Guía práctica de Windows LAPS — deje de usar la misma contraseña de administrador local en todos los PC

Si todos los PC usan la misma contraseña de administrador local, una credencial filtrada de un equipo se convierte en la «llave maestra» para entrar en los demás. El procedimiento de mantenimiento puede ser sencillo, pero la configuración deja abierta una vía para que el compromiso se propague de lado.

Sustituir esa contraseña común por una contraseña distinta en cada equipo, con el cambio periódico y el almacenamiento en un directorio automatizados, es lo que hace la función integrada en el sistema operativo Windows LAPS (Local Administrator Password Solution). Estar presente en el sistema operativo no basta para que funcione. Decida el destino de almacenamiento, la cuenta gestionada, los permisos y la limpieza posterior al mantenimiento antes de aplicar la directiva.¹²

Este artículo se dirige al personal de sistemas de pymes y a los desarrolladores que se encargan del kitting y el mantenimiento de PC, y se basa en fuentes primarias a agosto de 2026. Es una entrega de la serie de seguridad para personal de sistemas, que sigue a BitLocker, la retirada de WSUS, el firewall y el almacén de certificados.

1. Primero hay que decidir — destino de almacenamiento, cuenta, permisos y limpieza

Separar lo que se decide en el momento de la implementación de lo que se comprueba después deja claro el orden del trabajo.

Si quiere entender el mecanismo, empiece por el capítulo 2. Si va a avanzar con la implementación, fije el enfoque en los capítulos 3 y 4 y luego pase al capítulo 5 si es AD + GPO, o al capítulo 6 si es Entra ID + Intune. Si ya opera el LAPS clásico, compruebe también el orden de migración del capítulo 8 antes de distribuir la nueva directiva.

Lo primero que hay que retener es que Windows LAPS está deshabilitado de forma predeterminada. Solo empieza a funcionar cuando se especifica un destino de almacenamiento con BackupDirectory. Además, «la contraseña se ha almacenado» y «se puede hacer el trabajo de recuperación con esa cuenta» son dos comprobaciones distintas.²

En el diagrama, una línea continua marca una relación que siempre se cumple y una línea discontinua una relación condicional (las condiciones están en la explicación de cada relación en la página de detalle). La lista completa de relaciones (31 en total, con evidencia y grado de certeza) y las definiciones de los conceptos principales están reunidas en la página de detalle del mapa de conocimiento (en japonés). Datos: JSON-LD / Turtle

2. ¿Qué riesgo reduce Windows LAPS?

2.1. Una contraseña común se convierte en un hash NT común

Lo que se gestiona es una cuenta de administrador local: el Administrador integrado, o una cuenta de mantenimiento creada durante el kitting.

Windows conserva un hash NT calculado a partir de la contraseña de la cuenta local. En la autenticación NTLM, ese hash es el material de autenticación. Por tanto, si la contraseña es la misma en todos los equipos, el hash también lo es en todos.

Cuando un atacante se hace con privilegios de administrador en un equipo y extrae el hash de la memoria o de la base de datos local (SAM), puede usarlo para autenticarse sin revertirlo a la contraseña en texto claro. Esto es el ataque Pass-the-Hash. En un entorno con contraseña común, el hash obtenido de un equipo sirve también en los demás, y el compromiso se propaga de lado. El mecanismo de autenticación se explica con detalle en «NTLM y Kerberos explicados con diagramas».¹³

flowchart TB
    subgraph BEFORE["Entorno con contraseña común"]
        A1["PC-01 comprometido<br/>(malware o ataque dirigido)"] --> H["Se obtiene el hash NT del administrador"]
        H -->|"Pass-the-Hash"| B1["PC-02"]
        H -->|"Pass-the-Hash"| B2["PC-03"]
        H -->|"Pass-the-Hash"| B3["…movimiento lateral a todos los equipos"]
    end
    subgraph AFTER["Tras implementar LAPS"]
        C1["PC-01 comprometido"] --> H2["Se obtiene el hash de PC-01"]
        H2 -->|"como la contraseña difiere por equipo"| STOP["Este hash no sirve para<br/>autenticarse en otros PC<br/>(se corta el movimiento lateral vía el administrador local)"]
    end

Figura 1: Si la contraseña cambia de un equipo a otro, se corta la vía que reutiliza en los demás el hash de administrador local obtenido de uno solo.

