Solution de mot de passe administrateur local (LAPS) : conseils et meilleures pratiques

Le compte administrateur local de Windows est une cible convoitée par les pirates et les logiciels malveillants. Il peut se produire beaucoup de mauvaises choses si un pirate parvient à pirater le compte administrateur local de l'un de vos serveurs.

Des choses terribles se produisent généralement lorsqu'une personne télécharge une souche de logiciel malveillant malveillante en utilisant également le compte administrateur. L'ampleur de ces problèmes est encore plus amplifiée si vous utilisez le compte administrateur par défaut pour chaque machine similaire utilisant le même mot de passe.

Vous pouvez avoir le mot de passe le plus complexe au monde, mais une fois qu'il est compromis sur une machine, c'est la porte ouverte pour tous les autres appareils utilisant les mêmes identifiants d'administrateur local.

Bien sûr, vous pourriez personnaliser les identifiants d'administrateur local pour chaque appareil Windows, mais cela peut s'avérer très chronophage sans parler de la tâche d'inventorier les nombreux ensembles d'identifiants. Le processus devient pratiquement ingérable lorsque vous activez les rafraîchissements de mot de passe (ce que vous devriez bien sûr faire). C'est pourquoi de nombreux administrateurs désactivent souvent cette fonctionnalité.

Mais il est compréhensible d'avoir un type de compte administrateur local pour « intervenir et réparer la machine » comme réinitialiser sa relation de confiance avec le domaine ou configurer manuellement une adresse IP, et ainsi de suite.

Si avoir le même mot de passe administrateur local sur chaque machine est une très mauvaise idée, que peut-on faire à ce sujet ?

Conseil 1 : Utilisez Microsoft Local Administrator Password Solution (LAPS)

Microsoft Local Administrator Password Solution (LAPS) est un outil de Microsoft qui permet aux administrateurs AD de gérer le mot de passe du compte local des ordinateurs joints au domaine et de les stocker dans AD.

When implemented via Group Policy, LAPS creates a random password of a defined length and complexity that is cryptographically secure and different every time, on every machine. It then applies the newly created password to the Local Administrator account and records the password in a secure field in your Active Directory schema. They can then be retrieved when access is needed to the account. The process is done automatically whenever a Group Policy defined password refresh is due.

LAPS a quelques exigences pour sa mise en œuvre :

• Cela s'applique uniquement aux appareils Windows
• Les appareils doivent être joints à un domaine
• Il nécessite une extension côté client de stratégie de groupe gratuite
• Cela nécessite une extension de schéma (ne paniquez pas.)
• Cela fonctionne uniquement pour le compte administrateur local
• Cela fonctionne uniquement pour UN compte administrateur local (au cas où vous en auriez plusieurs.)

Conseil 2 : LAPS et Stratégie de groupe

Comme mentionné, LAPS est déployé en utilisant Group Policy, ce qui signifie qu'il nécessite la création d'un GPO. Vous devez d'abord télécharger LAPS que vous pouvez faire here.
Ensuite, utilisez l'assistant pour l'installer sur votre machine Group Policy Management. Vous voudrez faire cela manuellement, et généralement PAS de manière automatisée.

Assurez-vous de sélectionner au moins les modèles d'éditeur GPO afin d'accéder aux fichiers ADMX nécessaires. Le client lourd est une interface graphique qui donne à un utilisateur disposant des droits applicables la capacité de requêter le mot de passe pour un appareil désigné. Vous avez seulement besoin d'installer les outils de gestion, et non l'extension “AdmPwd GPO” sur votre machine (celle avec la GPMC).

Vous devez ensuite accéder à votre dossier local PolicyDefinitions et copier les fichiers AdmPwd.admx et AdmPwd.adml, puis les coller dans votre magasin central AD. (Consultez cette vidéo sur ce processus).

Ensuite, nous devons étendre le schéma AD afin de prendre en charge les mots de passe locaux.

Les deux attributs requis sont :

• ms-Mcs-AdmPwd – Stocke le mot de passe en texte clair
• ms-Mcs-AdmPwdExpirationTime – Enregistre le moment pour réinitialiser le mot de passe

Pour mettre à jour le schéma, importez simplement le module PowerShell AdmPwd et utilisez la commande update-AdmPwdADSchema comme indiqué ci-dessous.

