Windows Server 2025 / Cómo configurar Windows LAPS con Active Directory

Windows Local Administrator Password Solution (Windows LAPS), la solución de contraseñas de administrador local de Windows, genera y renueva contraseñas distintas para cada dispositivo y permite recuperarlas con autorización. Para guardarlas cifradas en Active Directory (AD), hay que preparar por separado el esquema, los permisos de escritura del equipo, la lectura y el descifrado, y la directiva que recibe el servidor. Esta práctica configura la cuenta local labadmin de FS1 sin cambiar las contraseñas de los usuarios del dominio.

Elegir la cuenta y comprobar los requisitos

FS1 debe ser un servidor miembro de Windows Server 2025 unido a ad.example.test, con su objeto de equipo en la unidad organizativa (OU) Lab\Servers, como en la lección sobre usuarios, grupos y OU. El ejercicio no se ejecuta como administración de cuentas locales en el controlador de dominio DC1 ni configura la contraseña del modo de restauración de servicios de directorio (DSRM). Windows LAPS está integrado en Windows y emplea un esquema, unas directivas y comandos distintos de Microsoft LAPS heredado: no sustituya este procedimiento por la instalación de su antiguo paquete MSI.

• Compruebe el sistema operativo y las actualizaciones de FS1 y del equipo de administración, así como la disponibilidad del módulo LAPS y las plantillas actuales.
• Defina quién necesita recuperar contraseñas y limite el grupo GG_LAPSReaders a esas identidades.
• Verifique una vía alternativa de administración y recuperación que no dependa de la contraseña administrada.
• Compruebe el nivel funcional real del dominio y los requisitos del almacenamiento cifrado en AD.

Compruebe el nivel real con Get-ADDomain y su propiedad DomainMode antes de habilitar el cifrado: necesita un nivel funcional de dominio de Windows Server 2016 o posterior. No lo deduzca solo de la versión de FS1 ni eleve el nivel de un dominio de producción para seguir la práctica. El escenario de Windows LAPS con almacenamiento en AD explica estos requisitos. El destino elegido aquí es AD local, no Microsoft Entra ID; conserve una sesión y una vía de recuperación alternativas verificadas antes de que LAPS rote la contraseña de labadmin.

Preparar la cuenta local labadmin en FS1

En la consola de FS1, abra Windows PowerShell de 64 bits como administrador local y compruebe que funciona el módulo Microsoft.PowerShell.LocalAccounts. Ejecute primero únicamente la consulta. Si labadmin ya existe, deténgase para revisar su uso y no ejecute las líneas de creación; una consulta fallida tampoco demuestra que la cuenta no exista. Solo cuando confirme que falta, continúe por etapas. Read-Host solicita una contraseña inicial única como cadena segura, sin escribirla en el código. El identificador de seguridad (SID) S-1-5-32-544 permite localizar el grupo Administradores aunque su nombre esté traducido:

Get-LocalUser -Name 'labadmin' -ErrorAction SilentlyContinue
$initialLocalPassword = Read-Host 'Initial local password' -AsSecureString
New-LocalUser -Name 'labadmin' -Password $initialLocalPassword -Description 'LAPS lab account'
$localAdminGroup = (Get-LocalGroup -SID 'S-1-5-32-544').Name
Add-LocalGroupMember -Group $localAdminGroup -Member "$env:COMPUTERNAME\labadmin"

Compruebe en Administración de equipos → Usuarios y grupos locales que labadmin se ha creado y pertenece al grupo de administradores local de FS1. Si falla la creación, no continúe con la incorporación al grupo. Esta es la modalidad de administración manual de la cuenta: el administrador crea la cuenta y mantiene sus características, mientras LAPS administra su contraseña. Mantenga deshabilitada la administración automática para esta práctica; es una modalidad diferente, disponible en Windows Server 2025 y Windows 11 24H2 o posteriores. Dejar el nombre de cuenta sin configurar apuntaría al administrador integrado, no a labadmin.

