Déployer Windows LAPS : des mots de passe d'admin uniques

Si tous les postes de travail partagent le même mot de passe Administrator local, un seul portable compromis signifie un parc compromis. Un attaquant qui extrait la base SAM locale ou récupère l'empreinte NTLM peut s'authentifier sur toutes les autres machines avec cette empreinte, sans avoir à la casser. C'est encore l'un des chemins les plus fréquents entre un point d'entrée obtenu par hameçonnage et un incident touchant tout le domaine.

Windows LAPS (Local Administrator Password Solution) règle ce problème en attribuant à chaque appareil son propre mot de passe d'administrateur local aléatoire, en le renouvelant selon un calendrier et en le stockant dans Active Directory ou Microsoft Entra ID, où seuls les groupes autorisés peuvent le lire. Depuis les mises à jour cumulatives d'avril 2023, il est intégré à Windows 10, Windows 11 et Windows Server 2019 et ultérieurs. Rien à installer sur les clients.

Ce qui change par rapport à l'ancien LAPS

Le « Microsoft LAPS » d'origine était un MSI distinct, avec une extension côté client et son propre attribut ms-Mcs-AdmPwd. Windows LAPS est une fonctionnalité native du système, avec un autre jeu d'attributs et plusieurs améliorations :

Les deux peuvent coexister pendant une migration, mais ne doivent pas gérer le même compte sur la même machine. Prévoyez de basculer chaque UO vers Windows LAPS, puis de supprimer l'ancien client.

Prérequis

• Clients et serveurs sur une build prise en charge avec une mise à jour cumulative d'avril 2023 ou ultérieure.
• Pour la sauvegarde dans Active Directory : l'autorisation d'étendre le schéma (Schema Admins), une fois par forêt.
• Pour les mots de passe chiffrés dans AD : niveau fonctionnel de domaine Windows Server 2016 ou supérieur.
• Un groupe de sécurité pour les personnes autorisées à lire les mots de passe, par exemple LAPS-Workstation-Readers. N'utilisez pas Domain Admins pour cela : le support doit pouvoir récupérer un mot de passe de poste de travail sans détenir de droits Tier 0.

Étape 1 : étendre le schéma et définir les permissions

Exécutez ce qui suit en tant que Schema Admin, depuis une machine disposant du module PowerShell LAPS (toute build Windows prise en charge) :

Import-Module LAPS
Update-LapsADSchema

Autorisez ensuite les ordinateurs à écrire leur propre mot de passe dans leur objet ordinateur, UO par UO :

Set-LapsADComputerSelfPermission -Identity "OU=Workstations,DC=corp,DC=example"
Set-LapsADComputerSelfPermission -Identity "OU=Tier1-Servers,DC=corp,DC=example"

Accordez ensuite l'accès en lecture au bon groupe, là encore par UO, pour que les lecteurs des postes de travail ne voient jamais les mots de passe des serveurs :

Set-LapsADReadPasswordPermission -Identity "OU=Workstations,DC=corp,DC=example" `
  -AllowedPrincipals "CORP\LAPS-Workstation-Readers"
Set-LapsADResetPasswordPermission -Identity "OU=Workstations,DC=corp,DC=example" `
  -AllowedPrincipals "CORP\LAPS-Workstation-Readers"

Enfin, vérifiez qui d'autre peut déjà lire les attributs confidentiels sur ces UO. Un « All extended rights » accordé il y a des années à un compte de service ou à un groupe du support inclut discrètement l'accès en lecture à LAPS :

Find-LapsADExtendedRights -Identity "OU=Workstations,DC=corp,DC=example"

Tout ce qui, dans ce résultat, n'est ni un groupe LAPS, ni SYSTEM, ni Domain Admins mérite un ticket.

Étape 2 : configurer la stratégie

Les paramètres de stratégie de groupe se trouvent sous Computer Configuration > Policies > Administrative Templates > System > LAPS. Sur les appareils gérés par Intune, les mêmes paramètres figurent dans Endpoint security > Account protection > Local admin password solution.

Sur les contrôleurs de domaine, la même stratégie peut sauvegarder le mot de passe DSRM (Directory Services Restore Mode). Appliquez-la depuis une GPO distincte liée à l'UO Domain Controllers, avec son propre groupe de lecteurs, car l'accès DSRM est un secret Tier 0.

Les versions récentes (Windows 11 24H2 et Windows Server 2025) ajoutent la gestion automatique du compte, où LAPS crée et gère un compte local pour vous, ainsi que des mots de passe de type phrase de passe. Si votre parc est hétérogène, conservez les paramètres classiques ci-dessus et ajoutez les nouvelles options dans une GPO distincte filtrée sur les builds récentes.