La prochaine étape consiste à créer un GPO côté ordinateur. Pour cet exemple, je l'appellerai LAPS Policy. Les paramètres LAPS apparaîtront désormais sous Configuration de l'ordinateur > Modèles d'administration > LAPS où 4 paramètres sont disponibles comme le montre ci-dessous.

Vous pouvez utiliser votre LAPS GPO pour gérer le mot de passe soit pour l'administrateur local par défaut, soit pour un compte administrateur local personnalisé. Ci-dessous, j'ai activé le paramètre « Activer la gestion du mot de passe de l'administrateur local ».

Si vous avez renommé le compte administrateur local, (ce que vous devriez faire) vous pouvez ensuite spécifier le nom mis à jour. Une fois le compte administrateur sélectionné, l'étape finale consiste à activer le paramètre de Group Policy qui configure les paramètres de mot de passe (qui incluent la longueur et l'ancienneté du mot de passe.)

Une fois configuré, déployez simplement le logiciel d'extension côté client LAPS via votre méthode de déploiement de logiciel préférée, comme PDQ Deploy. Vous n'avez besoin de la partie « GPO Extension » que si vous allez faire un test initial à la main. Vous pouvez voir cela ici.

Vous pouvez également utiliser PolicyPak pour avoir plus de contrôle sur le processus de déploiement. Plus de détails dans une minute.

Conseil n°3 : Obtenir des mots de passe lorsque nécessaire via LAPS

Alors, le jour arrive où vous devez savoir quel est le mot de passe généré actuel pour l'une de vos machines Windows. Comment le faire ? Il y a plusieurs méthodes. L'une est d'utiliser la commande PowerShell suivante.

Get-AdmPwdPassword -Computername “nom de l'ordinateur”

Si vous avez installé le LAPS Fat Client, vous pouvez accéder à l'application LAPS UI dans votre menu démarrer.

Conseil n°4 : Attribuez des politiques LAPS granulaires aux utilisateurs via le ciblage au niveau de l'élément

PolicyPak offre tous les paramètres de modèle ADMX dans son PolicyPak Admin Templates Manager et nous les mettons à jour à chaque nouvelle sortie de ADMX. Il y a beaucoup d'avantages à utiliser Admin Templates Manager par rapport à la stratégie de groupe standard.

PolicyPak utilise l'éditeur de stratégie de groupe comme illustré ci-dessous mais ajoute un super pouvoir secret.

L'avantage clé est que PolicyPak peut utiliser le Ciblage au niveau de l'élément pour n'importe quel paramètre de stratégie de groupe, y compris LAPS.

Si vous connaissez les Préférences de stratégie de groupe, alors vous savez déjà comment l'ILT offre beaucoup plus de granularité concernant l'attribution des politiques. Par exemple, disons que tous les comptes d'administrateur local résidant sur vos serveurs sont nommés ServAdm1n et que vous souhaitez créer une politique LAPS distincte pour ces administrateurs. Puisque ce ne sont pas des comptes d'administrateur de domaine, vous ne pouvez pas les cibler à l'aide de stratégie de groupe mais vous pouvez utiliser l'ILT pour cibler ces machines exécutant Windows Server 2016.

Maintenant, créons une politique LAPS pour les ordinateurs portables des cadres de niveau C. Naturellement, nous voudrions avoir un mot de passe fort pour ces comptes d'administrateur local. Dans ce cas, je veux imposer des mots de passe de 20 caractères utilisant la complexité la plus élevée. Ensuite, j'utiliserai ILT pour cibler le groupe de sécurité des cadres de niveau C. Comme vous pouvez le voir dans la capture d'écran ci-dessous, il existe de nombreuses options ciblables, y compris le nom de l'ordinateur, la correspondance d'OU, la correspondance de site, le facteur de forme de l'ordinateur (ordinateur portable vs. de bureau) et plus encore !

En bonus, alors que les GPO traditionnels créés dans l'éditeur de stratégie de groupe ne peuvent normalement être déployés qu'à l'aide de la stratégie de groupe, les paramètres PolicyPak peuvent être déployés de plusieurs manières telles que SCCM, KACE ou votre service MDM préféré.
Vous pouvez en apprendre plus sur ce processus en regardant cette vidéo qui démontre le processus de livraison des paramètres de stratégie de groupe, sans le moteur de stratégie de groupe lui-même.

