دليل Windows LAPS العمليّ ── التخلّي عن كلمة مرور مدير محلّيّ مشتركة لكلّ الحواسيب

في تجهيز الحواسيب اختصار قديم لا يختفي تماماً: حرق كلمة مرور مدير محلّيّ مشتركة في صورة المرجع ونشرها على كلّ جهاز. كإجراء يبدو معقولاً تماماً — عند الحاجة إلى الصيانة تسجّلون الدخول بتلك الكلمة. غير أنّ هذا التكوين صار من أوّل ما يستهدفه المهاجمون، لأنّه يعادل إنتاج مفتاح رئيسيّ واحد بالجملة: اختراق جهاز واحد يعني عمليّاً اختراق الجميع.

يستهدف المقال موظّفي تقنيّة المعلومات في المنشآت الصغيرة والمتوسّطة، والمطوّرين الذين يتولّون تجهيز الحواسيب والصيانة. يرتّب لماذا كلمة مرور مدير محلّيّ مشتركة خطرة، ثمّ، استناداً إلى مصادر أوّليّة حتّى أغسطس 2026، يشرح آليّة الحلّ المضمَّن في نظام التشغيل — Windows LAPS (Local Administrator Password Solution) — وكيف تختارون تكويناً لكلّ بيئة، وإجراء النشر، ومطبّات التشغيل. وهو الحلقة التالية في سلسلة أمن نظم المعلومات بعد BitLocker وإهمال WSUS وجدار الحماية ومخزن الشهادات.

1. الخلاصة أوّلاً

• كلمة مرور مدير محلّيّ مشتركة لكلّ الحواسيب مرتع للحركة الجانبيّة (lateral movement) تنشر اختراق جهاز واحد إلى الجميع. إن كانت كلمة المرور نفسها في كلّ مكان، فتجزئة NTLM نفسها أيضاً — استخرج التجزئة من جهاز واحد فيمرّ المهاجم بـ Pass-the-Hash إلى البقيّة.¹
• Windows LAPS ميزة نظام تشغيل مضمَّنة تعشّئ كلمة مرور المدير المحلّيّ لكلّ جهاز وتدوّرها تلقائيّاً. تعدّ Microsoft الحماية من Pass-the-Hash والحركة الجانبيّة أوّل فائدة لها.¹
• مضمَّن في Windows 10/11 بدءاً من تحديث 11 أبريل 2023، وفي Windows Server 2019/2022 وما بعده. بخلاف LAPS القديم (الموزَّع كـ MSI)، لا تثبيت إضافيّ. أُهمل LAPS القديم اعتباراً من Windows 11 23H2.¹
• تُحفظ كلمة المرور في Active Directory أو Microsoft Entra ID — أحدهما لا كلاهما. أجهزة انضمام النطاق فقط تحفظ في AD، وأجهزة انضمام Entra فقط تحفظ في Entra ID، وأجهزة الانضمام الهجين تختار أحدهما. لا يُستخدم على أجهزة مجموعة العمل غير المنضمّة لأيّ منهما.¹
• افتراضيّاً لا يحدث شيء. القيمة الافتراضيّة لـ BackupDirectory هي «معطَّل»، فلا يبدأ Windows LAPS العمل إلا بعد ضبط سياسة (GPO أو Intune/CSP) تسمّي وجهة الحفظ صراحة.²
• حفظ AD يحتاج ثلاث تجهيزات مسبقة: توسيع المخطّط (Update-LapsADSchema)، منح الحواسيب إذن الكتابة على سمة كلمة مرورها (Set-LapsADComputerSelfPermission)، وتصميم أذون القراءة (Set-LapsADReadPasswordPermission).³
• استرجعوا كلمة المرور بـ Get-LapsADPassword / Get-LapsAADPassword، وأجبروا تطبيق السياسة فوراً بـ Invoke-LapsPolicyProcessing، وأطلقوا تدويراً فوريّاً على الجهاز نفسه بـ Reset-LapsPassword.⁴
• كلمة المرور التي استُخدمت تُطرح تلقائيّاً. بعد المصادقة بالحساب المُدار تُنفَّذ إعادة تعيين مع إنهاء الجلسة (PostAuthenticationActions) بعد 24 ساعة افتراضيّاً.²

خريطة المعرفة لهذه المقالة

كلمة مرور مدير محلّيّ مشتركة لكلّ الحواسيب تجعل تجزئة NT نفسها أيضاً ما دامت كلمة المرور نفسها، فتصير التجزئة المستخرَجة من جهاز واحد مفتاحاً رئيسيّاً للأجهزة الأخرى وتجرّ حركة جانبيّة بـ Pass-the-Hash. Windows LAPS ميزة نظام تشغيل قياسيّة تقطع هذا المسار بتعشية كلمة المرور لكلّ جهاز وتدويرها تلقائيّاً، ووجهة الحفظ Active Directory أو Microsoft Entra ID أحدهما، ولا يُستخدم على أجهزة مجموعة عمل غير منضمّة لأيّ منهما. افتراضيّاً BackupDirectory معطَّل، فلا يحدث شيء حتّى تُصرَّح الوجهة بـ GPO أو LAPS CSP في Intune. حفظ AD يفترض توسيع المخطّط، وسمات كلمة المرور المضافة سرّيّة، لكن أصيلاً يحمل حقوقاً موسَّعة على الـ OU المستهدف يستطيع القراءة، لذا تلزم طبقة ثانية تضيّق من يفكّ التشفير بالحفظ المشفَّر. كلمة المرور المسترجَعة تُعاد تعيينها تلقائيّاً بعد 24 ساعة من المصادقة بـ PostAuthenticationActions، غير أنّ نقطة الانطلاق المصادقة لا العرض.

