Windows Server 2025 / Configurare Windows LAPS con Active Directory

Windows Local Administrator Password Solution (Windows LAPS), la soluzione Windows per le password degli amministratori locali, genera e rinnova una password distinta per ciascun dispositivo e ne consente il recupero autorizzato. Per salvarla in forma crittografata in Active Directory (AD), occorre preparare separatamente schema, autorizzazioni di scrittura del computer, diritti di lettura e decrittografia e criteri del computer. Questa esercitazione gestisce l’account locale labadmin di FS1 senza modificare le password degli utenti del dominio.

Scegliere l’account e verificare i requisiti

FS1 deve essere un server membro con Windows Server 2025 già aggiunto ad ad.example.test. Il suo oggetto computer deve trovarsi nell’unità organizzativa (OU) Lab\Servers preparata nella lezione su utenti, gruppi e OU. La creazione di questo account locale non va eseguita sul controller di dominio DC1; non si sta configurando neppure la password della modalità di ripristino dei servizi directory (DSRM). Windows LAPS è integrato in Windows e usa schema, criteri e comandi diversi da Microsoft LAPS legacy: il vecchio pacchetto di installazione non sostituisce i passaggi seguenti.

• Controllare sistema operativo e aggiornamenti di FS1 e del computer di amministrazione, il modulo LAPS e i modelli dei criteri aggiornati.
• Individuare chi deve recuperare le password e limitare GG_LAPSReaders alle sole identità designate.
• Verificare un percorso alternativo di amministrazione e recupero che non dipenda dalla password gestita.
• Verificare il livello funzionale effettivo del dominio e i requisiti del backup crittografato in AD.

Prima di abilitare la crittografia, controllare con Get-ADDomain la proprietà DomainMode: il livello funzionale del dominio deve essere Windows Server 2016 o successivo. La sola versione del sistema operativo di FS1 non dimostra che il requisito sia soddisfatto. Non alzare il livello funzionale di un dominio di produzione soltanto per questa esercitazione. Lo scenario Microsoft per Windows LAPS con backup in AD illustra i requisiti. Qui la destinazione è AD locale, non Microsoft Entra ID. Verificare una sessione e un percorso alternativi di amministrazione e recupero prima che LAPS cambi la password di labadmin.

Preparare l’account locale labadmin su FS1

Dalla console di FS1, aprire Windows PowerShell a 64 bit come amministratore locale e verificare che il modulo Microsoft.PowerShell.LocalAccounts sia disponibile e funzionante. Eseguire prima soltanto la query. Se labadmin esiste già, fermarsi e controllarne l’uso prima delle righe di creazione. Anche una query fallita non dimostra l’assenza dell’account. Continuare per fasi solo dopo aver verificato che manca. Read-Host richiede una password iniziale univoca come stringa sicura, evitando di scriverla nel codice. L’identificatore di sicurezza (SID) S-1-5-32-544 individua il gruppo Administrators integrato indipendentemente dal nome tradotto:

Get-LocalUser -Name 'labadmin' -ErrorAction SilentlyContinue
$initialLocalPassword = Read-Host 'Initial local password' -AsSecureString
New-LocalUser -Name 'labadmin' -Password $initialLocalPassword -Description 'LAPS lab account'
$localAdminGroup = (Get-LocalGroup -SID 'S-1-5-32-544').Name
Add-LocalGroupMember -Group $localAdminGroup -Member "$env:COMPUTERNAME\labadmin"

In Gestione computer → Utenti e gruppi locali verificare che labadmin esista su FS1 e appartenga al gruppo degli amministratori locali. Se la creazione fallisce, non continuare con l’aggiunta al gruppo. Si usa la modalità di gestione manuale degli account di Windows LAPS: l’amministratore crea l’account e ne gestisce le caratteristiche, mentre LAPS ne gestisce la password. Lasciare disabilitata la gestione automatica per questa prova. È una modalità distinta, disponibile da Windows Server 2025 e Windows 11 24H2. Se il nome dell’account non viene configurato, il destinatario predefinito è l’amministratore integrato, non labadmin.

