Windows Server 2025 / Windows LAPS mit Active Directory konfigurieren

Windows Local Administrator Password Solution (Windows LAPS), die Windows-Lösung für lokale Administratorkennwörter, erzeugt und erneuert für jedes Gerät ein eigenes Kennwort und ermöglicht dessen autorisierten Abruf. Für eine verschlüsselte Sicherung in Active Directory (AD) müssen Schema, Schreibrechte des Computerkontos, Lese- und Entschlüsselungsrechte sowie die Computerrichtlinie getrennt vorbereitet werden. In dieser Übung verwaltet LAPS das lokale Konto labadmin auf FS1; die Kennwörter der Domänenbenutzer werden dadurch nicht geändert.

Konto und Voraussetzungen festlegen

Vorausgesetzt wird FS1 als Mitgliedsserver mit Windows Server 2025 in der Domäne ad.example.test. Sein Computerobjekt muss in der Organisationseinheit (OU) Lab\Servers liegen, die in der Lektion zu Benutzern, Gruppen und OUs vorbereitet wurde. Führen Sie die lokale Kontoverwaltung nicht auf dem Domänencontroller DC1 aus. Die Verwaltung des Kennworts für den Verzeichnisdienst-Wiederherstellungsmodus (DSRM) ist ebenfalls nicht Gegenstand dieser Übung. Windows LAPS ist Bestandteil von Windows und unterscheidet sich vom älteren Microsoft LAPS in Schema, Richtlinien und Befehlen; dessen altes Installationspaket ersetzt die folgenden Schritte nicht.

• Prüfen Sie Betriebssystem und Updates auf FS1 und dem Verwaltungscomputer sowie das LAPS-Modul und die aktuellen Richtlinienvorlagen.
• Legen Sie die zum Kennwortabruf berechtigten Verwaltungsidentitäten fest und beschränken Sie GG_LAPSReaders auf diesen Kreis.
• Prüfen Sie einen weiteren Verwaltungs- und Wiederherstellungsweg, der nicht vom verwalteten Kennwort abhängt.
• Prüfen Sie die tatsächliche Domänenfunktionsebene und die Voraussetzungen für verschlüsselte AD-Sicherung.

Lesen Sie vor dem Aktivieren der Verschlüsselung mit Get-ADDomain die Eigenschaft DomainMode: Erforderlich ist die Domänenfunktionsebene Windows Server 2016 oder höher. Die Betriebssystemversion von FS1 allein belegt das nicht. Erhöhen Sie die Funktionsebene einer produktiven Domäne nicht allein für diese Übung. Das Microsoft-Szenario für Windows LAPS mit AD-Sicherung erläutert die Voraussetzungen. Gesichert wird hier in der lokalen AD-Umgebung, nicht in Microsoft Entra ID. Prüfen Sie einen zweiten Verwaltungs- und Wiederherstellungsweg, bevor LAPS das Kennwort von labadmin ändert.

Das lokale Konto labadmin auf FS1 vorbereiten

Öffnen Sie an der Konsole von FS1 die 64-Bit-Version von Windows PowerShell als lokaler Administrator und prüfen Sie die Verfügbarkeit des Moduls Microsoft.PowerShell.LocalAccounts. Führen Sie zunächst nur die erste Abfrage aus. Existiert labadmin bereits, halten Sie an und klären Sie seine Verwendung, statt die Erstellungszeilen auszuführen. Auch eine fehlgeschlagene Abfrage beweist nicht, dass das Konto fehlt. Nur wenn das Fehlen bestätigt ist, fahren Sie schrittweise fort. Read-Host fragt ein eindeutiges Anfangskennwort als sichere Zeichenfolge ab; schreiben Sie es nicht in den Code. Über die Sicherheitskennung (SID) S-1-5-32-544 wird die integrierte Administratorengruppe unabhängig vom übersetzten Gruppennamen gefunden:

Get-LocalUser -Name 'labadmin' -ErrorAction SilentlyContinue
$initialLocalPassword = Read-Host 'Initial local password' -AsSecureString
New-LocalUser -Name 'labadmin' -Password $initialLocalPassword -Description 'LAPS lab account'
$localAdminGroup = (Get-LocalGroup -SID 'S-1-5-32-544').Name
Add-LocalGroupMember -Group $localAdminGroup -Member "$env:COMPUTERNAME\labadmin"