Preparar el esquema y delegar el acceso a AD

Realice la preparación de AD desde DC1 o un equipo de administración con el módulo LAPS y, para los comandos de grupos, el módulo ActiveDirectory. Compruebe el dominio y registre las delegaciones existentes de Lab\Servers antes de cambiarlas. Update-LapsADSchema incorpora los atributos de Windows LAPS al esquema del bosque; no es una modificación que se deshaga borrando un vínculo de directiva. La modificación del esquema requiere privilegios como los de Schema Admins, y la delegación de la OU requiere sus propios permisos. En producción se necesita el plan de cambio y recuperación correspondiente. En el laboratorio aislado, compruebe el resultado de la primera operación antes de continuar con la segunda:

Update-LapsADSchema
Set-LapsADComputerSelfPermission -Identity 'OU=Servers,OU=Lab,DC=ad,DC=example,DC=test'

La segunda línea concede permisos heredables para que los equipos de esa OU actualicen sus propios datos de LAPS; no concede a cualquier administrador acceso a las contraseñas. El ámbito es la OU Servers dentro de Lab, no la raíz del dominio. Antes del siguiente bloque, compruebe en Usuarios y equipos de Active Directory (dsa.msc) si GG_LAPSReaders ya existe. Ejecute la primera línea, New-ADGroup, únicamente si falta y deténgase si falla; si el grupo ya existe, omita esa línea y revise su finalidad. Una vez creado o verificado, abra sus propiedades → Miembros y agregue solo las identidades de administración designadas. Después continúe con la concesión de lectura y la consulta. New-ADGroup crea un grupo vacío; no incorpora miembros automáticamente. No use labuser1 ni todos los usuarios del dominio como lectores por comodidad, y revise los miembros anidados.

New-ADGroup -Name 'GG_LAPSReaders' -GroupCategory Security -GroupScope Global -Path 'OU=LabGroups,OU=Lab,DC=ad,DC=example,DC=test'
Set-LapsADReadPasswordPermission -Identity 'OU=Servers,OU=Lab,DC=ad,DC=example,DC=test' -AllowedPrincipals 'AD\GG_LAPSReaders'
Find-LapsADExtendedRights -Identity 'OU=Servers,OU=Lab,DC=ad,DC=example,DC=test'

El permiso de lectura no equivale al de descifrado de una contraseña cifrada: ambos deben permitir el acceso. Find-LapsADExtendedRights ayuda a detectar permisos de lectura de atributos confidenciales demasiado amplios; no demuestra por sí solo que el grupo pueda descifrar. Compare el resultado con las autorizaciones previstas y deténgase ante identidades inesperadas, sin eliminar permisos generales a ciegas. La concesión de lectura tampoco concede por sí misma la facultad de cambiar la fecha de expiración. Consulte los comandos de Windows LAPS para PowerShell antes de delegar. GG_LAPSReaders debe existir y poder resolverse desde FS1 cuando se configure como destinatario del cifrado; un nombre incorrecto puede impedir la copia en AD.

Aplicar la directiva solo a los servidores de prueba

1. En Administración de directivas de grupo (gpmc.msc), revise los objetos de equipo de Lab\Servers. Si hay servidores reales, deténgase y prepare un ámbito de prueba independiente antes de adaptar las rutas de los comandos. En el laboratorio previsto, cree el objeto de directiva de grupo (GPO) Lab-LAPS-Servers y vincúlelo solo a Lab\Servers.
2. Edite Configuración del equipo → Directivas → Plantillas administrativas → Sistema → LAPS. Si usa un almacén central, compruebe LAPS.admx y el archivo LAPS.adml del idioma correspondiente: Windows Update no copia automáticamente las plantillas al almacén central.
3. Habilite la configuración del directorio de copia de seguridad y seleccione Windows Server Active Directory; corresponde a BackupDirectory = 2.
4. En la configuración del nombre de la cuenta de administrador, indique labadmin. Confirme que la administración automática de cuentas no esté habilitada por otra directiva.
5. Habilite el cifrado de contraseñas y configure AD\GG_LAPSReaders como principal autorizado para descifrar, sin comillas adicionales en el campo. No basta con concederle lectura en la OU.
6. En la configuración de contraseña, establezca longitud 20, complejidad 4 y antigüedad máxima 30 días. Compruebe el ámbito y el filtrado de seguridad para que FS1 reciba la configuración de equipo; no fuerce la aplicación al dominio entero.