Preparare lo schema e limitare le autorizzazioni AD

Preparare AD da DC1 o da un computer di amministrazione con il modulo LAPS e, per i comandi dei gruppi, il modulo ActiveDirectory. Verificare il dominio e registrare le deleghe esistenti di Lab\Servers prima di modificarle. Update-LapsADSchema aggiunge gli attributi Windows LAPS allo schema dell’intera foresta. Eliminare il collegamento di un criterio non annulla questa modifica. Occorrono autorizzazioni di modifica dello schema, come quelle di Schema Admins, mentre la delega sulla OU richiede diritti propri. In produzione è necessario predisporre il piano di modifica e recupero. Nel laboratorio isolato verificare l’esito della prima operazione prima di eseguire la seconda:

Update-LapsADSchema
Set-LapsADComputerSelfPermission -Identity 'OU=Servers,OU=Lab,DC=ad,DC=example,DC=test'

La seconda riga concede autorizzazioni ereditabili affinché i computer della OU aggiornino i propri dati LAPS; non concede a qualsiasi amministratore il diritto di leggere le password. L’ambito è Servers dentro Lab, non la radice del dominio. Prima del blocco seguente, aprire Utenti e computer di Active Directory (dsa.msc) e verificare se GG_LAPSReaders esiste. Eseguire New-ADGroup solo se manca e fermarsi in caso di errore; se esiste, saltare la creazione e controllarne lo scopo. Una volta creato o verificato il gruppo, aprire Proprietà → Membri e aggiungere esclusivamente le identità amministrative designate. Il comando crea un gruppo vuoto, senza aggiungere automaticamente membri. Procedere quindi con la concessione della lettura e la query. Non includere labuser1 o tutti gli utenti del dominio per comodità e verificare anche i membri dei gruppi annidati.

New-ADGroup -Name 'GG_LAPSReaders' -GroupCategory Security -GroupScope Global -Path 'OU=LabGroups,OU=Lab,DC=ad,DC=example,DC=test'
Set-LapsADReadPasswordPermission -Identity 'OU=Servers,OU=Lab,DC=ad,DC=example,DC=test' -AllowedPrincipals 'AD\GG_LAPSReaders'
Find-LapsADExtendedRights -Identity 'OU=Servers,OU=Lab,DC=ad,DC=example,DC=test'

La lettura e la decrittografia sono autorizzazioni separate: per recuperare una password crittografata devono essere entrambe appropriate. Find-LapsADExtendedRights aiuta a individuare diritti troppo ampi sugli attributi riservati, ma non dimostra da solo il diritto di decrittografare. Confrontare il risultato con le autorizzazioni previste e chiarire eventuali identità inattese senza rimuovere indiscriminatamente diritti generali. Il diritto di lettura non concede automaticamente quello di cambiare la scadenza. Consultare i comandi PowerShell di Windows LAPS prima di cambiare la delega. Il gruppo scelto per la decrittografia deve esistere ed essere risolvibile da FS1; un nome non valido può impedire il salvataggio in AD.

Applicare il criterio soltanto ai server di test

1. Aprire Gestione Criteri di gruppo (gpmc.msc) e controllare gli oggetti computer in Lab\Servers. Se comprende server di produzione, fermarsi e preparare un ambito di test separato prima di adattare i percorsi dei comandi. Nel laboratorio previsto creare l’oggetto Criteri di gruppo (GPO) Lab-LAPS-Servers e collegarlo solo a Lab\Servers.
2. Nell’editor aprire Configurazione computer → Criteri → Modelli amministrativi → Sistema → LAPS. Se si usa un archivio centrale, controllare LAPS.admx aggiornato e LAPS.adml della lingua corretta: Windows Update non li copia automaticamente nell’archivio centrale.
3. Abilitare l’impostazione della directory di backup e selezionare Windows Server Active Directory, equivalente a BackupDirectory = 2.
4. Configurare labadmin come nome dell’account amministratore gestito. Verificare che nessun altro criterio abiliti la gestione automatica degli account.
5. Abilitare la crittografia delle password e impostare AD\GG_LAPSReaders come entità autorizzata alla decrittografia, senza aggiungere virgolette nel campo. Il solo accesso in lettura alla OU non basta.
6. Nelle impostazioni della password specificare lunghezza 20, complessità 4 e durata massima 30 giorni. Verificare ambito e filtro di sicurezza perché FS1 riceva i criteri del computer, senza forzare un collegamento all’intero dominio.

