Desplegar Windows LAPS: contraseñas de admin local únicas

Si todos los puestos de trabajo comparten la misma contraseña del Administrator local, un portátil comprometido equivale a una flota comprometida. Un atacante que vuelca la SAM local o se hace con el hash NTLM puede autenticarse con ese hash en cualquier otra máquina, sin necesidad de descifrarlo. Sigue siendo uno de los caminos más habituales para pasar de un punto de apoyo obtenido por phishing a un incidente en todo el dominio.

Windows LAPS (Local Administrator Password Solution) lo resuelve asignando a cada dispositivo su propia contraseña aleatoria de administrador local, rotándola periódicamente y almacenándola en Active Directory o Microsoft Entra ID, donde solo los grupos autorizados pueden leerla. Desde las actualizaciones acumulativas de abril de 2023 está integrado en Windows 10, Windows 11 y Windows Server 2019 y posteriores. No hay nada que instalar en los clientes.

Qué cambia respecto al LAPS heredado

El "Microsoft LAPS" original era un MSI independiente con una extensión del lado cliente y su propio atributo ms-Mcs-AdmPwd. Windows LAPS es una característica nativa del sistema operativo, con otro conjunto de atributos y varias mejoras:

Ambos pueden convivir durante una migración, pero nunca deben administrar la misma cuenta en la misma máquina. Planifica el paso de cada OU a Windows LAPS y retira después el cliente heredado.

Requisitos previos

• Clientes y servidores con una compilación compatible y una actualización acumulativa de abril de 2023 o posterior.
• Para la copia de seguridad en Active Directory: permiso para extender el esquema (Schema Admins), una vez por bosque.
• Para contraseñas cifradas en AD: nivel funcional de dominio Windows Server 2016 o superior.
• Un grupo de seguridad para las personas autorizadas a leer contraseñas, por ejemplo LAPS-Workstation-Readers. No uses Domain Admins para esto: el soporte técnico debe poder recuperar la contraseña de un puesto de trabajo sin tener derechos de Tier 0.

Paso 1: extender el esquema y asignar permisos

Ejecuta lo siguiente como Schema Admin desde una máquina con el módulo de PowerShell de LAPS (cualquier compilación compatible de Windows):

Import-Module LAPS
Update-LapsADSchema

A continuación, permite que los equipos escriban su propia contraseña en su objeto de equipo, OU por OU:

Set-LapsADComputerSelfPermission -Identity "OU=Workstations,DC=corp,DC=example"
Set-LapsADComputerSelfPermission -Identity "OU=Tier1-Servers,DC=corp,DC=example"

Después concede el acceso de lectura al grupo adecuado, también por OU, para que quienes leen contraseñas de puestos de trabajo nunca vean las de los servidores:

Set-LapsADReadPasswordPermission -Identity "OU=Workstations,DC=corp,DC=example" `
  -AllowedPrincipals "CORP\LAPS-Workstation-Readers"
Set-LapsADResetPasswordPermission -Identity "OU=Workstations,DC=corp,DC=example" `
  -AllowedPrincipals "CORP\LAPS-Workstation-Readers"

Por último, audita quién más puede leer ya atributos confidenciales en esas OU. Un "All extended rights" concedido hace años a una cuenta de servicio o a un grupo de soporte incluye discretamente el acceso de lectura a LAPS:

Find-LapsADExtendedRights -Identity "OU=Workstations,DC=corp,DC=example"

Todo lo que aparezca en esa salida y no sea un grupo de LAPS, SYSTEM o Domain Admins merece un ticket.

Paso 2: configurar la directiva

La configuración de directiva de grupo está en Computer Configuration > Policies > Administrative Templates > System > LAPS. En los dispositivos administrados con Intune, la misma configuración está en Endpoint security > Account protection > Local admin password solution.

En los controladores de dominio, la misma directiva puede hacer copia de seguridad de la contraseña DSRM (Directory Services Restore Mode). Aplícala desde una GPO independiente vinculada a la OU Domain Controllers y con su propio grupo de lectores, porque el acceso a DSRM es un secreto de Tier 0.

Las versiones recientes (Windows 11 24H2 y Windows Server 2025) añaden la administración automática de cuentas, en la que LAPS crea y administra una cuenta local por ti, y las contraseñas de tipo frase de contraseña. Si tu parque es heterogéneo, quédate con la configuración clásica anterior y añade las nuevas opciones en una GPO independiente filtrada a las compilaciones más recientes.

