してしまうと、有効期限が切れるまでの間、強力な権限を持った状態でアクセスされ放題になってしまうリスクがあります。この「作業後の無防備な時間」をなくすために用意されているのが、「認証後アクション（PostAuthenticationActions）」という機能です。
この機能を設定すると、LAPSアカウントでサインインして作業を終えた後、設定した猶予時間が過ぎると、自動的にパスフレーズをリセットし、セッションを終了させてくれます。猶予時間は0〜24時間の間で設定できます。
設定できるアクションはいくつかありますが、代表的なものは以下の通りです。
| アクション値 | 動作内容 |
|---|---|
| 3 (既定) | パスワードをリセットし、サインアウトさせる。 |
| 5 | パスワードをリセットし、デバイスを再起動する。 |
| 11 (24H2新機能) | パスワードをリセットし、サインアウトさせた上で、そのアカウントで動いている裏のプロセス（残留プロセス）もすべて強制終了させる。 |
特に値11のアクションは、再起動の手間をかけずにパソコンを完全にクリーンな状態に戻せるため、セキュリティの観点から非常に有効です。Windows11 LAPSパスフレーズ長制御で設定したパスフレーズを、必要な時だけ、必要な時間だけ有効にする「ジャストインタイム（JIT）」なアクセス管理を実現するために欠かせない機能です。
PowerShellを用いた手動運用
通常、LAPSはバックグラウンドで自動的にパスフレーズの変更などを処理してくれますが、インシデント発生時やトラブル調査の際には、管理者が手動ですぐに処理を実行したい場面が出てきます。そんな時に役立つのが、PowerShellコマンドレットです。
例えば、「Invoke-LapsPolicyProcessing」コマンドを実行すると、通常は定期的に行われるLAPSのポリシー処理を、その場ですぐに強制実行させることができます。IntuneでWindows11 LAPSパスフレーズ長制御の設定を変更した後、パソコン側に早く反映させたい時などに便利です。
また、退職者が発生した時や、特権アカウントの不正利用が疑われるような緊急時には、「Reset-LapsPassword」コマンドを使って、有効期限を待たずに強制的にパスフレーズを変更させることができます。
クラウド情報の取得：
Microsoft Graph APIと連携したPowerShellコマンド（Get-LapsAADPassword）を使えば、Entra IDの管理画面を開かずに、PowerShellのコンソール上から直接、対象デバイスのパスフレーズを取得することも可能です（適切なアクセス権限が必要です）。
イベントログとエラー解析
LAPSの運用中に「パスフレーズがうまく更新されない」「Entra IDに保存されない」といったトラブルが発生した場合、原因を特定するためにはイベントログの確認が不可欠です。Windows LAPSには専用のイベントログチャネル（[アプリケーションとサービス ログ] > [Microsoft] > [Windows] > [LAPS] > [Operational]）が用意されています。
よく遭遇するエラーの代表例として、イベントID「10027」があります。これは「許容できる新しいパスワードを作成できませんでした」というエラーです。多くの場合、Intuneで設定したWindows11 LAPSパスフレーズ長制御の要件（単語数など）が、パソコン側のローカルセキュリティポリシーなどで設定されているパスワード要件と矛盾している（要件を満たしていない）ことが原因で発生します。この場合は、競合しているポリシーを見直す必要があります。
また、イベントID「10028」は、Entra IDへの書き込みに失敗した際のエラーです。テナント側でLAPSが無効になっていたり、デバイスの接続状態に異常がある場合に出力されます。これらのログを適切に監視・解析することで、安定した運用を維持することができます。
Windows11のLAPSパスフレーズ長制御総括
ここまで、新しいWindows LAPSの目玉機能であるパスフレーズについて解説してきました。Windows11 LAPSパスフレーズ長制御（PassphraseLength）とパスワードの複雑さ（PasswordComplexity）を適切に組み合わせることで、システム管理者は「高いセキュリティ」と「現場での使いやすさ」という、これまで両立が難しかった課題を解決できるようになります。
従来の無機質なパスワードから、人間が認識しやすいパスフレーズへと移行することで、リモートサポート時の入力ミスや確認作業のストレスは劇的に軽減されるはずです。同時に、自動アカウント管理によるアカウント名のランダム化や、認証後アクションによる確実なセッションのクリーンアップを実装することで、より現代の脅威に対応したゼロトラストな環境を構築できます。Windows 11 24H2環境への移行を進める際は、ぜひこの新しいパスフレーズ機能の導入を検討してみてください。