Conseil 5 : Associez LAPS avec PolicyPak Least Privilege Manager

La solution Local Administrator Password est un excellent outil pour renforcer l'accès administratif à vos machines les plus importantes. En fait, elle se marie également très bien avec PolicyPak Least Privilege Manager. PolicyPak Least Privilege Manager supprime complètement le besoin d'avoir des droits d'administrateur local, permettant aux Utilisateurs Standards d'effectuer des fonctions spéciales comme un administrateur… mais sans les droits d'administrateur réels.

Ensemble, vous pourriez appliquer LAPS sur toutes vos machines d'entreprise … puisque vous n'aurez plus besoin d'accès administrateur local.

En fin de compte, tout ce que vous pouvez faire avec Group Policy, vous pouvez le faire mieux avec PolicyPak. Implémentez LAPS et ajoutez PolicyPak pour obtenir plus de sécurité, de puissance et d'agilité.

Les mots de passe partagés des administrateurs locaux transforment une machine compromise en accès à toutes les machines qui les utilisent, un problème qu’une solution de mot de passe d’administrateur local résout. Définir un mot de passe unique sur chaque appareil empêche cette réutilisation mais crée un problème d’inventaire, car chaque identifiant nécessite un stockage et des mises à jour régulières.

Qu'est-ce que LAPS ?

Comment fonctionne LAPS

Génération de mot de passe

Gérer cela manuellement devient ingérable, donc de nombreux administrateurs désactivent le compte, et 76 % des organisations ne peuvent pas révoquer immédiatement l’accès permanent lorsqu’il n’est plus nécessaire, selon le Netwrix 2026 Data and Identity Security Report.

Chaque appareil géré exécute le même cycle, piloté par une tâche en arrière-plan qui traite la politique active toutes les heures indépendamment du cycle de rafraîchissement de Group Policy.

Stockage de Directory

Le compte conserve sa place pour les réparations sur place, comme la réinitialisation d’une relation de confiance de domaine cassée ou le codage en dur d’une adresse IP lorsque d’autres options échouent. Windows LAPS maintient cet accès de récupération et automatise la gestion des mots de passe associée.

Rotation

LAPS est un outil Microsoft qui permet aux administrateurs de gérer le mot de passe de l’administrateur local des ordinateurs joints au domaine et de le stocker dans Active Directory. Dans sa version actuelle, Windows LAPS peut également sauvegarder le mot de passe dans Microsoft Entra ID. Chaque appareil génère son propre mot de passe aléatoire qui respecte les exigences définies en matière de longueur et de complexité, de sorte qu’aucune machine ne partage un identifiant.

Récupération

Lorsqu’une stratégie activant Windows LAPS atteint l’appareil via Group Policy ou Microsoft Intune, l’appareil génère un mot de passe aléatoire qui respecte les exigences de longueur et de complexité de la stratégie et l’applique au compte administrateur local géré.

L'appareil stocke ensuite le mot de passe dans l'annuaire configuré, avec une date d'expiration basée sur l'âge du mot de passe selon la politique. Dans Active Directory, le mot de passe se trouve dans un attribut confidentiel de l'objet ordinateur, en clair ou chiffré. Chaque appareil écrit le sien, donc l'ordinateur a besoin d'une autorisation d'écriture sur ses attributs LAPS tandis qu'un groupe séparé et plus restreint détient l'autorisation de lecture.

Lorsque l’heure d’expiration arrive, l’appareil génère et stocke un nouveau mot de passe. La rotation peut également se produire plus tôt, que ce soit lorsqu’un administrateur exécute Reset-LapsPasswordExpand sur l’appareil, définit l’heure d’expiration dans l’annuaire ou s’appuie sur la politique pour faire tourner le mot de passe après la connexion du compte géré.

Contre quoi LAPS protège

Un administrateur autorisé récupère le mot de passe lorsqu’il doit se connecter à cette machine, via PowerShell ou Active Directory Users and Computers.

LAPS cible une faiblesse dans la crédential de l’administrateur local : le même mot de passe sur plusieurs machines, un mot de passe qui reste valide après utilisation, et un mot de passe lisible par trop de personnes.

Netwrix Privilege Secure crée un compte à portée de tâche pour chaque session administrative et le supprime à la fin de la session. Demandez une démo.

Pass-the-hash et mouvement latéral

Identifiants partagés dans le travail du service d'assistance

Appareils inaccessibles

Lectures de mots de passe non autorisées

Le travail à distance du service d'assistance nécessite un accès administrateur local, et un mot de passe que de nombreux techniciens connaissent et que personne ne change maintient cet accès ouvert longtemps après la fermeture du ticket. Avec LAPS, un technicien récupère le mot de passe d'une machine, se connecte, et le mot de passe est changé après utilisation, donc les identifiants appris cessent de fonctionner.

