Windows Server 2025 / Mengonfigurasi Windows LAPS dengan Active Directory

Windows Local Administrator Password Solution (Windows LAPS), atau solusi pengelolaan kata sandi administrator lokal Windows, membuat dan mengganti kata sandi yang berbeda untuk setiap perangkat serta mendukung pengambilan oleh pihak berwenang. Untuk menyimpannya secara terenkripsi di Active Directory (AD), Anda perlu menyiapkan skema, izin tulis akun komputer, hak baca dan dekripsi, serta kebijakan komputer secara terpisah. Latihan ini mengelola akun lokal labadmin di FS1 tanpa mengubah kata sandi pengguna domain.

Tentukan akun dan periksa prasyarat

FS1 harus berupa server anggota Windows Server 2025 yang sudah bergabung dengan ad.example.test. Objek komputernya berada di unit organisasi (OU) Lab\Servers yang disiapkan dalam pelajaran tentang pengguna, grup, dan OU. Jangan menjalankan pembuatan akun lokal ini pada pengendali domain DC1. Latihan ini juga tidak mengatur kata sandi Directory Services Restore Mode (DSRM), yaitu mode pemulihan layanan direktori. Windows LAPS merupakan bagian dari Windows dan berbeda dari Microsoft LAPS lama dalam skema, kebijakan, serta perintahnya; paket instalasi LAPS lama bukan pengganti langkah-langkah berikut.

• Periksa sistem operasi dan pembaruan FS1 serta komputer administrasi, ketersediaan modul LAPS, dan templat kebijakan yang sesuai.
• Tentukan identitas yang perlu mengambil kata sandi dan batasi keanggotaan GG_LAPSReaders pada identitas tersebut.
• Periksa jalur administrasi dan pemulihan alternatif yang tidak bergantung pada kata sandi yang dikelola.
• Periksa tingkat fungsional domain yang sebenarnya dan prasyarat penyimpanan terenkripsi di AD.

Sebelum mengaktifkan enkripsi, gunakan Get-ADDomain untuk membaca DomainMode: tingkat fungsional domain harus Windows Server 2016 atau lebih baru. Versi sistem operasi FS1 saja tidak membuktikan syarat ini terpenuhi. Jangan menaikkan tingkat fungsional domain produksi hanya untuk mengikuti latihan. Panduan Windows LAPS dengan penyimpanan di AD menjelaskan persyaratannya. Tujuan penyimpanan latihan ini adalah AD lokal, bukan Microsoft Entra ID. Pastikan ada sesi dan jalur administrasi lain yang sudah diperiksa sebelum LAPS mengganti kata sandi labadmin.

Siapkan akun lokal labadmin di FS1

Pada konsol FS1, buka Windows PowerShell 64-bit dengan Run as administrator menggunakan hak administrator lokal, lalu pastikan modul Microsoft.PowerShell.LocalAccounts tersedia dan berfungsi. Jalankan hanya kueri pertama terlebih dahulu. Jika labadmin sudah ada, berhenti dan tinjau penggunaannya; jangan lanjut ke baris pembuatan. Kueri yang gagal juga bukan bukti bahwa akun tidak ada. Lanjutkan secara bertahap hanya setelah ketiadaan akun dipastikan. Read-Host meminta kata sandi awal yang unik sebagai string aman, sehingga Anda tidak perlu menuliskannya dalam kode. Pengenal keamanan (SID) S-1-5-32-544 digunakan untuk menemukan grup Administrators bawaan tanpa bergantung pada bahasa nama grup:

Get-LocalUser -Name 'labadmin' -ErrorAction SilentlyContinue
$initialLocalPassword = Read-Host 'Initial local password' -AsSecureString
New-LocalUser -Name 'labadmin' -Password $initialLocalPassword -Description 'LAPS lab account'
$localAdminGroup = (Get-LocalGroup -SID 'S-1-5-32-544').Name
Add-LocalGroupMember -Group $localAdminGroup -Member "$env:COMPUTERNAME\labadmin"

Buka Computer Management → Local Users and Groups di FS1 untuk memeriksa bahwa labadmin telah dibuat dan menjadi anggota grup administrator lokal. Jika pembuatan gagal, jangan lanjut menambahkan keanggotaan. Latihan ini memakai mode pengelolaan akun manual Windows LAPS: administrator menyiapkan akun dan sifatnya, sedangkan LAPS mengelola kata sandinya. Biarkan pengelolaan akun otomatis nonaktif untuk latihan ini. Mode otomatis adalah pendekatan berbeda yang tersedia mulai Windows Server 2025 dan Windows 11 24H2. Jika nama akun tidak dikonfigurasi, sasaran bawaan adalah akun Administrator bawaan, bukan labadmin.