flowchart LR
    accTitle: خريطة معرفة Windows LAPS وكلمة مرور المدير المحلّيّ المشتركة
    accDescr: مخطّط يبيّن تركيبة تجرّ فيها كلمة مرور مدير محلّيّ مشتركة لكلّ الحواسيب حركة جانبيّة بـ Pass-the-Hash، وكيف يقطع Windows LAPS ذلك المسار، وعلاقات وجهة الحفظ والتجهيز المسبق وأذون العرض وآليّة الاستخدام لمرّة وعلاقة LAPS القديم
    windows_laps["Windows LAPS"]
    shared_local_admin_password["كلمة مرور مدير محلّيّ مشتركة لكلّ الحواسيب"]
    pass_the_hash["Pass-the-Hash"]
    nt_hash["تجزئة NT"]
    lateral_movement["الحركة الجانبيّة (lateral movement)"]
    local_administrator_account["حساب المدير المحلّيّ"]
    builtin_administrator_account["حساب Administrator المضمَّن"]
    laps_managed_account_disabled["بقاء الحساب المُدار معطَّلاً"]
    legacy_microsoft_laps["LAPS القديم (legacy Microsoft LAPS)"]
    duplicate_account_management["إدارة مزدوجة للحساب نفسه"]
    laps_emulation_mode["وضع محاكاة LAPS القديم"]
    laps_password_encryption["الحفظ المشفَّر لكلمة مرور LAPS"]
    active_directory["Active Directory (AD DS)"]
    entra_id["Microsoft Entra ID"]
    workgroup["تكوين مجموعة عمل"]
    laps_backup_directory["إعداد BackupDirectory"]
    group_policy["نهج المجموعة"]
    laps_csp["LAPS CSP"]
    intune["Microsoft Intune"]
    laps_ad_backup["حفظ كلمة مرور LAPS في Active Directory"]
    laps_ad_schema_extension["توسيع مخطّط AD لـ Windows LAPS (msLAPS-*)"]
    ad_confidential_attribute["سمة سرّيّة (confidential)"]
    ad_extended_rights["الحقوق الموسَّعة (All Extended Rights)"]
    confidential_attribute_protection["حماية القراءة بالسمة السرّيّة"]
    laps_powershell_module["وحدة LAPS لـ PowerShell"]
    domain_functional_level["مستوى وظائف النطاق (DFL)"]
    laps_post_authentication_actions["PostAuthenticationActions"]
    laps_operational_log["سجلّ LAPS/Operational"]
    shared_local_admin_password -->|"قد يسبّب"| pass_the_hash
    pass_the_hash -->|"يستخدم"| nt_hash
    pass_the_hash -->|"قد يسبّب"| lateral_movement
    windows_laps -->|"يمنع"| shared_local_admin_password
    windows_laps -.->|"يخفّف"| lateral_movement
    windows_laps -->|"يؤتمت"| local_administrator_account
    windows_laps -->|"يستخدم"| builtin_administrator_account
    windows_laps -.->|"قد يسبّب"| laps_managed_account_disabled
    builtin_administrator_account -.->|"قد يسبّب"| laps_managed_account_disabled
    windows_laps -->|"يخلف"| legacy_microsoft_laps
    legacy_microsoft_laps -.->|"قد يسبّب"| duplicate_account_management
    laps_emulation_mode -->|"لا يتوافق مع"| legacy_microsoft_laps
    laps_emulation_mode -->|"لا يتوافق مع"| laps_password_encryption
    windows_laps -.->|"يُحفظ في"| active_directory
    windows_laps -.->|"يُحفظ في"| entra_id
    windows_laps -->|"لا يتوافق مع"| workgroup
    windows_laps -->|"يشترط"| laps_backup_directory
    laps_backup_directory -.->|"يُكوَّن بـ"| group_policy
    laps_backup_directory -.->|"يُكوَّن بـ"| laps_csp
    intune -.->|"يستخدم"| laps_csp
    laps_ad_backup -->|"يشترط"| laps_ad_schema_extension
    laps_ad_schema_extension -->|"يستخدم"| ad_confidential_attribute
    ad_extended_rights -->|"يمنع"| confidential_attribute_protection
    ad_extended_rights -->|"يُتحقّق بـ"| laps_powershell_module
    laps_password_encryption -.->|"يخفّف"| ad_extended_rights
    laps_password_encryption -->|"يشترط"| domain_functional_level
    windows_laps -.->|"يستخدم"| laps_password_encryption
    windows_laps -->|"يستخدم"| laps_post_authentication_actions
    laps_post_authentication_actions -->|"يشترط"| local_administrator_account
    windows_laps -->|"يُكوَّن بـ"| laps_powershell_module
    windows_laps -->|"يُتحقّق بـ"| laps_operational_log

في المخطّط، يشير الخطّ المتّصل إلى علاقة قائمة دائماً، ويشير الخطّ المتقطّع إلى علاقة مشروطة (شروط قيامها مذكورة في شرح كلّ علاقة في الصفحة التفصيليّة). القائمة الكاملة للعلاقات (المجموع 31، مع الأدلّة ودرجة اليقين) وتعريفات المفاهيم الرئيسة مجمّعة في صفحة تفاصيل خريطة المعرفة (باليابانية). البيانات: JSON-LD / Turtle