Kontrollieren Sie anschließend unter Computerverwaltung → Lokale Benutzer und Gruppen, dass labadmin auf FS1 existiert und Mitglied der lokalen Administratorengruppe ist. Schlägt die Erstellung fehl, fahren Sie nicht mit dem Hinzufügen zur Gruppe fort. Hier wird die manuelle Kontoverwaltung von Windows LAPS verwendet: Der Administrator legt das Konto und seine Eigenschaften an, LAPS verwaltet das Kennwort. Lassen Sie die automatische Kontoverwaltung für diese Übung deaktiviert. Sie ist ein anderes Verfahren und wird erst ab Windows Server 2025 beziehungsweise Windows 11 24H2 unterstützt. Ein nicht konfigurierter Kontoname würde auf den integrierten Administrator statt auf labadmin zielen.

Schema und begrenzte AD-Berechtigungen vorbereiten

Bereiten Sie AD auf DC1 oder einem Verwaltungscomputer mit dem Modul LAPS und für die Gruppenbefehle zusätzlich dem Modul ActiveDirectory vor. Prüfen Sie den Domänenkontext und dokumentieren Sie die bisherigen Delegierungen von Lab\Servers. Update-LapsADSchema erweitert das Schema der gesamten Gesamtstruktur um die Windows-LAPS-Attribute. Das Entfernen einer Richtlinienverknüpfung macht diese Änderung nicht rückgängig. Für Schemaänderungen sind entsprechende Rechte erforderlich, etwa die von Schema Admins; OU-Delegierungen erfordern gesonderte Berechtigungen. In produktiven Umgebungen müssen Änderungs- und Wiederherstellungsplan vorliegen. Prüfen Sie im isolierten Labor das Ergebnis der ersten Operation, bevor Sie die zweite ausführen:

Update-LapsADSchema
Set-LapsADComputerSelfPermission -Identity 'OU=Servers,OU=Lab,DC=ad,DC=example,DC=test'

Die zweite Zeile erteilt vererbbare Rechte, damit Computer innerhalb dieser OU ihre eigenen LAPS-Daten aktualisieren können. Sie erlaubt beliebigen Administratoren nicht, Kennwörter zu lesen. Der Bereich ist Servers unter Lab, nicht die Domänenwurzel. Prüfen Sie vor dem nächsten Block in Active Directory-Benutzer und -Computer (dsa.msc), ob GG_LAPSReaders vorhanden ist. Führen Sie New-ADGroup nur aus, wenn die Gruppe fehlt, und halten Sie bei Fehlern an. Besteht sie bereits, überspringen Sie die Erstellung und prüfen ihren Zweck. Öffnen Sie danach Eigenschaften → Mitglieder und fügen Sie ausschließlich die vorgesehenen Verwaltungsidentitäten hinzu; der Erstellungsbefehl legt nur eine leere Gruppe an. Anschließend können Sie das Leserecht vergeben und das Ergebnis abfragen. Weder labuser1 noch sämtliche Domänenbenutzer gehören aus Bequemlichkeit in diese Gruppe; prüfen Sie auch verschachtelte Mitgliedschaften.

New-ADGroup -Name 'GG_LAPSReaders' -GroupCategory Security -GroupScope Global -Path 'OU=LabGroups,OU=Lab,DC=ad,DC=example,DC=test'
Set-LapsADReadPasswordPermission -Identity 'OU=Servers,OU=Lab,DC=ad,DC=example,DC=test' -AllowedPrincipals 'AD\GG_LAPSReaders'
Find-LapsADExtendedRights -Identity 'OU=Servers,OU=Lab,DC=ad,DC=example,DC=test'