Siapkan skema dan izin AD yang terbatas

Siapkan AD dari DC1 atau komputer administrasi dengan modul LAPS; perintah grup juga memerlukan modul ActiveDirectory. Periksa konteks domain dan catat delegasi Lab\Servers yang sudah ada sebelum mengubahnya. Update-LapsADSchema menambahkan atribut Windows LAPS pada skema seluruh forest, yaitu cakupan kumpulan domain AD yang berbagi skema. Menghapus tautan kebijakan tidak membatalkan perubahan skema ini. Diperlukan hak perubahan skema seperti yang dimiliki Schema Admins, sedangkan delegasi OU membutuhkan hak tersendiri. Di produksi, rencana perubahan dan pemulihan harus ditetapkan terlebih dahulu. Di lab terisolasi, periksa hasil operasi pertama sebelum melanjutkan ke operasi kedua:

Update-LapsADSchema
Set-LapsADComputerSelfPermission -Identity 'OU=Servers,OU=Lab,DC=ad,DC=example,DC=test'

Baris kedua memberikan izin yang diwariskan agar komputer dalam OU tersebut dapat memperbarui data LAPS miliknya sendiri; izin ini bukan hak bagi sembarang administrator untuk membaca kata sandi. Cakupannya adalah Servers di bawah Lab, bukan akar domain. Sebelum blok berikut, buka Active Directory Users and Computers (dsa.msc) dan periksa apakah GG_LAPSReaders sudah ada. Jalankan New-ADGroup hanya jika grup belum ada, dan berhenti jika gagal. Jika sudah ada, lewati pembuatan dan periksa kegunaannya. Setelah grup dibuat atau dipastikan benar, buka Properties → Members dan tambahkan hanya identitas administrasi yang ditunjuk. Perintah pembuatan menghasilkan grup kosong, bukan grup yang otomatis berisi administrator. Lanjutkan dengan pemberian izin baca dan pemeriksaan. Jangan memasukkan labuser1 atau seluruh pengguna domain hanya demi kemudahan; periksa juga anggota melalui grup bersarang.

New-ADGroup -Name 'GG_LAPSReaders' -GroupCategory Security -GroupScope Global -Path 'OU=LabGroups,OU=Lab,DC=ad,DC=example,DC=test'
Set-LapsADReadPasswordPermission -Identity 'OU=Servers,OU=Lab,DC=ad,DC=example,DC=test' -AllowedPrincipals 'AD\GG_LAPSReaders'
Find-LapsADExtendedRights -Identity 'OU=Servers,OU=Lab,DC=ad,DC=example,DC=test'

Hak baca dan kewenangan dekripsi adalah dua lapisan berbeda; keduanya harus sesuai untuk mengambil kata sandi terenkripsi. Find-LapsADExtendedRights membantu menemukan hak baca atribut rahasia yang terlalu luas, tetapi tidak membuktikan kewenangan dekripsi. Bandingkan hasil dengan rencana izin dan selidiki identitas tak terduga, tanpa menghapus izin umum secara sembarangan. Izin baca juga tidak otomatis memberi hak mengubah waktu kedaluwarsa. Tinjau perintah Windows LAPS untuk PowerShell sebelum mendelegasikan akses. Grup yang dipilih untuk dekripsi harus sudah ada dan dapat dikenali FS1; nama yang tidak valid dapat menggagalkan penyimpanan ke AD.

Terapkan kebijakan hanya pada server uji

1. Di Group Policy Management (gpmc.msc), periksa objek komputer di Lab\Servers. Jika ada server produksi, berhenti dan siapkan cakupan uji terpisah sebelum menyesuaikan jalur perintah. Pada lab yang dimaksud, buat objek kebijakan grup (GPO) Lab-LAPS-Servers dan tautkan hanya ke Lab\Servers.
2. Buka Computer Configuration → Policies → Administrative Templates → System → LAPS. Jika memakai Central Store, periksa LAPS.admx terbaru dan LAPS.adml untuk bahasa yang sesuai. Windows Update tidak otomatis menyalin templat ini ke Central Store.
3. Aktifkan pengaturan direktori pencadangan dan pilih Windows Server Active Directory; nilai ini setara dengan BackupDirectory = 2.
4. Isi nama akun administrator yang dikelola dengan labadmin. Pastikan kebijakan lain tidak mengaktifkan pengelolaan akun otomatis.
5. Aktifkan enkripsi kata sandi dan tetapkan AD\GG_LAPSReaders sebagai prinsipal yang berwenang mendekripsi, tanpa tambahan tanda kutip pada kolom. Hak baca pada OU saja belum cukup.
6. Atur panjang 20, kompleksitas 4, dan usia maksimum 30 hari. Periksa cakupan dan pemfilteran keamanan agar FS1 menerima kebijakan komputer; jangan memaksakan penerapan ke seluruh domain.