2. لماذا كلمة مرور المدير المحلّيّ المشتركة لكلّ الحواسيب خطرة

أوّلاً نثبّت نموذج التهديد بدقّة. ماذا يحدث فعلاً عندما تعطون حساب المدير المحلّيّ — سواء حساب Administrator المضمَّن أو حساب صيانة يُنشأ عند التجهيز — كلمة المرور نفسها على كلّ جهاز؟

لا يخزّن Windows كلمة مرور الحساب المحلّيّ كما هي؛ يخزّن تجزئة NT المحسوبة من كلمة المرور. وفي مصادقة NTLM، تلك التجزئة نفسها مادّة المصادقة. بعبارة أخرى، إن كانت كلمة المرور نفسها، فالتجزئة نفسها على كلّ جهاز أيضاً. متى نال المهاجم امتيازات مدير على جهاز واحد، عبر برمجيّة خبيثة أو هجوم موجَّه، يستطيع سحب التجزئة من ذاكرة ذلك الجهاز أو من قاعدته المحلّيّة (SAM). ومن هنا تنتهي اللعبة: التجزئة المستخرَجة تُستخدم للمصادقة كما هي، بلا حاجة إلى عكسها إلى كلمة المرور الصريحة. هذا هو هجوم Pass-the-Hash. في بيئة كلمة مرور مشتركة، تصير التجزئة المأخوذة من جهاز واحد «مفتاحاً رئيسيّاً» لبقيّة الأجهزة، وينتشر الاختراق جانبيّاً دفعة واحدة. آليّة مصادقة NTLM، ولماذا تكفي التجزئة وحدها للمصادقة، مشروحتان تفصيلاً في «NTLM وKerberos مشروحان بالرسوم».

flowchart TB
accTitle: كلمة المرور المشتركة تنتشر جانبيّاً بـ Pass-the-Hash
accDescr: إن كانت تجزئة NT نفسها على كلّ الأجهزة ينتشر اختراق جهاز واحد إلى الكلّ، وتفريق كلمة المرور لكلّ جهاز بـ LAPS يقطع هذا المسار
    subgraph BEFORE["بيئة كلمة المرور المشتركة"]
        A1["اختراق PC-01<br/>(برمجيّة خبيثة أو هجوم موجَّه)"] --> H["الحصول على تجزئة NT للمدير"]
        H -->|"Pass-the-Hash"| B1["PC-02"]
        H -->|"Pass-the-Hash"| B2["PC-03"]
        H -->|"Pass-the-Hash"| B3["…حركة جانبيّة إلى كلّ الأجهزة"]
    end
    subgraph AFTER["بعد اعتماد LAPS"]
        C1["اختراق PC-01"] --> H2["الحصول على تجزئة PC-01"]
        H2 -->|"كلمة المرور تختلف لكلّ جهاز، لذا"| STOP["هذه التجزئة لا تصادق<br/>على أجهزة أخرى (قطع الحركة<br/>الجانبيّة عبر المدير المحلّيّ)"]
    end

الشكل 1: كلمة المرور المشتركة تجعل تجزئة واحدة مفتاحاً لكلّ الأجهزة؛ ويقطع LAPS ذلك المسار بكلمة مرور مختلفة لكلّ جهاز.

اتّجاه التصحيح واضح: أعطوا كلّ جهاز كلمة مرور مدير محلّيّ مختلفة، وغيّروها دوريّاً. عندئذٍ، حتّى إن تسرّبت تجزئة جهاز واحد، فهي عديمة النفع ضدّ البقيّة — تغلقون مسار الحركة الجانبيّة الذي يمرّ عبر إعادة استخدام حساب مدير محلّيّ. (تنبّهوا إلى أنّ هذا لا يغلق كلّ مسارات الحركة الجانبيّة — سرقة اعتمادات النطاق المخزَّنة على حاسوب مخترَق مثلاً مشكلة منفصلة.) لكن فعل ذلك يدوياً غير واقعيّ. توليد كلمات مرور فرديّة لعشرات الأجهزة، وتتبعها في سجلّ، وتدويرها وفق جدول — كلفة التشغيل تلك بالضبط هي سبب بقاء اختصار كلمة المرور المشتركة طويلاً. Windows LAPS هو نظام التشغيل وهو يتولّى «أتمتة التفريد والتغيير الدوريّ»، مع الحفظ الآمن في دليل. تعدّ Microsoft نفسها «الحماية من هجمات Pass-the-Hash وهجمات الحركة الجانبيّة (lateral-traversal)» أوّل فائدة لـ Windows LAPS.¹

لمبدأ إدارة الامتيازات الأعمّ — عدم أداء العمل اليوميّ تحت حساب مدير أصلاً، وإبقاء حسابات الصيانة ضيّقة النطاق — انظروا أيضاً «متى يصبح Windows admin privilege ضروريّاً».

3. ما هو Windows LAPS ── الفرق عن LAPS القديم

يحمل الاسم LAPS تاريخاً، وعمليّاً لا يستقيم الحوار ما لم يتّضح أيّ LAPS تقصدون.

LAPS القديم (legacy Microsoft LAPS) أداة تثبيت منفصل أصدرتها Microsoft عام 2016.¹ التكوين — نشر حزمة MSI إلى كلّ جهاز لتثبيت امتداد جانب العميل لنهج المجموعة (CSE)، ثمّ حفظ كلمة المرور نصّاً صريحاً في سمة ms-Mcs-AdmPwd في Active Directory — كان المعيار الفعليّ طويلاً.