Lunghezza 20 caratteri, complessità 4 (maiuscole, minuscole, numeri e caratteri speciali) e durata massima 30 giorni sono valori dimostrativi. Controllarne la compatibilità con i criteri locali delle password senza indebolirli per aggirare un errore. La documentazione dei criteri Windows LAPS specifica le condizioni legate alla versione del sistema. Non applicare senza verifica le nuove opzioni per le passphrase a dispositivi più vecchi. Prima di provare l’accesso, controllare anche le azioni successive all’autenticazione e il periodo di tolleranza: possono cambiare la password e disconnettere le sessioni. Modificare soltanto la durata massima non forza la rotazione immediata della password esistente.

Verificare elaborazione e recupero e ritirare la configurazione

Su FS1, da Windows PowerShell con privilegi elevati, aggiornare i criteri del computer e richiedere l’elaborazione LAPS. Nel Visualizzatore eventi dello stesso FS1 aprire Registri applicazioni e servizi → Microsoft → Windows → LAPS → Operational. Il canale di DC1 descrive il comportamento di DC1 come client LAPS, non raccoglie gli eventi di FS1:

gpupdate /target:computer /force
Invoke-LapsPolicyProcessing

Correlare gli eventi recenti dello stesso ciclo, senza fermarsi a un vecchio messaggio di riuscita. Secondo la guida agli eventi Windows LAPS, 10003 avvia l’elaborazione, 10004 segnala un ciclo riuscito e 10005 un errore. Il 10021 mostra la configurazione AD: controllare account, destinazione e crittografia. Al primo aggiornamento, 10018 conferma il salvataggio in AD e 10020 la modifica dell’account locale. Richiedere l’elaborazione non significa cambiare la password a ogni esecuzione: se non è scaduta e non esistono altri motivi di rotazione, un nuovo evento di modifica può non apparire. In caso di errore esaminare il codice e gli eventi intermedi prima di riprovare.

Un amministratore autorizzato può controllare i metadati di FS1 dal computer di amministrazione AD con Get-LapsADPassword. La selezione seguente esclude Password dall’output e non richiede il testo in chiaro. Il comando interroga comunque informazioni sulle credenziali: usarlo esclusivamente in una sessione autorizzata, non in una raccolta generica di inventario:

Get-LapsADPassword -Identity 'FS1' | Select-Object ComputerName,Account,PasswordUpdateTime,ExpirationTimestamp,DecryptionStatus

Per questa configurazione crittografata sono attesi ComputerName FS1, Account labadmin, date di aggiornamento e scadenza coerenti e DecryptionStatus Success con un’identità dotata di lettura e decrittografia. NotApplicable non dimostra il salvataggio crittografato; Unauthorized indica che l’identità della query non ha la necessaria autorizzazione di decrittografia. Se mancano dati o le date sono vecchie, verificare prima eventi, identità, ambito del criterio e replica AD, senza ampliare indiscriminatamente i diritti. Un recupero autorizzato riuscito non prova che gli altri utenti siano esclusi. Verificare separatamente e con autorizzazione i limiti di accesso mediante un account di test privo di quei diritti, senza registrare segreti o provocare blocchi tramite accessi falliti.

Per una verifica del recupero effettivo si può usare la scheda LAPS di Utenti e computer di Active Directory. Da una sessione autorizzata aprire l’oggetto computer FS1 → Proprietà → LAPS e controllare nome dell’account e scadenza. Mostrare o copiare la password è un passaggio riservato distinto, da eseguire fuori da registrazioni, condivisioni dello schermo e trascrizioni, limitandone l’uso all’accesso previsto. Provare l’accesso su FS1 come FS1\labadmin o .\labadmin, non AD\labadmin, considerando le azioni successive all’autenticazione. Recupero della password e accesso riuscito sono verifiche separate, perché intervengono anche stato dell’account e diritti di accesso.

Disabilitare il criterio non ripristina una vecchia password né rimuove automaticamente le deleghe AD. Prima di ritirare LAPS, verificare un accesso amministrativo alternativo e predisporre una nuova password univoca da impostare e controllare quando l’account non sarà più gestito. Rimuovere soltanto il collegamento Lab-LAPS-Servers e le autorizzazioni aggiunte per questa esercitazione, confrontandole con il registro iniziale. Non eliminare gruppi o diritti condivisi necessari ad altri dispositivi. Se non è possibile identificare con certezza le concessioni interessate, mantenere la configurazione sicura e riesaminare la delega prima di rimuoverla. Non eliminare gli attributi dello schema e non assegnare la stessa password a tutti i server.