Leserecht und Entschlüsselungsbefugnis sind getrennt: Für den Abruf eines verschlüsselten Kennworts müssen beide passen. Find-LapsADExtendedRights hilft, unerwartet weitreichende Rechte zum Lesen vertraulicher Attribute zu erkennen; es bestätigt nicht allein die Entschlüsselungsbefugnis. Vergleichen Sie die Ausgabe mit dem Berechtigungsplan und klären Sie unbekannte Einträge, statt allgemeine Rechte ungeprüft zu entfernen. Das Leserecht erteilt auch nicht automatisch die Befugnis, den Ablaufzeitpunkt zu ändern. Prüfen Sie vor Änderungen die Windows-LAPS-Befehle für PowerShell. Die als Entschlüsselungsberechtigter vorgesehene Gruppe muss existieren und von FS1 aufgelöst werden können; ein ungültiger Name kann die Sicherung in AD verhindern.

Die Richtlinie auf die Testserver beschränken

1. Öffnen Sie die Gruppenrichtlinienverwaltung (gpmc.msc) und prüfen Sie die Computerobjekte unter Lab\Servers. Sind dort produktive Server vorhanden, halten Sie an und bereiten einen getrennten Testbereich vor; erst danach dürfen die Pfade angepasst werden. Erstellen Sie im vorgesehenen Labor das Gruppenrichtlinienobjekt (GPO) Lab-LAPS-Servers und verknüpfen Sie es nur mit Lab\Servers.
2. Öffnen Sie im Editor Computerkonfiguration → Richtlinien → Administrative Vorlagen → System → LAPS. Prüfen Sie bei einem zentralen Speicher die aktuelle LAPS.admx und die passende sprachabhängige LAPS.adml. Windows Update kopiert diese Dateien nicht automatisch in den zentralen Speicher.
3. Aktivieren Sie die Einstellung für das Sicherungsverzeichnis und wählen Sie Windows Server Active Directory. Das entspricht BackupDirectory = 2.
4. Tragen Sie als Namen des verwalteten Administratorkontos labadmin ein. Prüfen Sie, dass keine andere Richtlinie die automatische Kontoverwaltung aktiviert.
5. Aktivieren Sie die Kennwortverschlüsselung und legen Sie AD\GG_LAPSReaders als berechtigten Entschlüsselungsprinzipal fest, ohne zusätzliche Anführungszeichen im Eingabefeld. Das Leserecht auf der OU allein reicht nicht.
6. Konfigurieren Sie Kennwortlänge 20, Komplexität 4 und maximales Alter 30 Tage. Prüfen Sie Bereich und Sicherheitsfilterung, damit FS1 die Computereinstellungen erhält; erzwingen Sie keine domänenweite Verknüpfung.

Länge 20, Komplexität 4 —Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen— sowie 30 Tage sind Laborwerte, keine allgemeingültige Vorgabe. Prüfen Sie die Kompatibilität mit der lokalen Kennwortrichtlinie, ohne diese zum Umgehen von Fehlern abzuschwächen. Die Dokumentation der Windows-LAPS-Richtlinieneinstellungen beschreibt die Versionsbedingungen. Neuere Passphrasenoptionen dürfen nicht ungeprüft auf ältere Geräte übertragen werden. Prüfen Sie vor einer Anmeldung auch die Aktionen nach der Authentifizierung und deren Karenzzeit: Sie können das Kennwort erneuern und Sitzungen abmelden. Eine Änderung des maximalen Kennwortalters allein erzwingt keine sofortige Erneuerung eines vorhandenen Kennworts.

Verarbeitung und Kennwortabruf prüfen und die Einrichtung zurücknehmen

Aktualisieren Sie auf FS1 in einer erhöhten Windows-PowerShell-Sitzung die Computerrichtlinie und stoßen Sie die Verarbeitung an. Öffnen Sie in der Ereignisanzeige von FS1 Anwendungs- und Dienstprotokolle → Microsoft → Windows → LAPS → Operational. Der entsprechende Kanal auf DC1 beschreibt dessen eigenes Verhalten als LAPS-Client und sammelt nicht die Ereignisse von FS1:

gpupdate /target:computer /force
Invoke-LapsPolicyProcessing

Ordnen Sie zeitlich zusammengehörige aktuelle Ereignisse demselben Zyklus zu. Laut Windows-LAPS-Ereignisreferenz beginnt 10003 die Verarbeitung, 10004 meldet Erfolg und 10005 einen Fehler. 10021 zeigt die AD-Konfiguration; prüfen Sie Konto, Sicherungsziel und Verschlüsselung. Bei der ersten Aktualisierung bestätigt 10018 die Sicherung in AD und 10020 die Änderung des lokalen Kontos. Das Anstoßen der Verarbeitung erneuert nicht zwangsläufig jedes Mal das Kennwort: Ist es noch nicht abgelaufen und besteht kein anderer Anlass, kann ein neues Änderungsereignis ausbleiben. Prüfen Sie bei Fehlern den Code und die dazwischenliegenden Ereignisse vor einem erneuten Versuch.

Ein berechtigter Administrator kann vom AD-Verwaltungscomputer mit Get-LapsADPassword die Metadaten für FS1 prüfen. Die folgende Auswahl lässt die Eigenschaft Password weg und fordert keine Klartextausgabe an. Der Befehl fragt dennoch Anmeldeinformationen ab und gehört deshalb nur in eine autorisierte Sitzung, nicht in eine allgemeine Inventarisierung:

Get-LapsADPassword -Identity 'FS1' | Select-Object ComputerName,Account,PasswordUpdateTime,ExpirationTimestamp,DecryptionStatus

Erwartet werden für diese verschlüsselte Bereitstellung ComputerName FS1, Account labadmin, schlüssige Aktualisierungs- und Ablaufzeiten sowie DecryptionStatus Success unter einer Identität mit Lese- und Entschlüsselungsrecht. NotApplicable belegt keine verschlüsselte Speicherung; Unauthorized weist auf fehlende Entschlüsselungsbefugnis der abfragenden Identität hin. Fehlen Daten oder sind die Zeiten veraltet, prüfen Sie zuerst Ereignisse, verwendete Identität, Richtlinienbereich und AD-Replikation, statt die Rechte pauschal auszuweiten. Ein erfolgreicher autorisierter Abruf beweist nicht die Zugriffssperre für andere Benutzer. Prüfen Sie diese getrennt und mit Erlaubnis unter einem entsprechend unberechtigten Testkonto, ohne Geheimnisse zu protokollieren oder durch Anmeldefehler Konten zu sperren.

Für eine tatsächliche Wiederherstellungsprüfung steht die LAPS-Registerkarte in Active Directory-Benutzer und -Computer zur Verfügung. Öffnen Sie unter einer berechtigten Identität das Computerobjekt FS1 → Eigenschaften → LAPS und prüfen Sie Kontoname und Ablaufzeit. Das Anzeigen oder Kopieren des Kennworts ist ein eigener, vertraulicher Schritt außerhalb von Bildschirmfreigaben, Aufzeichnungen und Transkripten. Verwenden Sie es ausschließlich für den vorgesehenen Zugriff. Melden Sie sich auf FS1 als FS1\labadmin oder .\labadmin an, nicht als AD\labadmin, und beachten Sie die Aktionen nach der Authentifizierung. Der Kennwortabruf und die erfolgreiche Anmeldung sind getrennte Prüfungen, denn auch Kontostatus und Anmelderechte beeinflussen das Ergebnis.

Das Deaktivieren der Richtlinie stellt weder ein altes Kennwort noch frühere AD-Delegierungen automatisch wieder her. Prüfen Sie vor der Stilllegung einen anderen Verwaltungszugang und planen Sie ein neues eindeutiges Kennwort, das nach Ende der Verwaltung gesetzt und überprüft werden kann. Entfernen Sie nur die Verknüpfung Lab-LAPS-Servers und die für diese Übung neu eingerichteten Berechtigungen im Vergleich zur Ausgangsdokumentation. Löschen Sie keine Gruppen oder gemeinsam benötigten Rechte anderer Geräte. Lassen sich die betreffenden Einträge nicht eindeutig zuordnen, behalten Sie zunächst den sicheren Zustand bei und prüfen die Delegierung. Schemaattribute dürfen nicht entfernt und Server nicht auf ein gemeinsames Kennwort zurückgesetzt werden.