Windows LAPS خليفته: تنفيذ منفصل مضمَّن في نظام التشغيل. يُدرَج في Windows 10 وWindows 11 21H2/22H2 بدءاً من تحديث 11 أبريل 2023، وفي Windows Server 2019/2022؛ وWindows 11 23H2 وما بعده وWindows Server 2025 وما بعده يشحن به من البداية.¹ بعبارة أخرى، إن كنتم تطبّقون التحديثات عادةً، فـ Windows LAPS جالس أصلاً على حواسيب شركتكم. لم يبقَ إلا تكوين سياسة.

المهمّ أنّ Windows LAPS ليس نسخة محدَّثة من LAPS القديم بل تنفيذاً منفصلاً تماماً، وسمات مخطّط AD أيضاً مختلفة عن LAPS القديم (msLAPS-*).⁴ تيسيراً للترحيل من LAPS القديم، وُضع أيضاً «وضع محاكاة» يفسّر فيه Windows LAPS إعدادات GPO القديمة ويعمل وفقها، لكن له قيوداً كثيرة (الفصل 6)، ولا سبب لاستخدامه في نشر جديد.

4. أين تُحفظ كلمة المرور ── جدول قرار حسب البيئة

ينسخ Windows LAPS كلمة المرور المُولَّدة احتياطيّاً إلى الدليل. تُحدَّد الوجهة بحالة انضمام الجهاز، ولا يمكن الحفظ في AD وEntra ID معاً.¹

لحفظ AD، تُكتب كلمة المرور في سمات كائن الحاسوب (msLAPS-Password إن كانت صريحة، وmsLAPS-EncryptedPassword إن فُعِّل التشفير، والأجل msLAPS-PasswordExpirationTime).⁶ ومن هذه، السمات التي تضمّ كلمة المرور (msLAPS-Password وعائلة التشفير msLAPS-Encrypted*) موسومة كسمات سرّيّة (confidential)، فلا تُقرأ بأذون القراءة العاديّة. أمّا أجل msLAPS-PasswordExpirationTime فلا يحمل وسم السرّيّة (SearchFlags: 0)، وهو بيانات وصفيّة تُقرأ بأذون القراءة الافتراضيّة.⁶ لاستخدام الحفظ المشفَّر وتاريخ كلمات المرور يلزم مستوى وظائف النطاق (DFL) 2016 فأعلى.³ انتبهوا إلى أنّ القيمة الافتراضيّة لإعداد التشفير (ADPasswordEncryptionEnabled) مفعَّلة.² في نطاق DFL أقدم من 2016 لا يُستخدم التشفير، فلا تعتمدوا على التبديل التلقائيّ إلى النصّ الصريح؛ عطّلوا التشفير صراحة في السياسة واحفظوا بنصّ صريح + حماية ACL.³

لحفظ Entra ID، التكوين القياسيّ تفعيل «إدارة كلمة مرور المدير المحلّيّ» على جانب المستأجر ثمّ توزيع السياسة من Intune عبر LAPS CSP. من جهة الترخيص، ميزة Windows LAPS نفسها مجّانيّة، ولا شروط إضافيّة لحفظ AD، وحفظ Entra ID متاح بـ Microsoft Entra ID Free فأعلى.¹

أن لا بديل لأجهزة مجموعة العمل أمر لا حيلة فيه ما دام الدليل الذي يكون وجهة الحفظ غير موجود. واقعيّاً، عند التجهيز تضبطون كلمة مرور مختلفة لكلّ جهاز وتديرون سجلاً بمدير كلمات مرور أو نحوه. إن كان التجهيز مكتوباً كسكربت، فأدرجوا توليد كلمة مرور لكلّ جهاز فيه (انظر «أتمتة تجهيز الحواسيب بـ winget + PowerShell»).

5. إجراء النشر عمليّاً ── محوره تكوين AD+GPO

نتتبّع هنا الإجراء الفعليّ بمحور تكوين نطاق AD + GPO، وهو الأكثر عدداً. الفروق عن تكوين Entra+Intune في النهاية.

5.1. التجهيز المسبق (عمل لمرّة واحدة)

لحفظ AD، أنجزوا تجهيز الغابة قبل توزيع السياسة.³

# 1. توسيع المخطّط (مرّة واحدة في الغابة. نفِّذوه بامتيازات Schema Admins)
Update-LapsADSchema

# 2. منح الحواسيب تحت الـ OU المستهدف إذن تحديث سمة كلمة مرورها
Set-LapsADComputerSelfPermission -Identity "OU=PCsDakhiliya,DC=example,DC=co,DC=jp"

# 3. منح مجموعة يمكنها عرض كلمة المرور (Domain Admins يعرضون افتراضيّاً)
Set-LapsADReadPasswordPermission -Identity "OU=PCsDakhiliya,DC=example,DC=co,DC=jp" `
    -AllowedPrincipals @("EXAMPLE\HelpdeskAdmins")

# 4. منح مجموعة يمكنها التحكّم بأجل كلمة المرور (إنهاء فوريّ = أمر إعادة تعيين)
#    (لازم لـ Set-LapsADPasswordExpirationTime في 5.4. Domain Admins يملكون ذلك افتراضيّاً)
Set-LapsADResetPasswordPermission -Identity "OU=PCsDakhiliya,DC=example,DC=co,DC=jp" `
    -AllowedPrincipals @("EXAMPLE\HelpdeskAdmins")

# 5. التحقّق من عدم وجود حاملي أذون عرض غير متوقَّعين (تفصيل في الفصل 6)
Find-LapsADExtendedRights -Identity "OU=PCsDakhiliya,DC=example,DC=co,DC=jp"

إن استخدمتم الحفظ المشفَّر (DFL 2016 فأعلى، مفعَّل افتراضيّاً)، يلزم إعداد إضافيّ. إذن العرض وإذن فكّ التشفير شيئان مختلفان، ومن يستطيع فكّ التشفير افتراضيّاً Domain Admins فقط.³ إن أردتم أن تسترجع مجموعة مكتب المساعدة كلمة المرور فعلاً، فحدّدوا المجموعة نفسها (EXAMPLE\HelpdeskAdmins) أيضاً في ADPasswordEncryptionPrincipal على جانب السياسة.² إن نسيتم هذا، حتّى بعد منح إذن العرض كما أعلاه، تصلون إلى حالة «السمة تُقرأ لكن فكّ التشفير يتعذّر».

