本地 Windows 管理员账户是黑客和恶意软件梦寐以求的目标。如果黑客能够破解你某台服务器上的本地管理员账户，可能会发生很多不好的事情。
有人还会使用管理员账户下载恶意软件变种，从而通常会发生可怕的事情。如果你为每台类似的机器都使用默认管理员账户，并且让它们使用相同的密码，那么这些问题的严重程度会被进一步放大。
你可以使用世上最复杂的密码，但一旦它在一台机器上被泄露，就会对所有使用相同本地管理员凭据的其他设备形成“公开狩猎”。
当然，你可以为每一台 Windows 设备自定义本地管理员凭据，但这可能会非常耗时，更不用说还需要对大量凭据集进行清点盘点。启用密码刷新后（当然你应该启用），这个流程几乎就无法运作。这就是为什么许多管理员往往只是选择直接禁用它。
不过，拥有某种本地管理员账号以便“走过去就能修复这台机器”是可以理解的，例如重置它的域信任关系、或手动写死 IP 地址等等。
如果在每台机器上使用相同的本地管理员密码是一个糟糕的做法，那么应该怎么做呢？
提示 1：使用 Microsoft Local Administrator Password Solution (LAPS)
Microsoft Local Administrator Password Solution (LAPS) 是一款 Microsoft 工具，可让 AD 管理员能够管理加入域的计算机上的本地账户密码，并将其存储到 AD 中。
当通过 组策略 实现时，LAPS 会在每台机器上创建长度和复杂度已定义的随机密码，该密码具备密码学安全性，并且每次都会不同。随后，它会将新创建的密码应用到“本地管理员”账户，并在你的 Active Directory 架构中的安全字段中记录该密码。需要访问该账户时即可检索密码。当满足组策略中定义的密码刷新到期条件时，该过程会自动执行。
要实现 LAPS 确实有一些要求：
- 仅适用于 Windows 设备
- 设备必须加入域
- 需要一个免费的组策略（Group Policy）客户端扩展
- 需要一个架构扩展（别慌。）
- 仅适用于本地管理员账户
- 仅适用于一个本地管理员账户（如果你有多个的话）。
提示 2：LAPS 和 组策略（Group Policy）
如前所述，LAPS 使用组策略进行部署，这意味着需要创建一个 GPO。你首先需要下载 LAPS，你可以在此处进行下载此处。
然后使用向导将其安装到你的 Group Policy Management 机器上。你需要手动完成此操作，通常不要用某种自动化方式来做。
请确保至少选择“GPO Editor Templates（GPO 编辑器模板）”，以便访问所需的 ADMX 文件。Fat client（胖客户端）是一种图形用户界面，它使具有适用权限的用户能够查询指定设备的密码。你只需要在你的计算机上安装管理工具，而无需安装“AdmPwd GPO Extension”（也就是安装了 GPMC 的那台）。
然后进入你本地的 PolicyDefinitions 文件夹，复制 AdmPwd.admx 和 AdmPwd.adml 文件，并将它们粘贴到你的 AD 中央存储（central store）中。（查看关于此过程的视频。）
接下来，我们需要扩展 AD Schema（架构），以便容纳本地密码。
需要的两个属性是：
- ms-Mcs-AdmPwd – 将密码以明文形式存储
- ms-Mcs-AdmPwdExpirationTime – 存储用于重置密码的时间
要更新架构，只需导入 AdmPwd PowerShell 模块，并按照下方所示使用 update-AdmPwdADSchema 命令。
下一步是创建计算机端的 GPO。此示例中，我将其命名为 LAPS Policy。现在，LAPS 设置会出现在 Computer Configuration > Administrative Templates > LAPS 下，如下所示，其中有 4 项设置可用。
你可以使用 LAPS GPO 来管理默认本地管理员，或自定义本地管理员帐户的密码。下面我已启用 “Enable local admin password management ” 设置.”