Un appareil avec une confiance de domaine rompue, ou dont les comptes de domaine ne peuvent pas se connecter, reste accessible via son compte administrateur local tant que quelqu’un connaît le mot de passe actuel. LAPS conserve ce mot de passe dans l’annuaire, permettant aux administrateurs de se connecter et de récupérer des appareils autrement inaccessibles.

Windows LAPS vs legacy Microsoft LAPS

Les mots de passe stockés deviennent eux-mêmes une cible, donc le access control model est important. Les permissions Active Directory et le chiffrement optionnel déterminent qui peut lire ou déchiffrer chaque mot de passe, et Microsoft Entra ID utilise un contrôle d'accès basé sur les rôles, donc seuls les lecteurs autorisés récupèrent un mot de passe donné.

Une attaque pass-the-hash réutilise un hash de mot de passe volé sans le casser, et un mot de passe administrateur local partagé rend ce hash valide sur chaque machine qui l'utilise, donc un poste compromis ouvre la voie à un mouvement latéral sur tout le parc. Avec LAPS, chaque appareil a un mot de passe différent, donc un hash volé sur une machine authentifie uniquement cette machine.

Deux produits partagent le nom LAPS, et les différences déterminent où les mots de passe sont stockés, s'ils sont chiffrés et combien de temps Microsoft corrigera les problèmes.

Ce que Windows LAPS ajoute

Windows LAPS est une implémentation distincte, pas une mise à jour du produit hérité, donc les deux peuvent fonctionner sur un même appareil uniquement s’ils gèrent des comptes différents.

Windows LAPS a été livré dans les mises à jour Windows du 11 avril 2023 et est intégré au système d'exploitation, vous n'avez donc pas besoin de déployer un package client.

• La sauvegarde vers Microsoft Entra ID est devenue généralement disponible le 23 octobre 2023, ce qui regroupe les appareils Entra-joined et hybrid-joined sous le même modèle.
• Dans Active Directory, Windows LAPS peut chiffrer les mots de passe stockés et conserver un historique des mots de passe, et les contrôleurs de domaine peuvent sauvegarder le mot de passe de leur compte DSRM.
• Windows 11 24H2 et Windows Server 2025 ajoutent la génération de phrases de passe et la gestion automatique des comptes.

Ce que signifie la dépréciation pour LAPS hérité

Quelle version utiliser

Microsoft a déprécié le legacy Microsoft LAPS à partir de Windows 11 23H2 et versions ultérieures. Les systèmes d'exploitation plus récents bloquent l'installateur legacy, et Microsoft ne prévoit plus de modifications de code pour ce produit. Le support continue uniquement sur les anciennes versions de Windows jusqu'à leur fin de support.

• Chaque version écrit dans un journal d’événements dédié et fournit un module PowerShell, LAPSExpand, qui remplace les cmdlets hérités de AdmPwdExpand.

Windows LAPS comprend un mode d'émulation hérité qui respecte une politique existante pendant la migration. Considérez-le comme un pont, car il stocke le mot de passe en clair et ne peut pas utiliser le chiffrement ni l'historique des mots de passe.

Utilisez Windows LAPS pour les nouvelles déploiements sur Windows 11 23H2 et ultérieur et Windows Server 2025 et ultérieur. Les versions antérieures prises en charge, y compris Windows 11 22H2 et 21H2, Windows Server 2022 et 2019, et Windows 10, nécessitent la mise à jour du 11 avril 2023 ou ultérieure.

Comment configurer et utiliser Windows LAPS

Windows 10 a atteint la fin du support le 14 octobre 2025, et Windows LAPS reste disponible uniquement sur les appareils Windows 10 qui reçoivent encore des mises à jour, notamment via le programme Extended Security Updates. Pour les nouvelles installations, utilisez Windows 11 ou une version prise en charge de Windows Server.

Étape 1 : Vérifiez les exigences

Exécutez les étapes suivantes depuis un serveur ou poste de travail disposant du module Windows LAPS PowerShell, fourni avec la mise à jour.

Ces étapes déploient Windows LAPS sur des appareils joints au domaine qui sauvegardent les mots de passe dans Active Directory.