Update-LapsADSchema شيء مختلف عن Update-AdmPwdADSchema الخاصّ بـ LAPS القديم، وما يُضاف هو سمات msLAPS-*. حتّى في بيئة فيها LAPS القديم، توسيع المخطّط لـ Windows LAPS لازم من جديد.⁴ كذلك، إن كنتم تستخدمون المخزن المركزيّ لـ GPO (Central Store)، فإنّ قوالب Windows LAPS لا تُنسَخ إليه عبر Windows Update، فانسخوها يدوياً.² انسخوا عندئذٍ لا %windir%\PolicyDefinitions\LAPS.admx فحسب، بل أيضاً مورد اللغة LAPS.adml (لمواجهة عربيّة، المجلّد الفرعيّ المناسب للغة) إلى مجلّد اللغة المقابل. بلا ADML يظهر عرض سياسة LAPS في GPMC بخطأ موارد.

5.2. ضبط السياسة

موضع إعداد GPO هو «تكوين الحاسوب > السياسات > القوالب الإداريّة > النظام > LAPS».² الحدّ الأدنى الإلزاميّ تعيين الوجهة، وما لم تضعوا BackupDirectory على «Active Directory» (القيمة 2)، لا يفعل Windows LAPS شيئاً (الافتراضيّ «معطَّل»).² الإعدادات الرئيسة وقيمها الافتراضيّة كالتالي.

ما يُغفَل هنا تفعيل/تعطيل الحساب المُدار. حساب Administrator المضمَّن معطَّل أصلاً عند إعداد Windows.⁷ يدير Windows LAPS كلمة مرور حساب معطَّل أيضاً، لكنّه لا يصل إلى تفعيل الحساب.² أي أنّ التكوين الافتراضيّ قد يترككم في حالة «كلمة المرور محفوظة في الدليل، لكن لا أحد يستطيع تسجيل الدخول بذلك الحساب». لاستخدامه وسيلة استرداد، اختاروا صراحة أحد المسارات: تفعيل Administrator المضمَّن وتشغيله، أو جعل حساب صيانة مخصَّص مفعَّل مسبقاً هو الهدف، أو على Windows 11 24H2 / Server 2025 وما بعده إدارة حالة التفعيل أيضاً بإعدادات AutomaticAccountManagement.²

5.3. تأكيد التشغيل واسترجاع كلمة المرور

يعالج Windows LAPS السياسة النافذة كلّ ساعة. إن أردتم التأكيد دون انتظار التطبيق، نفّذوا معالجة فوريّة على الجهاز المستهدف.³

# جانب الجهاز: معالجة السياسة فوراً (الأمر القياسيّ عند التحقّق)
Invoke-LapsPolicyProcessing

# جانب الجهاز: تأكيد النتيجة من سجلّ الأحداث
# 10003=بدء المعالجة / 10004=نجاح / 10005=فشل / 10018=نجاح الحفظ في AD
Get-WinEvent -LogName "Microsoft-Windows-LAPS/Operational" -MaxEvents 20

تُسترجَع كلمة المرور المحفوظة من جهاز إدارة يملك الإذن.³

# استرجاع كلمة المرور من AD (بلا -AsPlainText تُعالَج السلسلة محجوبة)
Get-LapsADPassword -Identity PC-0123 -AsPlainText

# مثال الإخراج: Account, Password, PasswordUpdateTime, ExpirationTimestamp,
#         Source (EncryptedPassword إن كان الحفظ مشفَّراً), AuthorizedDecryptor وغيرها

لمحبّي الواجهة الرسوميّة، أُضيفت علامة تبويب LAPS إلى خصائص الحاسوب في «مستخدمي وحواسيب Active Directory»، ويمكن العرض منها أيضاً.¹

5.4. التدوير الفوريّ

عند انتهاء استخدام كلمة المرور في أعمال الصيانة، أو عند الاشتباه باختراق، دوِّروا فوراً دون انتظار التدوير الدوريّ التالي.³

# من جهاز الإدارة: اجعلوا الأجل «الآن» ليُدوَّر عند المعالجة التالية
Set-LapsADPasswordExpirationTime -Identity PC-0123
# إن ركلتم معالجة فوريّة على الجهاز المستهدف، تتغيّر كلمة المرور في الحال
Invoke-LapsPolicyProcessing

# للتدوير الفوريّ مباشرة على الجهاز المستهدف
Reset-LapsPassword

5.5. الفروق في تكوين Entra+Intune

لحفظ Entra ID لا حاجة لتوسيع مخطّط ولا ضبط ACL كالتي في AD.³ بدلاً من ذلك، يلزم تفعيل إدارة كلمة مرور المدير المحلّيّ في [إعدادات الأجهزة] لمستأجر Microsoft Entra، ونسيان هذا يمنع الجهاز من حفظ كلمة المرور.⁵ تُوزَّع السياسة من Intune عبر LAPS CSP، وتُسترجَع كلمة المرور من شاشة مركز إدارة Entra / مركز إدارة Intune، أو بـ Get-LapsAADPassword عبر Microsoft Graph.⁵