Paso 3: forzar el procesamiento y verificar

En una máquina piloto, lanza un ciclo de directivas y pide a LAPS que procese de inmediato:

gpupdate /target:computer
Invoke-LapsPolicyProcessing

Luego revisa el registro de eventos. LAPS escribe en Applications and Services Logs > Microsoft > Windows > LAPS > Operational. Un ciclo correcto termina con un evento que indica que la contraseña se actualizó y se copió. Los errores son explícitos: faltan permisos en la OU, el nombre de cuenta es incorrecto o un DC todavía no conoce el esquema.

Desde una estación de administración, como miembro del grupo de lectores:

Get-LapsADPassword -Identity PC-0142 -AsPlainText

La salida muestra la cuenta, la contraseña, cuándo se estableció y cuándo caduca. Para los dispositivos con copia en Entra ID, usa Get-LapsAADPassword con la configuración de Microsoft Graph PowerShell, o la página del dispositivo en el centro de administración de Entra o de Intune.

Para rotar a petición, por ejemplo después de que un técnico haya usado la contraseña:

Reset-LapsPassword            # ejecutar localmente en el dispositivo
Set-LapsADPasswordExpirationTime -Identity PC-0142   # o hacerla caducar desde AD

Paso 4: inutilizar las cuentas de administrador local a través de la red

LAPS hace que cada contraseña sea única. Además, conviene asegurarse de que las cuentas de administrador local no puedan usarse en absoluto para iniciar sesión en remoto, lo que elimina toda una clase de movimiento lateral incluso si una contraseña se filtra:

• Deny access to this computer from the network y Deny log on through Remote Desktop Services: añade Local account and member of Administrators group (SID conocido S-1-5-114). Se encuentran en Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > User Rights Assignment.
• Mantén activas las restricciones remotas de UAC: LocalAccountTokenFilterPolicy debe estar ausente o valer 0 en HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System. La línea base de seguridad de Microsoft lo impone mediante la configuración "Apply UAC restrictions to local accounts on network logons".

Con ambas medidas aplicadas, la contraseña de LAPS solo sirve para la consola y el acceso de emergencia (break-glass), que es exactamente para lo que debe servir una contraseña de administrador local.

Problemas habituales

El evento indica que no se encontró la cuenta. El nombre de la cuenta administrada en la directiva no existe en el dispositivo. Créala en tu proceso de compilación o deja la configuración vacía para administrar el Administrator integrado.

La contraseña nunca aparece en AD. El equipo no puede escribir en su objeto. Vuelve a ejecutar Set-LapsADComputerSelfPermission en la OU correcta y comprueba que el objeto de equipo esté realmente en esa OU (y no en el contenedor predeterminado Computers, donde no se aplican las GPO vinculadas a OU).

El soporte técnico recibe "acceso denegado" con el cifrado activado. El permiso de lectura del atributo no basta: el usuario debe pertenecer al grupo configurado como descifrador autorizado.

Las contraseñas acaban en el antiguo atributo ms-Mcs-AdmPwd. Cuando solo se aplica la directiva heredada de LAPS y el cliente heredado no está instalado, Windows LAPS funciona en modo de emulación heredada y respeta esa directiva antigua. Aplica una directiva de Windows LAPS a la OU (tiene prioridad) y retira la GPO heredada al hacer el cambio. Si el cliente heredado sigue instalado y administra la misma cuenta, Windows LAPS se aparta para evitar un conflicto, así que desinstálalo.

Lista de comprobación

• Esquema extendido y permiso propio de los equipos asignado en cada OU
• Grupos de lectores separados para puestos de trabajo, servidores y DSRM
• Salida de Find-LapsADExtendedRights revisada y depurada
• Directiva: longitud 20+, complejidad 4, antigüedad 30 días, cifrado activado, historial habilitado
• Restablecimiento tras la autenticación habilitado
• Inicio de sesión de red y RDP denegado a las cuentas locales mediante S-1-5-114
• Cliente LAPS heredado eliminado tras la migración
• Alertas sobre los errores del registro LAPS Operational en tu canalización de registros

LAPS es uno de los pocos controles de este sitio que casi no cuesta nada, casi no rompe nada y elimina una técnica que los atacantes usan en prácticamente todas las intrusiones en Windows. Es el primer paso lógico en el mapa de endurecimiento, seguido del modelo por niveles de administración y Protected Users.