Confirmez que chaque appareil exécute un système d’exploitation pris en charge avec la mise à jour du 11 avril 2023 ou ultérieure, et qu’il est joint ou hybride-joint à Active Directory. Le chiffrement des mots de passe nécessite un niveau fonctionnel de domaine 2016 ou ultérieur, et la sauvegarde DSRM nécessite des contrôleurs de domaine exécutant Windows Server 2019 ou ultérieur.

Étape 2 : Mettez à jour le schéma Active Directory

Étape 3 : Accorder les autorisations

Étendez le schéma une fois par forêt afin que Windows LAPS puisse stocker les mots de passe dans de nouveaux attributs sur l’objet ordinateur. Exécutez la cmdlet sur un contrôleur de domaine Windows Server 2019 ou ultérieur, ou sur un serveur disposant du module :

Vérifiez ensuite qui détient déjà des droits étendus sur cette OU. Chaque attribut de mot de passe Windows LAPS est confidentiel, donc tout principal avec des droits étendus peut les lire :

Un déploiement nécessite des appareils qui écrivent leurs propres mots de passe, un groupe qui les lit, et un groupe (souvent le même) qui peut forcer une expiration. Accordez chacun contre l'unité organisationnelle qui contient les ordinateurs :

Étape 4 : Configurez la politique dans Group Policy

Supprimez les droits étendus de tout principal qui ne devrait pas lire les mots de passe.

La cmdlet ajoute des attributs de schéma tels que msLAPS-PasswordExpand, msLAPS-EncryptedPasswordExpand et msLAPS-PasswordExpirationTimeExpand. Il n’est pas nécessaire de le répéter dans d’autres domaines de la même forêt.

Étape 5 : Vérifiez la politique appliquée

Sur un appareil cible, consultez le journal des événements Windows LAPS pour l’ID d’événement 10018Expand, ce qui confirme que le mot de passe a été écrit dans Active Directory. Si vous ne souhaitez pas attendre le cycle horaire, traitez la politique maintenant :

Définissez BackupDirectoryExpand sur 2 pour Active Directory, et laissez AdministratorAccountNameExpand non configuré pour gérer le compte administrateur intégré, que Windows LAPS identifie par son identifiant relatif bien connu plutôt que par son nom, et configurez-le uniquement pour un compte personnalisé. Windows LAPS ne crée pas ce compte personnalisé, créez-le donc d'abord, sauf si vous activez la gestion automatique des comptes sur Windows 11 24H2 ou Windows Server 2025.

Étape 6 : Récupérer un mot de passe

Créez un objet de stratégie de groupe (GPO) côté ordinateur, ouvrez Configuration ordinateur > Stratégies > Modèles d’administration > Système > LAPS, et configurez les policy settings de Windows LAPS. Le modèle LAPS.admxExpand est fourni dans le dossier local PolicyDefinitions, et si vous utilisez un central store, copiez-le manuellement car les mises à jour Windows ne le font pas pour vous.

Les mêmes personnes peuvent lire le mot de passe à partir des propriétés de l'objet ordinateur dans Active Directory Users and Computers.

Récupérez le mot de passe actuel d’une machine spécifique lorsque vous devez y accéder, en utilisant un compte du groupe lecteur de l’étape 3 :

Étape 7 : faites pivoter un mot de passe à la demande

Vérifiez ensuite que l'objet ordinateur possède un attribut msLAPS-PasswordExpirationTimeExpand nouveau ou mis à jour. Si l'événement 10018Expand n'apparaît jamais ou que l'attribut reste vide, revérifiez le lien GPO et la permission d'auto-écriture de l'étape 3.

Renommez également le compte intégré pour le rendre un peu plus difficile à deviner, bien que l'identifiant bien connu du compte limite l'avantage. Lorsque vous laissez les paramètres de mot de passe non configurés, PasswordAgeDaysExpand par défaut à 30, PasswordLengthExpand à 14, et PasswordComplexityExpand à 4.

Après qu’un technicien a utilisé un mot de passe, ou après tout événement pouvant l’avoir exposé, changez-le. Sur l’appareil lui-même, exécutez :

Windows LAPS avec Microsoft Entra ID

Avec ces sept étapes en place, chaque appareil de l’unité organisationnelle possède son propre mot de passe dans Active Directory. Le groupe lecteur peut le récupérer et le faire tourner, et le cycle horaire de la politique maintient le planning de rotation sans travail supplémentaire.