Los valores 20 caracteres, complejidad 4 —mayúsculas, minúsculas, números y caracteres especiales— y 30 días son ejemplos de laboratorio. Confirme su compatibilidad con la directiva de contraseña local; no debilite esta última para ocultar un error. La documentación de las directivas de Windows LAPS distingue las opciones según la versión del sistema. No aplique indiscriminadamente opciones nuevas de frases de contraseña a equipos antiguos. Revise también las acciones posteriores a la autenticación y su período de gracia antes de probar el acceso: pueden rotar la contraseña y cerrar sesiones. Cambiar solo la antigüedad máxima no obliga a rotar de inmediato una contraseña existente.

Verificar el procesamiento y la recuperación, y retirar la configuración

En FS1, desde Windows PowerShell elevado, actualice la directiva de equipo y solicite su procesamiento. En el Visor de eventos del propio FS1 abra Registros de aplicaciones y servicios → Microsoft → Windows → LAPS → Operational. El canal de DC1 corresponde a su propio comportamiento como cliente LAPS, no reúne los eventos de FS1:

gpupdate /target:computer /force
Invoke-LapsPolicyProcessing

Correlacione los eventos recientes del mismo ciclo, no un éxito antiguo. Según la referencia de eventos de Windows LAPS, 10003 inicia el procesamiento, 10004 indica un ciclo correcto y 10005 un fallo. El 10021 muestra la configuración de AD; compruebe cuenta, destino y cifrado. En la primera actualización, 10018 confirma el guardado en AD y 10020 el cambio de la cuenta local. Invocar el procesamiento no implica rotación en cada ejecución: si la contraseña aún no ha vencido y no hay otro motivo, puede no generarse un nuevo evento de cambio. Ante errores, revise su código y los eventos intermedios antes de reintentar.

Un administrador autorizado puede consultar desde el equipo de administración de AD los metadatos de FS1 con Get-LapsADPassword. La selección siguiente omite la propiedad Password de la salida y no solicita texto sin cifrar. Aun así, el comando consulta información de credenciales: úselo solo en una sesión autorizada, no como recolector general de inventario:

Get-LapsADPassword -Identity 'FS1' | Select-Object ComputerName,Account,PasswordUpdateTime,ExpirationTimestamp,DecryptionStatus

Para este despliegue cifrado se esperan ComputerName FS1, Account labadmin, fechas coherentes de actualización y expiración, y DecryptionStatus Success con una identidad que tenga lectura y descifrado. NotApplicable no demuestra que se haya guardado cifrada la contraseña; Unauthorized indica que la identidad consultante no tiene el descifrado necesario. Si faltan datos o las fechas son antiguas, examine primero los eventos, la identidad usada, el ámbito de la directiva y la réplica de AD, sin ampliar permisos indiscriminadamente. Una consulta correcta no prueba que un usuario sin autorización esté bloqueado: haga una comprobación separada y autorizada con una cuenta de prueba sin esos permisos, sin registrar secretos ni provocar bloqueos de inicio de sesión.

La recuperación real se puede comprobar con la pestaña LAPS de Usuarios y equipos de Active Directory: desde una sesión autorizada, abra el objeto de equipo FS1 → Propiedades → LAPS y verifique el nombre de cuenta y la expiración. Mostrar o copiar la contraseña es una operación distinta que debe realizarse fuera de grabaciones, pantalla compartida y transcripciones; mantenga su uso restringido al destino previsto. Compruebe el acceso a FS1 como FS1\labadmin o .\labadmin, no como AD\labadmin, y tenga en cuenta las acciones posteriores a la autenticación. Recuperar el secreto y poder iniciar sesión son pruebas distintas, porque también influyen el estado de la cuenta y los derechos de inicio de sesión.

Deshabilitar la directiva no recupera una contraseña anterior ni elimina automáticamente las delegaciones de AD. Antes de retirar LAPS, confirme otra vía de administración y el procedimiento para establecer una contraseña nueva, única y verificable cuando la cuenta deje de estar administrada. Quite solo el vínculo Lab-LAPS-Servers y las concesiones creadas para esta práctica, comparándolas con el registro inicial; no elimine grupos, permisos compartidos u objetos que otros equipos necesiten. Si no puede identificar con certeza esas concesiones, mantenga el estado seguro y revise la delegación antes de borrarla. No elimine atributos del esquema ni vuelva a usar una contraseña común en todos los servidores.