Windows Server 2025 / Configurer Windows LAPS avec Active Directory

Windows Local Administrator Password Solution (Windows LAPS) attribue à chaque appareil un mot de passe d'administrateur local distinct et le renouvelle selon la stratégie définie. Pour enregistrer ces mots de passe dans Active Directory Domain Services (AD DS), préparez le schéma, l'autorisation d'écriture des ordinateurs, les droits de lecture et de déchiffrement, puis la stratégie appliquée aux appareils.

Choisir le compte et l'emplacement de sauvegarde

Cet exercice gère le compte local labadmin du serveur membre FS1, placé dans l'OU Lab\Servers. Il ne concerne ni les comptes locaux ordinaires d'un contrôleur de domaine comme DC1 ni le mot de passe du mode de restauration des services d'annuaire (DSRM). Windows LAPS utilise d'autres attributs de schéma, stratégies et commandes que l'ancien Microsoft LAPS.

• Vérifiez la version du système, ses mises à jour, le module PowerShell LAPS et les modèles de stratégie disponibles.
• Réservez la récupération du mot de passe à un petit groupe d'administrateurs qui en a réellement besoin.
• Gardez une autre voie d'administration opérationnelle pendant la mise en place.
• Si vous chiffrez la sauvegarde dans AD DS, confirmez que le niveau fonctionnel du domaine est Windows Server 2016 ou ultérieur.

Suivez le scénario Windows LAPS avec AD DS de Microsoft. Le domaine de laboratoire créé avec Windows Server 2025 peut être évalué pour une sauvegarde chiffrée, mais un domaine plus ancien peut ne pas satisfaire aux prérequis de chiffrement.

Préparer le compte administrateur local sur FS1

Dans une console PowerShell élevée sur FS1, vérifiez d'abord si labadmin existe. Si c'est le cas, examinez son usage et ne lancez pas les lignes de création. Le groupe Administrateurs intégré est repéré par son identifiant de sécurité (SID), ce qui évite de dépendre du nom localisé :

Get-LocalUser -Name 'labadmin' -ErrorAction SilentlyContinue
$initialLocalPassword = Read-Host 'Initial local password' -AsSecureString
New-LocalUser -Name 'labadmin' -Password $initialLocalPassword -Description 'LAPS lab account'
$localAdminGroup = (Get-LocalGroup -SID 'S-1-5-32-544').Name
Add-LocalGroupMember -Group $localAdminGroup -Member "$env:COMPUTERNAME\labadmin"

Avec ce compte personnalisé créé manuellement, vous devez créer le compte et l'ajouter au groupe Administrateurs avant que Windows LAPS puisse le gérer. La gestion automatique des comptes est une autre méthode de déploiement ; ne mélangez pas ses paramètres avec ceux de cet exercice.

Préparer le schéma et déléguer les droits AD DS

L'extension du schéma est une modification à l'échelle de la forêt : supprimer un lien GPO ne l'annule pas. Dans un environnement de production, faites valider ce changement et son plan de récupération. Dans le laboratoire isolé, vérifiez d'abord si le schéma Windows LAPS a déjà été étendu ; si ce n'est pas le cas, utilisez les privilèges d'administration du schéma appropriés pour l'opération unique :

Update-LapsADSchema
Set-LapsADComputerSelfPermission -Identity 'OU=Servers,OU=Lab,DC=ad,DC=example,DC=test'

L'autorisation accordée aux comptes d'ordinateur de l'OU leur permet de mettre à jour leurs propres données LAPS ; elle n'autorise pas tout administrateur à lire les mots de passe. Créez le groupe de lecteurs suivant uniquement s'il n'existe pas déjà et ajoutez-y seulement les identités de gestion désignées. Vérifiez que le préfixe NetBIOS AD correspond bien à votre domaine :

New-ADGroup -Name 'GG_LAPSReaders' -GroupCategory Security -GroupScope Global -Path 'OU=LabGroups,OU=Lab,DC=ad,DC=example,DC=test'
Set-LapsADReadPasswordPermission -Identity 'OU=Servers,OU=Lab,DC=ad,DC=example,DC=test' -AllowedPrincipals 'AD\GG_LAPSReaders'
Find-LapsADExtendedRights -Identity 'OU=Servers,OU=Lab,DC=ad,DC=example,DC=test'

Le droit de lire les attributs et celui de déchiffrer un mot de passe chiffré sont distincts. Inspectez les droits étendus existants pour repérer un accès trop large. Consultez les commandes PowerShell Windows LAPS avant de modifier la délégation.

Limiter la stratégie au serveur de test

1. Créez le GPO Lab-LAPS-Servers et liez-le à Lab\Servers. Vérifiez les ordinateurs présents ; si l'OU contient de vrais serveurs, créez une OU de test distincte.
2. Ouvrez Configuration ordinateur → Stratégies → Modèles d'administration → Système → LAPS. Si vous utilisez un magasin central, vérifiez que LAPS.admx et le fichier ADML de la langue voulue sont à jour.
3. Sélectionnez Windows Server Active Directory comme répertoire de sauvegarde.
4. Indiquez labadmin comme nom du compte administrateur géré.
5. Activez le chiffrement des mots de passe et indiquez AD\GG_LAPSReaders comme principal autorisé à les déchiffrer, après avoir confirmé le nom NetBIOS du domaine.
6. Pour le laboratoire, définissez une longueur de 20 caractères, une complexité de 4 et une durée de 30 jours ; confirmez leur compatibilité avec la stratégie locale.

Ces valeurs sont des exemples. La valeur de complexité 4 inclut majuscules, minuscules, chiffres et caractères spéciaux. La référence des paramètres de stratégie Windows LAPS décrit les valeurs admises et les versions de Windows compatibles. Certaines options récentes de mot de passe et de gestion automatique des comptes ne s'appliquent pas aux anciens clients.

Vérifier le traitement, l'accès et le retrait

Sur FS1, actualisez la stratégie ordinateur et lancez le traitement Windows LAPS. Dans l'Observateur d'événements, examinez Applications et services → Microsoft → Windows → LAPS → Operational pour confirmer le résultat :

gpupdate /target:computer /force
Invoke-LapsPolicyProcessing

Depuis un poste d'administration équipé du module LAPS, un administrateur autorisé peut consulter les métadonnées sans afficher le mot de passe :

Get-LapsADPassword -Identity 'FS1' | Select-Object ComputerName,Account,PasswordUpdateTime,ExpirationTimestamp,DecryptionStatus

Vérifiez le nom de l'ordinateur, le compte, les heures de mise à jour et d'expiration ainsi que l'état du déchiffrement, selon les propriétés disponibles dans le module installé. Un utilisateur non autorisé ne doit pas pouvoir récupérer le secret. Si vous récupérez réellement le mot de passe, évitez le partage d'écran, les transcriptions et les journaux. Pouvoir récupérer le mot de passe et réussir à ouvrir une session avec le compte local sont deux contrôles distincts.

Désactiver la stratégie ne restaure pas l'ancien mot de passe. Avant de retirer Windows LAPS, assurez-vous qu'une autre voie d'administration fonctionne et prévoyez un nouveau mot de passe unique si nécessaire. Retirez seulement les liens de stratégie et délégations prévus ; ne supprimez pas les attributs du schéma et n'attribuez pas le même mot de passe à tous les serveurs.