Panjang 20 karakter, kompleksitas 4 —huruf besar, huruf kecil, angka, dan karakter khusus— serta usia maksimum 30 hari hanyalah contoh lab. Periksa kesesuaiannya dengan kebijakan kata sandi lokal; jangan melemahkan kebijakan lokal untuk menyembunyikan kegagalan. Dokumentasi pengaturan kebijakan Windows LAPS membedakan dukungan menurut versi sistem operasi. Opsi frasa sandi yang lebih baru tidak boleh diterapkan begitu saja ke perangkat lama. Tinjau pula tindakan setelah autentikasi dan masa tenggang sebelum menguji login: tindakan tersebut dapat mengganti kata sandi dan mengakhiri sesi. Mengubah usia maksimum saja tidak memaksa kata sandi yang ada langsung diganti.

Periksa pemrosesan dan pemulihan serta penghentian konfigurasi

Di FS1, buka Windows PowerShell sebagai administrator, perbarui kebijakan komputer, lalu minta pemrosesan LAPS. Pada Event Viewer milik FS1, buka Applications and Services Logs → Microsoft → Windows → LAPS → Operational. Kanal LAPS pada DC1 mencatat perilaku DC1 sendiri sebagai klien LAPS, bukan mengumpulkan kejadian FS1:

gpupdate /target:computer /force
Invoke-LapsPolicyProcessing

Cocokkan kejadian terbaru dalam siklus yang sama, bukan sekadar menemukan keberhasilan lama. Menurut referensi kejadian Windows LAPS, 10003 memulai pemrosesan, 10004 menandai siklus berhasil, dan 10005 menandai kegagalan. Kejadian 10021 menunjukkan konfigurasi AD; periksa akun, tujuan penyimpanan, dan enkripsi. Pada pembaruan pertama, 10018 mengonfirmasi penyimpanan ke AD dan 10020 perubahan akun lokal. Meminta pemrosesan tidak selalu mengganti kata sandi setiap kali: jika belum kedaluwarsa dan tidak ada pemicu lain, kejadian perubahan baru mungkin tidak muncul. Jika gagal, periksa kode kesalahan dan kejadian di antaranya sebelum mencoba kembali.

Administrator berwenang dapat memakai Get-LapsADPassword dari komputer administrasi AD untuk memeriksa metadata FS1. Pemilihan properti berikut tidak menampilkan Password dan tidak meminta keluaran kata sandi teks biasa. Namun, perintahnya tetap mengueri informasi kredensial; gunakan hanya dalam sesi yang diotorisasi, bukan untuk pengumpulan inventaris umum:

Get-LapsADPassword -Identity 'FS1' | Select-Object ComputerName,Account,PasswordUpdateTime,ExpirationTimestamp,DecryptionStatus

Untuk konfigurasi terenkripsi ini, hasil yang diharapkan adalah ComputerName FS1, Account labadmin, waktu pembaruan dan kedaluwarsa yang masuk akal, serta DecryptionStatus Success saat identitas memiliki hak baca dan dekripsi. NotApplicable bukan bukti bahwa kata sandi disimpan terenkripsi; Unauthorized menunjukkan identitas pengueri tidak memiliki kewenangan dekripsi yang diperlukan. Jika data tidak ada atau waktunya sudah lama, periksa kejadian, identitas sesi, cakupan kebijakan, dan replikasi AD terlebih dahulu tanpa memperluas izin secara massal. Keberhasilan akses berwenang juga tidak membuktikan pengguna lain ditolak. Periksa batas akses secara terpisah dan dengan izin menggunakan akun uji tanpa hak tersebut, tanpa merekam rahasia atau memicu penguncian melalui percobaan login gagal.

Untuk memeriksa pemulihan yang sebenarnya, gunakan tab LAPS di Active Directory Users and Computers. Dalam sesi berwenang, buka objek komputer FS1 → Properties → LAPS dan periksa nama akun serta waktu kedaluwarsa. Menampilkan atau menyalin kata sandi merupakan langkah rahasia tersendiri yang harus dilakukan di luar berbagi layar, rekaman, dan transkrip; batasi penggunaannya pada akses yang ditentukan. Periksa login pada FS1 sebagai FS1\labadmin atau .\labadmin, bukan AD\labadmin, sambil mempertimbangkan tindakan setelah autentikasi. Pengambilan kata sandi dan login yang berhasil adalah pemeriksaan terpisah, karena status akun dan hak login juga memengaruhi hasil.

Menonaktifkan kebijakan tidak mengembalikan kata sandi lama ataupun menghapus delegasi AD secara otomatis. Sebelum menghentikan LAPS, pastikan jalur administrasi alternatif berfungsi dan rencanakan penetapan serta pemeriksaan kata sandi baru yang unik setelah akun tidak lagi dikelola. Hapus hanya tautan Lab-LAPS-Servers dan izin yang khusus ditambahkan untuk latihan, dengan membandingkannya terhadap catatan awal. Jangan menghapus grup atau izin bersama yang masih diperlukan perangkat lain. Jika izin yang ditambahkan tidak dapat diidentifikasi dengan pasti, pertahankan keadaan aman dan tinjau delegasi sebelum menghapusnya. Jangan menghapus atribut skema atau mengembalikan semua server ke satu kata sandi bersama.