Du côté de l'annuaire, définissez le temps d'expiration à maintenant, et l'appareil effectuera une rotation lors de son prochain cycle de politique, ou immédiatement si vous exécutez Invoke-LapsPolicyProcessingExpand dessus :

Un administrateur doit d’abord activer Windows LAPS pour le locataire, car Entra ID n’accepte pas par défaut les nouveaux mots de passe des appareils gérés.

Le contrôle d’accès basé sur les rôles d’Entra sécurise les mots de passe et, par défaut, seuls les rôles Global Administrator, Cloud Device Administrator et Intune Administrator peuvent les récupérer, il est donc important de vérifier qui détient ces rôles très privilégiés.

Comment migrer de LAPS hérité vers Windows LAPS

La politique provient de Microsoft Intune et du fournisseur de services de configuration Windows LAPS avec BackupDirectoryExpand défini à 1, et la récupération s'effectue via Microsoft Graph avec Get-LapsAADPasswordExpand ou les portails Entra et Intune.

Les appareils uniquement joints à Microsoft Entra ID sauvegardent uniquement sur Entra ID, les appareils uniquement joints à Active Directory sauvegardent uniquement sur Active Directory, et les appareils hybrides choisissent l’un des deux, jamais les deux. Entra ID ne nécessite ni extension de schéma ni permissions Active Directory, donc les étapes de configuration ci-dessus ne s’appliquent pas à ces appareils.

Il fonctionne sur des appareils Windows joints au domaine, avec l’extension sur chaque machine gérée, une extension de schéma et un seul compte administrateur local géré.

• Stratégie : la stratégie de groupe héritée comprend quatre paramètres, dont « Activer la gestion du mot de passe administrateur local. »
• Client : l'interface utilisateur LAPS, un client lourd dans le menu Démarrer, permet à un utilisateur autorisé de consulter le mot de passe d'un appareil.
• Attributs : le mot de passe est stocké dans ms-Mcs-AdmPwdExpand en clair, et ms-Mcs-AdmPwdExpirationTimeExpand contient le délai pour le réinitialiser.
• Déploiement : les administrateurs poussent généralement l’extension vers les endpoints avec un outil de déploiement logiciel.
• Commandes : Update-AdmPwdADSchemaExpand étend le schéma, et Get-AdmPwdPassword -ComputerName "nom de l’ordinateur"Expand récupère un mot de passe.

Les déploiements hérités sont encore courants, identifiez donc le vôtre avant de migrer. Un déploiement hérité utilise l’installateur Microsoft téléchargeable, son extension client de la stratégie de groupe (la AdmPwd extension), les outils de gestion pour la console de gestion des stratégies de groupe, et les modèles AdmPwd.admxExpand et AdmPwd.admlExpand.

Étape 1 : Choisissez une approche de migration

Terminez la mise à jour du schéma Windows LAPS et l'octroi des autorisations depuis la section de configuration avant la migration.

Étape 2 : Désactivez la politique héritée et appliquez une politique Windows LAPS

Étape 3 : Confirmez la transition

1. Vérifiez le journal des événements Windows LAPS pour les événements de mise à jour de mot de passe réussis.

Dissociez ou désactivez le GPO hérité pour l’unité organisationnelle que vous migrez, et liez le GPO Windows LAPS aussi près que possible du même moment. Lorsqu’un appareil applique pour la première fois une stratégie Windows LAPS, il fait immédiatement pivoter le mot de passe du compte géré, alors planifiez le changement pendant une période où personne n’a besoin d’un mot de passe immédiat pour ces machines.

Vérifiez la transition sur un appareil d'exemple :

Une transition immédiate déplace un appareil de la gestion legacy à la gestion Windows LAPS du même compte en un seul changement. Une approche côte à côte maintient legacy LAPS sur le compte existant tandis que Windows LAPS gère un second compte local, et vous supprimez le compte supplémentaire à la fin. La politique legacy et la politique Windows LAPS ne doivent jamais cibler le même compte sur le même appareil.

Étape 4 : Supprimez le logiciel hérité

1. Confirmez que msLAPS-PasswordExpirationTimeExpand contient une nouvelle valeur sur l'objet ordinateur.
2. Récupérez le mot de passe avec Get-LapsADPasswordExpand pour prouver que le nouveau chemin fonctionne de bout en bout.