如果你已重命名本地管理员帐户（你应该这样做），那么你可以指定更新后的名称。选择管理员帐户后，最后一步是启用 Group Policy setting ，该设置用于配置密码设置（包括密码长度和有效期）。
配置完成后，只需通过你希望的部署方式（例如 PDQ Deploy）来部署 LAPS 客户端侧扩展软件。如果你要手动进行最初测试，那么只需要“GPO Extension”这一部分。你可以在这里查看。
你还可以使用 PolicyPak 来更好地控制部署过程。相关内容马上就会介绍。
提示 #3：通过 LAPS 在需要时获取密码
总有一天，你需要知道某台 Windows 机器当前生成的密码是什么。要怎么做呢？有几种方法。其中一种是使用下面的 PowerShell 命令。
Get-AdmPwdPassword -Computername “计算机名称”
如果你安装了 LAPS Fat Client，可以在“开始”菜单中访问 LAPS UI 应用程序。
提示 #4：通过“按项级目标”将精细化的 LAPS 策略分配给用户
PolicyPak 在 PolicyPak Admin Templates Manager 中提供其全部 ADMX 模板设置，并会在每次发布新的 ADMX 时进行更新。与标准组策略相比，使用 Admin Templates Manager 的优势很多。
PolicyPak 使用的是下方所示的组策略编辑器，但还加入了一种秘密的超能力。
主要优势在于：PolicyPak 可对任意 Group Policy 设置（包括 LAPS）使用“按项级别定向（Item-level Targeting）”。
如果你熟悉 Group Policy Preferences，那么你已经知道 ILT 在策略分配方面能提供更细粒度的控制。比如，假设你的服务器上所有本地管理员账户的名称都叫 ServAdm1n，并且你想为这些管理员创建一套单独的 LAPS 策略。由于这些并非管理员域账户，你无法使用组策略对它们进行定向，但你可以使用 ILT 来定向运行 Windows Server 2016 的那些机器。
接下来，我们为 C-Level 高管笔记本创建一套 LAPS 策略。自然地，我们希望为这些本地管理员账户设置强密码。在这种情况下，我想通过使用最强的复杂度来强制使用 20 位字符的密码。然后我将使用 ILT 来定向 C-Level 安全组。正如你在下面的截图中所看到的那样，提供了许多可定向的选项，包括计算机名称、OU 匹配、站点匹配、计算机形态（笔记本与台式机）等！
另外的好处是：虽然在 Group Policy Editor 中创建的传统 GPO 通常只能通过 Group Policy 部署，但 PolicyPak 设置可以通过多种方式部署，例如 SCCM、KACE 或你偏好的 MDM 服务。
你可以通过观看 这段视频 来了解该过程——无需依赖 Group Policy 引擎本身，即可演示如何交付 Group Policy 设置。
提示 5：将 LAPS 与 PolicyPak Least Privilege Manager 配合使用
Local Administrator Password Solution 是一款出色的工具，可帮助您强化对最重要设备的管理访问权限。事实上，它还能与 PolicyPak Least Privilege Manager 形成强强组合。PolicyPak Least Privilege Manager 可彻底消除对本地管理员权限的需求，使标准用户能够执行诸如管理员一样的特殊功能……但不具备实际的管理员权限。
两者结合，您就可以在所有企业设备上实施 LAPS……因为您将不再需要本地管理员访问权限。
归根结底，无论您能用组策略（Group Policy）做什么，都可以用 PolicyPak 做得更好。实施 LAPS，并添加 PolicyPak，获得更强的安全性、更强的能力与更高的敏捷性。
共享的本地管理员密码会使一台被攻破的机器获得所有使用该密码机器的访问权限，这是本地管理员密码解决方案所要解决的问题。在每台设备上设置唯一密码可以防止重复使用，但会带来库存管理问题，因为每个凭据都需要存储和定期更新。
什么是LAPS？
LAPS 的工作原理
密码生成
手动管理变得不可行，因此许多管理员会禁用账户，根据Netwrix 2026 Data and Identity Security Report，76%的组织无法在不再需要时立即撤销持续访问权限。
每个受管设备都运行相同的周期，由后台任务驱动，处理活动策略 每小时，独立于 Group Policy 刷新周期。
Directory 存储
该账户仍适用于现场修复，例如重置损坏的域信任关系或在其他选项失败时硬编码IP地址。Windows LAPS保留该恢复访问权限并自动管理相关密码。
旋转
LAPS 是微软的一款工具，允许管理员管理加入域的计算机的本地管理员密码，并将其存储在 Active Directory 中。在其当前版本中，Windows LAPS 还可以将密码备份到 Microsoft Entra ID。每台设备都会生成符合定义的长度和复杂性要求的随机密码，因此不会有两台机器共享同一凭据。