# استرجاع كلمة مرور محفوظة في Entra ID عبر Graph (مثال وصول مفوَّض)
# اطلبوا النطاقات اللازمة صراحة عند الاتّصال
Connect-MgGraph -Scopes "Device.Read.All","DeviceLocalCredential.Read.All"
Get-LapsAADPassword -DeviceIds PC-0123 -IncludePasswords -AsPlainText

معرّف حدث نجاح الحفظ مقابل 10018 لـ AD هو 10029 لـ Entra ID.⁸

6. مطبّات التشغيل

النشر ليس النهاية. نعدّد تباعاً النقاط التي تُداس فعلاً في الميدان.

6.1. أذون العرض أوسع ممّا تظنّون

سمة كلمة المرور سرّيّة (confidential) فلا تُرى بالقراءة العاديّة، لكن أصيلاً يحمل الحقّ الموسَّع (All Extended Rights) على الـ OU المستهدف يستطيع القراءة.³ في بيئات فُوِّضت فيها أذون واسعة على الـ OU في تشغيل سابق، تصير مجموعات غير متوقَّعة قادرة على قراءة كلمة المرور بسهولة. عند النشر امسحوا حاملي الحقوق الموسَّعة بـ Find-LapsADExtendedRights، وإن ظهر غير SYSTEM وDomain Admins فراجعوا محتوى التفويض.

كذلك، بتفعيل الحفظ المشفَّر (ADPasswordEncryptionEnabled) يمكن فصل إذن العرض عن إذن فكّ التشفير. منح إذن العرض وحده لا يفكّ كلمة المرور المشفَّرة، ومن يفكّ التشفير افتراضيّاً Domain Admins فقط؛ للتغيير تحدّدون مجموعة فكّ التشفير بـ ADPasswordEncryptionPrincipal.³ تضييق من قبيل «مكتب المساعدة يفكّ تشفير كلمات مرور الـ OU المسؤول عنه فقط» يُصمَّم بهذه الطبقتين.

6.2. آليّة «الاستخدام لمرّة» وحدودها ── PostAuthenticationActions

إن بقيت كلمة المرور التي استرجعها مكتب المساعدة على ورقة ملاحظات أو في محادثة، فلا معنى للنظام. يرصد Windows LAPS المصادقة بالحساب المُدار ثمّ، بعد انقضاء مهلة السماح (PostAuthenticationResetDelay، افتراضيّاً 24 ساعة)، ينفّذ التنظيف تلقائيّاً. الإجراء الافتراضيّ «إعادة تعيين كلمة المرور وإنهاء الجلسة».²

نقطتان تستحقّان الانتباه. الأولى، جعل مهلة السماح 0 يعطّل الميزة نفسها.² الثانية، المُطلِق هو «المصادقة» لا «عرض كلمة المرور». إن استخرجتم كلمة المرور من الدليل ولم تستخدموها، لا تعمل إعادة التعيين التلقائيّة هذه. ثبّتوا في إجراء التشغيل أن تُنهى كلمة المرور المعروضة، استُخدمت أم لا، عند اكتمال العمل بـ Set-LapsADPasswordExpirationTime.

6.3. التعايش مع LAPS القديم والترحيل

أخطر ما في فترة الترحيل حالة يدير فيها LAPS القديم وWindows LAPS الحساب نفسه. تكوين يتنازع فيه نظامان كلمة مرور الحساب نفسه خطر أمنيّ وغير مدعوم.⁹ تُرتَّب القواعد كالتالي.

• على جهاز طُبِّقت عليه سياسة Windows LAPS ولو واحدة، يتجاهل Windows LAPS نفسه سياسات LAPS القديم دائماً (أولويّة Windows LAPS).⁹ غير أنّ هذا حديث تفسير جانب Windows LAPS فحسب. إن بقي CSE الخاصّ بـ LAPS القديم (امتداد نهج المجموعة) مثبَّتاً، يواصل CSE القديم معالجة GPO القديمة مستقلّاً. إن فعّلتم سياسة Windows LAPS مع إبقاء الجهاز ضمن أهداف تطبيق GPO القديمة، تصلون إلى إدارة مزدوجة يدوّر فيها الاثنان الحساب نفسه.
• «وضع المحاكاة» الذي يجعل Windows LAPS يعالج إعدادات GPO لـ LAPS القديم يعمل فقط على أجهزة غير مثبَّت عليها CSE الخاصّ بـ LAPS القديم. يستخدم مقدّمات بيئة LAPS القديم كما هي (المخطّط القديم وACL القديمة)، لكن الميزات الجديدة مثل التشفير وحفظ Entra غير متاحة.⁹
• بمجرّد تحديث نظام التشغيل قد تبدأ أجهزة ما زالت تحمل GPO LAPS القديم العمل في وضع المحاكاة دون قصد. إن أردتم تجنّب تغيير كلمة مرور غير متوقَّع فور التجهيز، يمكن إيقاف المحاكاة بضبط BackupDirectory=0 في مفتاح التكوين المحلّيّ.⁹

الترحيل بالترتيب «أخرجوا الـ OU المستهدف من تطبيق GPO لـ LAPS القديم (أو أزيلوا CSE القديم) → طبّقوا سياسة Windows LAPS → أزيلوا بقايا GPO القديمة وCSE القديم»، أي عطّلوا الإدارة القديمة ثمّ فعّلوا الجديدة، بحيث تكون جهة الإدارة لكلّ جهاز فريدة دائماً. بالترتيب المعكوس (تطبيق سياسة Windows LAPS أوّلاً) تحدث الإدارة المزدوجة أعلاه على أجهزة ما زال عليها CSE القديم.