2.2. No individualice ni cambie periódicamente a mano

La contramedida es usar una contraseña de administrador local distinta en cada equipo y, además, cambiarla periódicamente. Generar decenas de contraseñas una a una, registrarlas en un inventario y seguir actualizándolas, sin embargo, es una carga. Ese coste de gestión es el contexto en el que ha sobrevivido la contraseña común.

Windows LAPS asume de una vez la individualización, la rotación automática y el almacenamiento en el directorio. Microsoft también sitúa la protección frente a Pass-the-Hash y el movimiento lateral (lateral-traversal) como la primera de sus ventajas.¹

Lo que LAPS corta es la vía de movimiento lateral que nace de reutilizar la cuenta de administrador local. No cierra las demás vías de movimiento lateral, como el robo de credenciales de dominio en el PC comprometido. También hace falta no realizar el trabajo diario con la cuenta de administrador y acotar el uso de la cuenta de mantenimiento. Consulte también «Cuándo se necesita el privilegio de administrador en Windows».

2.3. El LAPS clásico y Windows LAPS son implementaciones distintas

El LAPS clásico (Microsoft LAPS heredado) es una herramienta de instalación adicional que Microsoft publicó en 2016. Un MSI instala una extensión de cliente de directiva de grupo (CSE) en cada equipo, y la contraseña se guarda en texto claro en el atributo ms-Mcs-AdmPwd de AD, protegida por una ACL.¹

Windows LAPS es su sucesor, una implementación distinta integrada en el sistema operativo. Está incluido en Windows 10, Windows 11 21H2/22H2 y Windows Server 2019/2022 a partir de la actualización del 11 de abril de 2023, y viene de fábrica en Windows 11 23H2 en adelante y Windows Server 2025 en adelante. Con un sistema operativo y un conjunto de actualizaciones que coincidan, no hace falta instalación adicional.¹

Windows LAPS no es una mera revisión del LAPS clásico; los atributos de esquema de AD que usa son otro conjunto, llamado msLAPS-*. Aunque el LAPS clásico ya esté implementado, la extensión de esquema para Windows LAPS sigue siendo necesaria.⁵

También existe un «modo de emulación» en el que Windows LAPS interpreta la GPO clásica, pero es un mecanismo de migración y no hay motivo para elegirlo en una implementación nueva. Las restricciones y el procedimiento de cambio se explican en el capítulo 8.

3. Elija el destino de almacenamiento según el estado de unión del equipo

3.1. El destino es AD o Entra ID, uno de los dos

La contraseña que genera Windows LAPS se «respalda» en el directorio. No se puede almacenar al mismo tiempo en AD y en Entra ID.¹

En un equipo en grupo de trabajo no hay directorio que sirva de destino, así que Windows LAPS no se puede usar. Si va a seguir operando así, establezca una contraseña distinta en cada equipo durante el kitting y lleve el registro de forma segura en algo como un gestor de contraseñas. Si el kitting está scriptado, incorpore también la generación de contraseñas por equipo. Consulte también «Automatizar el kitting de PC con winget + PowerShell».