检索
当启用 Windows LAPS 的策略通过 Group Policy 或 Microsoft Intune 到达设备时，设备会生成一个符合策略长度和复杂性要求的随机密码，并将其应用于受管的本地管理员帐户。
设备随后将密码存储在配置的目录中，并根据策略的密码有效期设置过期时间。在Active Directory中，密码存储在计算机对象的机密属性中，可能是明文或加密形式。每个设备写入自己的密码，因此计算机需要对其LAPS属性具有写权限，而另一个较小的独立组拥有读取权限。
当到达过期时间时，设备会生成并存储新密码。密码轮换也可以提前发生，无论是管理员在设备上运行 Reset-LapsPassword，在目录中设置过期时间，还是依赖策略在托管账户登录后轮换密码。
LAPS 保护的内容
授权管理员在需要登录该机器时，通过 PowerShell 或 Active Directory Users and Computers 检索密码。
LAPS针对本地管理员凭据本身的弱点：许多机器使用相同密码，密码使用后仍有效，且密码被过多人知晓。
Netwrix Privilege Secure 为每个管理会话创建一个任务范围账户，并在会话结束时将其移除。请求演示。
Pass-the-hash 和横向移动
帮助台工作中的共享凭据
无法访问的设备
未授权的密码读取
远程帮助台工作需要本地管理员访问权限，许多技术人员知道且无人更换的密码会在工单关闭后长时间保持该访问权限。使用LAPS，技术人员获取一台机器的密码，登录后密码会被更换，因此他们掌握的凭据将失效。
即使设备的域信任已损坏，或其域账户无法登录，只要有人知道当前密码，仍可通过本地管理员账户访问。LAPS将该密码保存在目录中，使管理员能够登录并恢复否则无法访问的设备。
Windows LAPS 与 legacy Microsoft LAPS
存储的密码本身成为目标，因此access control model很重要。Active Directory权限和可选加密决定谁可以读取或解密每个密码，Microsoft Entra ID使用基于角色的访问控制，因此只有授权的读取者才能检索特定密码。
一种 pass-the-hash attack 利用被盗的密码哈希而不破解它，共享的本地管理员密码使该哈希在每台使用它的机器上都有效，因此一台被攻破的工作站就能打开整个网络的 横向移动。使用LAPS，每台设备都有不同的密码，因此从一台机器盗取的哈希仅能认证该机器。
两个产品共享LAPS名称，区别决定密码存放位置、是否加密以及微软修复问题的时间。
Windows LAPS 添加的内容
Windows LAPS 是一个独立的实现，而不是对传统产品的更新，因此只有在管理不同账户时，两者才能在一台设备上运行。
Windows LAPS 已包含在2023年4月11日的Windows更新中，并内置于操作系统中，因此无需推送客户端包。
- Microsoft Entra ID 的备份于2023年10月23日正式推出，将 Entra-joined 和 hybrid-joined 设备纳入同一模型。
- 在 Active Directory 中，Windows LAPS 可以加密存储的密码并维护密码历史记录，域控制器可以备份其 DSRM 账户密码。
- Windows 11 24H2 和 Windows Server 2025 增加了密码短语生成和自动账户管理功能。
遗留LAPS弃用意味着什么
使用哪个版本
Microsoft自Windows 11 23H2及以后版本起弃用传统的Microsoft LAPS。较新的操作系统会阻止传统安装程序，且Microsoft不再考虑该产品的代码更改。支持仅在旧版Windows上继续，直到这些版本达到其支持终止。
- 每个版本都会写入专用事件日志，并提供一个 PowerShell 模块，
LAPS，替代了传统的AdmPwdcmdlet。
Windows LAPS 包含一个遗留的仿真模式，在迁移期间遵循现有的遗留策略。将其视为桥梁，因为它以明文存储密码，无法使用加密或密码历史。
在 Windows 11 23H2 及更高版本和 Windows Server 2025 及更高版本的新部署中使用 Windows LAPS。包括 Windows 11 22H2 和 21H2、Windows Server 2022 和 2019 以及 Windows 10 在内的早期受支持版本，需要 2023 年 4 月 11 日或更高版本的更新。
如何设置和使用Windows LAPS
Netwrix Privilege Secure 用即时特权会话替代常驻管理员账户，且会自动撤销。请求演示。
Windows 10 于 终止支持，日期为2025年10月14日，Windows LAPS 仅在仍接收更新的 Windows 10 设备上可用，例如通过 Extended Security Updates 计划。新部署请使用 Windows 11 或受支持的 Windows Server 版本。
步骤1：检查要求