6.4. التدقيق ── الإبقاء على «من رأى ومتى»

ما دمتم تحفظون كلمات مرور المدير المحلّيّ مركزيّاً، فتاريخ عرضها موضوع تدقيق. يُسجَّل تشغيل جانب الجهاز كلّه في قناة سجلّ أحداث مخصَّصة (عارض الأحداث: «سجلات التطبيقات والخدمات > Microsoft > Windows > LAPS > Operational»)، ويمكن تأكيد بدء المعالجة 10003 / النجاح 10004 / الفشل 10005، ونجاح الحفظ 10018 (AD) / 10029 (Entra)، ومحتوى السياسة المطبَّقة 10021–10023 وغيرها.⁸ على جانب AD يمكن تكوين إعداد تدقيق على الـ OU المستهدف بـ Set-LapsADAuditing، وتسجيل الوصول إلى سمة كلمة المرور في سجلّ أمن متحكّم النطاق.⁴ لحفظ Entra ID تتابعون بسجلّات التدقيق وتقارير جانب Entra.¹

7. الخلاصة

• كلمة مرور مدير محلّيّ مشتركة لكلّ الحواسيب تصنع تركيبة ينتشر فيها اختراق جهاز واحد بـ Pass-the-Hash إلى الجميع. التفريد لكلّ جهاز والتدوير التلقائيّ هما العلاج، وWindows LAPS هو من يتولّاه.
• Windows LAPS مضمَّن أصلاً في Windows 10/11 بعد تحديث أبريل 2023 وفي Windows Server 2019/2022 وما بعده، ولا تثبيت إضافيّ. أُهمل LAPS القديم (توزيع MSI)، وللجديد Windows LAPS خيار واحد.
• الوجهة AD أو Entra ID أحدهما، وفق حالة انضمام الجهاز. على أجهزة مجموعة العمل لا يُستخدم، فتلزم إدارة فرديّة يدويّة أو مراجعة شكل الانضمام.
• معطَّل افتراضيّاً. في تكوين AD جهّزوا النقاط الثلاث: توسيع المخطّط، وإذن التحديث الذاتيّ، وإذن العرض، ثمّ اضبطوا BackupDirectory في GPO ليبدأ العمل.
• محور التشغيل اليوميّ PowerShell. الاسترجاع Get-LapsADPassword / Get-LapsAADPassword، والتطبيق الفوريّ Invoke-LapsPolicyProcessing، والتدوير الفوريّ Reset-LapsPassword.
• المطبّات: عرض غير متوقَّع عبر الحقوق الموسَّعة، وأنّ PostAuthenticationActions لا تعمل بالعرض وحده، والإدارة المزدوجة مع LAPS القديم، وغياب التدقيق. عند النشر ثبّتوا تأكيد الأذون بـ Find-LapsADExtendedRights، وإجراء إنهاء الصلاحيّة بعد العرض.

مقالات ذات صلة

• الدليل العمليّ لـ BitLocker ── تشفير محرّك الأقراص بدءاً من إدارة مفتاح الاسترداد
• NTLM وKerberos مشروحان بالرسوم ── لماذا تسقط المصادقة إلى NTLM
• متى يصبح Windows admin privilege ضروريّاً - UAC والمناطق المحميّة وكيفيّة التمييز على مستوى التصميم
• أتمتة تجهيز الحواسيب بـ winget + PowerShell ── جعل الكتيّب قابلاً للتنفيذ
• ما هو TPM في Windows؟ ── دليل مُصوَّر لـ«الخزنة التي لا تُخرج المفاتيح» والإقلاع المقيس
• ما ينبغي فعله قبل التخلّص من حاسوب Windows ── قائمة تحقّق عمليّة لمحو البيانات وفكّ ربط الحسابات والنسخ الاحتياطيّ

مجالات الاستشارة ذات الصلة

تتعامل شركة كومورا سوفت ذ.م.م. مع كتابة سكربتات أتمتة تجهيز الحواسيب، وترتيب إعدادات أمن الأجهزة ومنها نشر Windows LAPS، ووضع خطط الترحيل من تشغيل كلمة مرور مشتركة قائم. يصحّ البدء من مرحلة «كتيّب التجهيز موجود لكنّه مرتبط بأشخاص» أو «نريد إدخال LAPS لكنّنا غير واثقين من ضبط أذون AD».

• تطوير تطبيقات ويندوز
• الاستشارات التقنيّة ومراجعة التصميم
• التواصل معنا

روابط مرجعيّة

مقالات ذات صلة

أحدث المقالات التي تشترك في نفس الوسوم. عمّق فهمك بمواضيع مرتبطة.

أين يتصل هذا الموضوع

ترتبط هذه المقالة بشكل طبيعي بصفحات الخدمات التالية.

الأسئلة الشائعة

أسئلة شائعة حول موضوع هذه المقالة.