Une fois que tous les appareils concernés rapportent sous Windows LAPS, désinstallez l'extension héritée des points de terminaison et les outils de gestion des postes de travail administratifs. Pour une installation MSI, exécutez ceci depuis une invite de commandes élevée :

Comment sécuriser votre déploiement LAPS

Restreindre qui peut lire les mots de passe

Un déploiement fonctionnel et un déploiement sécurisé diffèrent par qui peut lire les mots de passe, comment ils sont stockés et à quelle vitesse un mot de passe utilisé expire.

Chiffrez les mots de passe dans Active Directory

Relancez Find-LapsADExtendedRightsExpand après tout changement de délégation, car les détenteurs de droits étendus peuvent lire les attributs confidentiels du mot de passe.

Accordez la permission de lecture à un groupe de sécurité dédié, comme le niveau help desk qui effectue des réparations sur place, et excluez les grands groupes IT. Les Domain Admins peuvent déjà lire les mots de passe, donc ce groupe s’ajoute à eux, et ses membres méritent les mêmes revues d’accès que tout groupe privilégié.

Définir des paramètres de mot de passe forts

Activez ADPasswordEncryptionEnabledExpand afin que l'appareil chiffre le mot de passe avant de l'écrire dans l'attribut msLAPS-EncryptedPasswordExpand. Le chiffrement nécessite un niveau fonctionnel de domaine 2016 ou ultérieur.

Le droit de lecture ne confère pas les droits de déchiffrement, et ADPasswordEncryptionPrincipalExpand désigne l'utilisateur ou le groupe unique autorisé à déchiffrer, qui par défaut est Domain Admins si non défini. Définissez-le sur votre groupe de lecteurs, car un service d'assistance qui peut lire un attribut qu'il ne peut pas déchiffrer ne gagne rien.

Réinitialiser les mots de passe après utilisation

Le chiffrement débloque également l'historique des mots de passe, alors définissez ADEncryptedPasswordHistorySizeExpand (par défaut 0 ; accepte jusqu'à 12) si les techniciens ont parfois besoin du mot de passe précédent.

Utilisez des politiques différentes pour différents appareils

Réduisez le délai pour les appareils sensibles et associez-le à la rotation à la demande de l’étape 7 lorsqu’un technicien termine en 10 minutes, afin que la crédential ne dure pas tout l’après-midi.

Un utilisateur disposant d’un mot de passe Windows LAPS valide peut obtenir des privilèges administratifs et empêcher ou contourner ces mécanismes, donc la réinitialisation limite l’exposition sans l’imposer.

PostAuthenticationActionsExpand contrôle ce qui se passe après qu'une personne s'authentifie avec le compte géré, et PostAuthenticationResetDelayExpand contrôle combien de temps l'appareil attend. Par défaut, l'appareil réinitialise le mot de passe et se déconnecte du compte géré 24 heures après l'authentification, et un délai de 0 désactive ces actions.

Sauvegardez le compte de récupération du contrôleur de domaine

Les serveurs dont le compte administrateur local s'appelle ServAdm1n peuvent utiliser une politique, tandis que les ordinateurs portables des cadres peuvent en utiliser une autre qui impose des mots de passe de 20 caractères, chaque GPO étant liée à l'unité organisationnelle correspondante ou filtrée vers un groupe de sécurité.

Utilisez également des politiques distinctes pour les systèmes d’exploitation anciens et récents, car les phrases secrètes, la gestion automatique des comptes et l’action post-authentification 11 ne s’appliquent qu’à Windows 11 24H2 et Windows Server 2025.

Limites de LAPS

LAPS laisse un compte administrateur actif

Sur les contrôleurs de domaine, activez ADBackupDSRMPasswordExpand afin que Windows LAPS sauvegarde le mot de passe du compte DSRM, ce qui nécessite le chiffrement du mot de passe et des contrôleurs de domaine Windows Server 2019 ou ultérieurs.

LAPS sécurise les identifiants d’administrateur local et confie l’accès permanent, les workflows d’approbation et la couverture hors Windows à d’autres contrôles.

Augmentez PasswordLengthExpand au-delà de la valeur par défaut de 14 caractères lorsque les appareils le justifient, jusqu'à 64, et maintenez PasswordComplexityExpand à 4 ou plus. Sur Windows 11 24H2 et Windows Server 2025, les valeurs de complexité de 6 à 8 génèrent des phrases de passe plus faciles à dicter au téléphone, et PassphraseLengthExpand définit le nombre de mots. Adaptez chaque paramètre à la politique locale de mot de passe de l'appareil, car une valeur incompatible empêche Windows LAPS de créer un mot de passe et enregistre l'événement 10027Expand.