请在安装了随更新提供的 Windows LAPS PowerShell 模块的服务器或工作站上运行以下步骤。
这些步骤将 Windows LAPS 部署到加入域的设备，并将密码备份到 Active Directory。
确认每台设备运行的是2023年4月11日或更高版本的受支持操作系统，并且已加入或混合加入Active Directory。密码加密需要2016年或更高的域功能级别，DSRM备份需要运行Windows Server 2019或更高版本的域控制器。
步骤2：更新Active Directory架构
步骤3：授予权限
每个林扩展一次架构，以便 Windows LAPS 可以在计算机对象的新属性中存储密码。在 Windows Server 2019 或更高版本的域控制器上，或在具有该模块的服务器上运行 cmdlet：
然后检查谁已经拥有该OU的扩展权限。每个Windows LAPS密码属性都是机密的，因此任何拥有扩展权限的主体都可以读取它们：
部署需要有能够写入自己密码的设备、读取密码的组，以及能够强制密码过期的组（通常是同一组）。针对包含计算机的组织单位授予各组权限：
步骤4：在Group Policy中配置策略
从不应读取密码的任何主体中移除扩展权限。
该 cmdlet 添加了 架构属性，例如 msLAPS-Password、msLAPS-EncryptedPassword 和 msLAPS-PasswordExpirationTime。同一林中的其他域无需重复添加。
步骤5：验证已应用的策略
在目标设备上，查看 Windows LAPS 事件日志中的事件 ID 10018，确认密码已写入 Active Directory。如果不想等待每小时的周期，请立即处理策略：
将 BackupDirectory 设置为 Active Directory 的 2，且保持 AdministratorAccountName 未配置，以管理内置管理员账户，该账户由 Windows LAPS 通过其知名的相对标识符而非名称识别，仅为自定义账户配置。Windows LAPS 不会创建该自定义账户，因此请先创建，除非您在 Windows 11 24H2 或 Windows Server 2025 上启用了自动账户管理。
第6步：检索密码
创建计算机端的组策略对象（GPO），打开计算机配置 > 策略 > 管理模板 > 系统 > LAPS，配置 Windows LAPS policy settings。LAPS.admx 模板包含在本地 PolicyDefinitions 文件夹中，如果使用 central store，请手动复制，因为 Windows 更新不会自动复制。
同一人员可以从Active Directory Users and Computers中的计算机对象属性读取密码。
当您需要访问特定机器时，使用步骤3中读取者组的账户检索当前密码：
第7步：按需轮换密码
然后检查计算机对象是否具有新的或更新的 msLAPS-PasswordExpirationTime 属性。如果事件 10018 从未出现或属性保持为空，请重新检查步骤3中的GPO链接和自写权限。
还要重命名内置帐户，使其 稍微难以猜测，尽管该帐户的知名标识符限制了这一好处。当您不配置密码设置时，PasswordAgeDays 默认为30，PasswordLength 为14，且 PasswordComplexity 为4。
技术人员使用密码后，或任何可能导致密码暴露的事件后，请更换密码。在设备上运行：
带有Microsoft Entra ID的Windows LAPS
通过这七个步骤，组织单位中的每个设备都在Active Directory中拥有自己的密码。读取组可以检索并轮换密码，且每小时的策略周期保持轮换计划持续运行，无需额外工作。
从目录端，将过期时间设置为现在，设备将在下一个策略周期旋转，或者如果您运行 Invoke-LapsPolicyProcessing 时立即旋转：
管理员必须首先为租户启用 Windows LAPS，因为 Entra ID 默认不接受来自托管设备的新密码。
Entra基于角色的访问控制保护密码，默认情况下只有Global Administrator、Cloud Device Administrator和Intune Administrator角色可以检索密码，因此请检查谁拥有这些高权限角色。
如何从传统LAPS迁移到Windows LAPS
策略来自Microsoft Intune和Windows LAPS配置服务提供程序，BackupDirectory设置为1，检索通过Microsoft Graph使用Get-LapsAADPassword或通过Entra和Intune门户进行。
仅加入 Microsoft Entra ID 的设备仅备份到 Entra ID，仅加入 Active Directory 的设备仅备份到 Active Directory，混合加入的设备选择其中之一，绝不同时选择两者。Entra ID 不需要架构扩展或 Active Directory 权限，因此上述设置步骤不适用于这些设备。