Étape 3 : forcer le traitement et vérifier

Sur une machine pilote, déclenchez un cycle de stratégie et demandez à LAPS de traiter immédiatement :

gpupdate /target:computer
Invoke-LapsPolicyProcessing

Lisez ensuite le journal d'événements. LAPS écrit dans Applications and Services Logs > Microsoft > Windows > LAPS > Operational. Un cycle réussi se termine par un événement indiquant que le mot de passe a été mis à jour et sauvegardé. Les échecs y sont explicites : permissions manquantes sur l'UO, mauvais nom de compte, ou DC qui ne connaît pas encore le schéma.

Depuis un poste d'administration, en tant que membre du groupe de lecteurs :

Get-LapsADPassword -Identity PC-0142 -AsPlainText

Le résultat affiche le compte, le mot de passe, sa date de définition et sa date d'expiration. Pour les appareils sauvegardés dans Entra ID, utilisez Get-LapsAADPassword avec la configuration Microsoft Graph PowerShell, ou la page de l'appareil dans le centre d'administration Entra ou Intune.

Pour forcer une rotation, par exemple après qu'un technicien a utilisé le mot de passe :

Reset-LapsPassword            # à exécuter localement sur l'appareil
Set-LapsADPasswordExpirationTime -Identity PC-0142   # ou le faire expirer depuis AD

Étape 4 : rendre les comptes d'admin local inutilisables par le réseau

LAPS rend chaque mot de passe unique. Assurez-vous aussi que les comptes d'administrateur local ne puissent pas du tout servir à une ouverture de session à distance : vous supprimez ainsi toute une classe de mouvement latéral, même si un mot de passe fuite.

• Deny access to this computer from the network et Deny log on through Remote Desktop Services : ajoutez Local account and member of Administrators group (SID connu S-1-5-114). Ces paramètres se trouvent sous Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > User Rights Assignment.
• Conservez les restrictions distantes de l'UAC : LocalAccountTokenFilterPolicy doit être absent ou à 0 sous HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System. Le référentiel de sécurité Microsoft l'impose via le paramètre « Apply UAC restrictions to local accounts on network logons ».

Avec ces deux mesures, le mot de passe LAPS ne sert plus qu'à la console et aux accès d'urgence, ce qui est exactement le rôle d'un mot de passe d'administrateur local.

Problèmes courants

L'événement indique que le compte est introuvable. Le nom du compte géré défini dans la stratégie n'existe pas sur l'appareil. Créez-le dans votre processus de masterisation, ou laissez le paramètre vide pour gérer l'Administrateur intégré.

Le mot de passe n'apparaît jamais dans AD. L'ordinateur ne peut pas écrire dans son objet. Relancez Set-LapsADComputerSelfPermission sur la bonne UO et vérifiez que l'objet ordinateur se trouve bien dans cette UO (et non dans le conteneur Computers par défaut, où les GPO liées aux UO ne s'appliquent pas).

Le support obtient « accès refusé » avec le chiffrement activé. L'autorisation de lecture sur l'attribut ne suffit pas : l'utilisateur doit être membre du groupe configuré comme déchiffreur autorisé.

Les mots de passe atterrissent dans l'ancien attribut ms-Mcs-AdmPwd. Lorsque seule l'ancienne stratégie LAPS s'applique et que l'ancien client n'est pas installé, Windows LAPS fonctionne en mode d'émulation hérité et respecte cette ancienne stratégie. Appliquez une stratégie Windows LAPS à l'UO (elle est prioritaire) et retirez l'ancienne GPO lors de la bascule. Si l'ancien client est toujours installé et gère le même compte, Windows LAPS s'efface pour éviter un conflit : désinstallez-le.

Liste de contrôle

• Schéma étendu, auto-permission des ordinateurs définie par UO
• Groupes de lecteurs distincts pour les postes de travail, les serveurs et le DSRM
• Résultat de Find-LapsADExtendedRights examiné et nettoyé
• Stratégie : longueur 20+, complexité 4, durée 30 jours, chiffrement activé, historique activé
• Réinitialisation après authentification activée
• Ouverture de session réseau et RDP refusée aux comptes locaux via S-1-5-114
• Ancien client LAPS supprimé après la migration
• Alertes sur les erreurs du journal LAPS Operational dans votre chaîne de collecte

LAPS fait partie des rares contrôles de ce site qui ne coûtent presque rien, ne cassent presque rien et suppriment une technique utilisée dans presque toutes les intrusions Windows. C'est la bonne première étape sur la carte du durcissement, suivie du modèle en tiers et de Protected Users.