Le compte géré reste un compte administrateur local qui peut être désactivé entre les utilisations, tandis que LAPS rend son mot de passe unique et le fait tourner. Le Netwrix 2026 Data and Identity Security Report a révélé que les taux de violation augmentent de 7 points supplémentaires lorsque l'accès privilégié permanent est la norme.

LAPS n’a pas de flux d’approbation ou de session

LAPS couvre uniquement Windows

Windows LAPS ne peut pas sauvegarder les mots de passe DSRM dans Microsoft Entra ID. Lorsque tous les contrôleurs de domaine sont hors service, Get-LapsADPasswordExpand avec le paramètre -PortExpand lit les mots de passe à partir d'une sauvegarde montée de l'annuaire.

Comment Netwrix aide à réduire l’accès permanent des administrateurs locaux

Remplacez l'accès permanent administrateur local par un accès just-in-time

Supprimer complètement le besoin de local administrator rights est l'option la plus forte, car les utilisateurs standards peuvent alors gérer des tâches spéciales sans eux et le compte géré par LAPS devient un identifiant d'urgence rarement utilisé. LAPS et least privilege fonctionnent ensemble, LAPS protégeant les comptes restants.

Windows LAPS gère les comptes locaux sur les appareils Windows joints à Active Directory ou Microsoft Entra ID, et ne prend pas en charge les clients Microsoft Entra workplace-joined. Les hôtes Linux, les ordinateurs portables macOS et les appareils réseau en sont exclus, tout comme toute machine Windows non jointe à un annuaire.

Toute personne disposant d'une autorisation de lecture peut récupérer un mot de passe dans son périmètre délégué, et un mot de passe récupéré accorde des droits d'administrateur local jusqu'à sa rotation. Le délai post-authentification limite cette fenêtre, et la liste des autorisations identifie qui peut récupérer un mot de passe. LAPS gère l'identifiant et n'enregistre pas ce qu'un administrateur fait après la connexion, un audit séparé montre donc ses actions.

L'administration courante laisse souvent un compte actif, et Netwrix Privilege Secure cible ce compte.

Enregistrez ce que font les administrateurs avec un accès élevé

Trouver les comptes privilégiés permanents

Netwrix Privilege Secure remplace les droits d'administrateur permanents par un accès just-in-time, créant un accès uniquement pour la tâche et le supprimant à la fin. L'élévation est limitée dans le temps et expire automatiquement, donc aucune crédentialisation élevée permanente ne reste inactive entre les utilisations.

Associez LAPS à un accès just-in-time pour l’administration courante

Eastern Carver County Schools a vu les Red Teams accéder à plusieurs reprises aux systèmes critiques grâce à un accès privilégié excessif et inutile. Avec Netwrix Privilege Secure, le district accorde l'accès à la volée via des comptes temporaires supprimés une fois la tâche terminée, et a mis en place Privileged Access Management pour ses systèmes critiques en quelques jours au lieu de plusieurs mois.

Netwrix Privilege Secure, un produit de Privileged Access Management, enregistre et surveille les sessions privilégiées, de sorte qu’un auditeur qui demande ce qui s’est passé lors d’une session élevée obtient la session elle-même. L’enregistrement fournit à un enquêteur une piste d’audit pour le travail médico-légal, ce que LAPS ne fournit pas.

Netwrix Privilege Secure analyse l'environnement pour découvrir les comptes privilégiés cachés. Utilisez les résultats pour décider quels comptes LAPS doit gérer, lesquels doivent passer à un accès just-in-time et lesquels supprimer.

Un déploiement fiable de LAPS utilise Windows LAPS au lieu du produit hérité, chiffre les mots de passe dans le bon répertoire, restreint qui peut les lire, les fait tourner après utilisation et migre les appareils encore sous l’ancien client.

Il protège les comptes qui doivent rester. Pour tout le reste, demandez si chaque tâche administrative nécessite réellement un compte permanent, et adaptez le contrôle à la durée de la tâche, à la révocation automatique et aux preuves de session.

Netwrix Privilege Secure couvre le volet administration courante de cette décision avec accès just-in-time, enregistrement des sessions et découverte des comptes privilégiés permanents.

Demandez une démo pour voir comment Netwrix Privilege Secure remplace les comptes administrateurs permanents par des sessions just-in-time, enregistre les actions des administrateurs et détecte les comptes privilégiés permanents encore présents.