نشغّل بالفعل LAPS القديم (Microsoft LAPS الموزَّع كـ MSI). هل يلزمنا شيء؟

ابدأوا التخطيط للترحيل. أُهمل LAPS القديم اعتباراً من Windows 11 23H2، وعلى أنظمة التشغيل الأحدث يُحظر تثبيت الـ MSI نفسه. أنظمة التشغيل الحاليّة (Windows 10/11 مع تحديث أبريل 2023، وWindows Server 2019/2022 وما بعده) تضمّ Windows LAPS مضمَّناً، فيمكن الترحيل بلا تثبيت إضافيّ. خلال الفترة الانتقاليّة يمكن أيضاً أن يواصل Windows LAPS معالجة السياسة القديمة عبر «وضع محاكاة LAPS القديم»، لكن لذلك قيوداً: لا يعمل على أجهزة مثبَّت عليها CSE الخاصّ بـ LAPS القديم، ولا تتاح الميزات الجديدة مثل التشفير والحفظ في Entra ID. تكوين يُدار فيه الحساب نفسه بالنظامين القديم والجديد غير مدعوم، فبدّلوا مع فهم واضح جهازًا بجهاز لأيّ نظام يدير أيّ جهاز.

هل يجوز ترك الأمور كما هي بعد استخدام كلمة مرور مُسترجَعة؟

بالتكوين الافتراضيّ تُنظَّف تلقائيّاً، لكن ليس فوراً. لدى Windows LAPS PostAuthenticationActions، التي ترصد المصادقة (تسجيل الدخول) بالحساب المُدار ثمّ تعالج بعد مهلة سماح؛ افتراضيّاً تُعاد تعيين كلمة المرور ويُنهى الجلسة بعد 24 ساعة من المصادقة. بعبارة معكوسة، تبقى كلمة المرور نفسها صالحة وقابلة للاستخدام حتّى تنقضي مهلة السماح تلك، فلا تبطل في لحظة الاستخدام. كذلك تشتغل هذه الآليّة عندما تصادقون بكلمة المرور — لا عندما تسترجعونها من الدليل فحسب. الموثوق هو إنهاء صلاحيتها صراحة عند اكتمال العمل. للحفظ في AD أنهوها بـ `Set-LapsADPasswordExpirationTime` (هذا الأمر مخصَّص لحفظ AD فقط). لحفظ Entra ID، إمّا تشغيل `Reset-LapsPassword` على الجهاز المستهدف، أو استخدام عمليّة تدوير كلمة مرور المدير المحلّيّ في Intune.

هل يمكن استخدامه على حاسوب يعمل كمجموعة عمل، غير منضمّ لا إلى نطاق ولا إلى Entra ID؟

لا. يحتاج Windows LAPS إلى Active Directory أو Microsoft Entra ID وجهةً لحفظ كلمة المرور، والجهاز غير المنضمّ لأيّ منهما لا يملك مكاناً للنسخ الاحتياطيّ. إن أردتم مواصلة التشغيل كمجموعة عمل، فالبديل الواقعيّ تشغيل يدويّ: ضبط كلمة مرور مدير محلّيّ مختلفة لكلّ جهاز والاحتفاظ بسجلّ في مكان آمن مثل مدير كلمات مرور. متى كبر الأسطول، يحين النظر في الانتقال إلى انضمام Entra (+ Intune) أو انضمام النطاق، لنيل فائدة الإدارة المركزيّة ومنها LAPS.

من يمكنه عرض كلمة المرور المحفوظة؟

لحفظ Active Directory، يمكن افتراضيّاً لأعضاء Domain Admins فقط العرض؛ وتمنحون الإذن صراحة لمستخدمين أو مجموعات أخرى بـ `Set-LapsADReadPasswordPermission`. ومع ذلك، حتّى وإن وُسمت سمة كلمة المرور بالسرّيّة (confidential)، فإنّ أصيلاً يحمل الحقّ الموسَّع All Extended Rights على الـ OU يستطيع قراءتها، لذا عند النشر تحقّقوا دائماً من حاملي أذون غير متوقَّعين بـ `Find-LapsADExtendedRights`. فعّلوا التشفير أيضاً بـ `ADPasswordEncryptionEnabled` (يلزم مستوى وظائف النطاق 2016 أو أعلى)، ويمكن تضييق فكّ التشفير إلى المجموعة المحدَّدة في `ADPasswordEncryptionPrincipal`. لحفظ Entra ID، تستطيع الأدوار المتميّزة مثل Global Administrator العرض افتراضيّاً، والاسترجاع عبر Microsoft Graph يتطلّب إذن `DeviceLocalCredential.Read.All`.

هل يتطلّب استخدام Windows LAPS ترخيصاً إضافيّاً؟

الميزة نفسها مجّانيّة. Windows LAPS ميزة قياسيّة مضمَّنة في إصدارات Windows المدعومة، ولا شروط ترخيص إضافيّة لحفظ كلمات المرور في Active Directory. الحفظ في Microsoft Entra ID متاح أيضاً بترخيص Microsoft Entra ID Free أو أعلى. انتبهوا فقط إلى أنّ ميزات Entra/Intune المحيطة — مثل ترخيص Intune إن وزّعتم السياسة عبر Intune — قد تحمل شروط ترخيص منفصلة، فتحقّقوا منها تحديداً.

الملف الشخصي للمؤلف

صفحة الملف الشخصي لمؤلف المقالة.

غو كومورا

مؤسّس شركة كومورا سوفت ذ.م.م.

يركّز على تطوير برامج ويندوز، والاستشارات التقنية، والتحقيق في الأخطاء، ويتميّز في المشاريع التي تبقى فيها الأصول القديمة ناشطة، وفي تشخيص الأعطال التي يصعب تحديد سببها.