它运行在加入域的Windows设备上，在每台受管理的机器上都有扩展，一个架构扩展，以及一个单一的受管理本地管理员账户。
- 策略： 传统的组策略有四个设置，包括“启用本地管理员密码管理”。
- 客户端： LAPS 用户界面，是开始菜单中的一个胖客户端，允许有权限的用户查询设备密码。
- 属性： 密码存储在
ms-Mcs-AdmPwd中的明文，且ms-Mcs-AdmPwdExpirationTime保存重置时间。 - 部署： 管理员通常使用软件部署工具将扩展推送到端点。
- 命令：
Update-AdmPwdADSchema扩展架构，且Get-AdmPwdPassword -ComputerName “计算机名称”检索密码。
遗留部署仍然很常见，因此在迁移前请识别您的部署。遗留部署使用可下载的Microsoft安装程序，其Group Policy客户端扩展（即 AdmPwd extension）、Group Policy Management Console的管理工具，以及 AdmPwd.admx 和 AdmPwd.adml 模板。
步骤1：选择迁移方法
在迁移之前，请先完成设置部分的 Windows LAPS 架构更新和权限授予。
步骤2：禁用旧版策略并应用 Windows LAPS 策略
步骤3：确认过渡
- 检查 Windows LAPS 事件日志中的成功密码更新事件。
取消链接或禁用您正在迁移的组织单位的旧版GPO，并尽可能在同一时间点链接Windows LAPS GPO。当设备首次应用Windows LAPS策略时，会立即更换受管账户密码，因此请安排在无人需要即时密码的时间窗口内进行更改。
在示例设备上验证过渡：
立即切换会将设备从传统管理一次性切换到Windows LAPS管理同一账户。并行方式则是在现有账户上保留传统LAPS，同时Windows LAPS管理第二个本地账户，最后移除多余账户。传统策略和Windows LAPS策略绝不能同时针对同一设备上的同一账户。 moves a device from legacy to Windows LAPS management of the same account in one change. A side-by-side approach keeps legacy LAPS on the existing account while Windows LAPS manages a second local account, and you remove the extra account at the end. The legacy policy and the Windows LAPS policy must never target the same account on the same device.
步骤4：移除遗留软件
- 确认
msLAPS-PasswordExpirationTime在计算机对象上有一个新值。 - 使用
Get-LapsADPassword检索密码，以证明新路径端到端有效。
一旦所有范围内的设备在Windows LAPS下报告，卸载端点上的旧版扩展和管理工作站上的管理工具。对于MSI安装，请从提升权限的命令提示符运行以下命令：
如何保护您的LAPS部署
限制谁可以读取密码
一个可用的部署和一个安全的部署在于谁能读取密码、密码如何存储以及已使用密码多久过期。
在Active Directory中加密密码
在任何委派更改后重新运行 Find-LapsADExtendedRights，因为扩展权限持有者可以读取机密密码属性。
授予专用安全组读取权限，例如执行现场修理的帮助台层，并将广泛的IT组排除在外。Domain Admins已经可以读取密码，因此该组是对他们的补充，其成员应享有与任何特权组相同的访问审查。
设置强密码配置
启用 ADPasswordEncryptionEnabled，使设备在将密码写入 msLAPS-EncryptedPassword 属性之前对密码进行加密。加密需要2016年或更高的域功能级别。
读取权限不授予解密权限，且 ADPasswordEncryptionPrincipal 指定唯一允许解密的用户或组，未设置时默认为Domain Admins。请将其设置为您的读取组，因为能够读取但无法解密属性的帮助台毫无意义。
使用后重置密码
加密还会解锁密码历史记录，因此如果技术人员有时需要之前的密码，请设置 ADEncryptedPasswordHistorySize（默认值为0；最多可接受12）。
为不同设备使用不同的策略
缩短敏感设备的延迟时间，并在技术人员10分钟内完成时，将其与第7步的按需轮换配合使用，以确保凭证不会持续到下午。
拥有有效Windows LAPS密码的用户可以获得管理员权限并阻止或绕过这些机制，因此重置限制了暴露但不强制执行。
PostAuthenticationActions 控制用户使用托管账户认证后发生的操作，且 PostAuthenticationResetDelay 控制设备等待的时间。默认情况下，设备在认证后24小时重置密码并退出托管账户，延迟设置为0则禁用这些操作。
备份域控制器恢复账户
本地管理员账户名为ServAdm1n的服务器可以使用一项策略，而高管笔记本电脑可以使用另一项强制20字符密码的策略，每个GPO都链接到相应的组织单位或筛选到安全组。
也请为旧版和新版操作系统使用不同的策略，因为密码短语、自动账户管理和认证后操作11仅适用于Windows 11 24H2和Windows Server 2025。
LAPS的限制
LAPS 保留一个现有的管理员账户
在域控制器上启用 ADBackupDSRMPassword，以便 Windows LAPS 备份 DSRM 账户密码，这需要密码加密和 Windows Server 2019 或更高版本的域控制器。
LAPS保护本地管理员凭据，将持续访问、审批流程和非Windows覆盖留给其他控制。
在设备需要时，将 PasswordLength 提高到超过默认的14个字符，最高可达64，并保持 PasswordComplexity 在4或更高。在Windows 11 24H2和Windows Server 2025中，复杂度值6到8会生成更易于电话传达的密码短语，且 PassphraseLength 设置单词数。请将每个设置与设备的本地密码策略匹配，因为不兼容的值会导致Windows LAPS无法创建密码并记录事件 10027。
托管账户仍然是可以在使用间禁用的本地管理员账户，而LAPS使其密码唯一并进行轮换。Netwrix 2026 Data and Identity Security Report发现，当常驻特权访问成为常态时，违规率又上升了7个百分点。
LAPS没有审批或会话工作流程
LAPS仅支持Windows
Windows LAPS 无法将 DSRM 密码备份到 Microsoft Entra ID。当所有域控制器都宕机时，Get-LapsADPassword 命令使用 -Port 参数从挂载的目录备份中读取密码。
Netwrix 如何帮助减少常驻本地管理员访问权限
将常驻本地管理员访问替换为即时访问
完全消除对local administrator rights的需求是更强的选择，因为普通用户可以在没有它们的情况下处理特殊任务，而LAPS管理的账户则成为很少使用的紧急凭证。LAPS和least privilege协同工作，LAPS保护剩余账户。
Windows LAPS 管理加入 Active Directory 或 Microsoft Entra ID 的 Windows 设备上的本地账户，不支持 Microsoft Entra workplace-joined 客户端。Linux 主机、macOS 笔记本和网络设备不在其管理范围内，任何未加入目录的 Windows 机器也不包括在内。
任何具有读取权限的人都可以在其委托范围内检索密码，检索的密码在旋转之前授予本地管理员权限。认证后延迟限制了该时间窗口，权限列表确定谁可以检索密码。LAPS管理凭据，不记录管理员登录后的操作，因此单独的审计显示了他们的行为。
日常管理常常会留下一个活动账户，Netwrix Privilege Secure 针对该账户。
记录管理员使用提升权限所做的操作
查找常驻特权账户
Netwrix Privilege Secure 用即时访问替代常驻管理员权限，仅为任务创建访问权限，任务结束时移除。权限提升有时间限制并自动过期，因此不会有永久的提升凭据在使用间闲置。
将LAPS与即时访问配对以进行常规管理
Eastern Carver County Schools 发现红队通过过度且不必要的privileged access反复访问关键系统。借助Netwrix Privilege Secure，学区通过临时账户即时授予访问权限，任务完成后即被移除，并在几天内而非数月内为其关键系统实施了privileged access management。
Netwrix Privilege Secure 是一款Privileged Access Management产品，记录并监控特权会话，因此审计员询问提升会话期间发生了什么时，会直接获得该会话。该录制为调查人员提供了用于取证工作的审计追踪，而 LAPS 不提供此功能。
Netwrix Privilege Secure 扫描环境以发现隐藏的特权账户。使用结果决定哪些账户应由LAPS管理，哪些应转为即时访问，哪些应被移除。
合理的的LAPS部署使用Windows LAPS替代旧版产品，在正确的目录中加密密码，限制谁可以读取，使用后轮换密码，并迁移仍在运行旧客户端的设备。
保护必须保留的账户。对于其他所有情况，询问每个管理任务是否真的需要常设账户，并根据任务持续时间、自动撤销和会话证据调整控制措施。
Netwrix Privilege Secure 涵盖了该决策的日常管理部分，提供just-in-time access、会话记录和常设特权账户的发现。
请求演示，了解 Netwrix Privilege Secure 如何用即时会话替代常驻管理员账户，记录管理员操作，并发现您仍拥有的常驻特权账户。
关于本地管理员密码解决方案（LAPS）的常见问题
分享到
了解更多
关于作者