3.2. En el almacenamiento en AD, distinga el atributo de la contraseña del atributo de vencimiento

Con almacenamiento en AD, los valores se escriben en atributos del objeto de equipo. La contraseña en sí y su vencimiento se tratan de forma distinta respecto a la confidencialidad.⁷

El almacenamiento cifrado y el historial de contraseñas requieren un nivel funcional de dominio (DFL) 2016 o superior. Por otro lado, el valor predeterminado de la configuración de cifrado ADPasswordEncryptionEnabled es habilitado. En un dominio cuyo DFL es anterior a 2016, no cuente con que se pase automáticamente a texto claro: deshabilite el cifrado de forma explícita en la directiva y deje una configuración de texto claro más protección por ACL.⁴²

3.3. Separe la licencia de LAPS de la licencia del servicio de gestión

La función de Windows LAPS en sí es gratuita. El almacenamiento en AD no tiene requisitos de licencia adicionales, y el almacenamiento en Entra ID está disponible con Microsoft Entra ID Free o superior.¹

Los requisitos de las funciones periféricas, no obstante, se comprueban aparte: por ejemplo, la licencia de Intune si se distribuye la directiva desde Intune. El almacenamiento en Entra ID también exige habilitar la función en el inquilino. El capítulo 6 resume los pasos concretos.

4. Decida la cuenta gestionada y la directiva que va a aplicar

4.1. «Gestionar la contraseña» y «hacer que la cuenta se pueda usar» son cosas distintas

Si no especifica AdministratorAccountName, Windows LAPS identifica el Administrador integrado por su RID conocido. Especifique un nombre solo cuando gestione una cuenta de mantenimiento personalizada. Esta configuración no crea la cuenta personalizada, así que la cuenta en sí hay que prepararla por separado.²

Lo otro que hace falta es comprobar si la cuenta está habilitada o deshabilitada. El Administrador integrado se deshabilita en la instalación de Windows. Windows LAPS gestiona también la contraseña de una cuenta deshabilitada, pero en esta configuración habitual no habilita la cuenta.³²

Por eso puede darse el estado «la contraseña está almacenada, pero no se puede iniciar sesión en el momento de la recuperación». Si va a usarla para recuperación, elija de forma explícita una de las siguientes opciones.

4.2. No empieza a funcionar hasta que se especifica el destino de almacenamiento

BackupDirectory de Windows LAPS está deshabilitado (0) de forma predeterminada. Especifique 2 para almacenar en AD, o 1 para almacenar en Entra ID. Hasta que esto no se configure, la copia de seguridad de la contraseña no empieza.²

Las configuraciones principales se resumen a continuación. La explicación de AdministratorAccountName asume la configuración habitual, sin gestión automática de cuentas. En esta tabla, PasswordExpirationProtectionEnabled y ADPasswordEncryptionEnabled son configuraciones para el almacenamiento en AD y no se aplican al almacenamiento en Entra ID.

En este capítulo se fija el enfoque de la configuración, y la directiva se distribuye solo cuando el destino de almacenamiento ya está preparado. Si es AD, pase al capítulo siguiente; si es Entra ID, al capítulo 6.

5. Implementar con una configuración AD + GPO

5.1. Prepare el esquema del bosque y los permisos de la OU de destino

Con almacenamiento en AD, prepare el esquema y los permisos antes de distribuir la directiva. La extensión de esquema se hace una vez por bosque; los permisos de autoactualización, lectura y cambio de vencimiento se ajustan a la OU de destino y a los grupos responsables.⁴

La OU, el nombre de dominio y el nombre de grupo que siguen, y los nombres de PC posteriores, son ejemplos. Sustitúyalos por los destinos de su entorno antes de ejecutarlos.

# 1. Extensión de esquema (una sola vez por bosque; ejecutar con derechos de Schema Admins)
Update-LapsADSchema

# 2. Conceder a los equipos bajo la OU de destino permiso para actualizar su propio atributo de contraseña
Set-LapsADComputerSelfPermission -Identity "OU=PCsInternos,DC=example,DC=co,DC=jp"

# 3. Conceder a un grupo permiso para leer la contraseña (Domain Admins puede leerla de forma predeterminada)
Set-LapsADReadPasswordPermission -Identity "OU=PCsInternos,DC=example,DC=co,DC=jp" `
    -AllowedPrincipals @("EXAMPLE\HelpdeskAdmins")

# 4. Conceder a un grupo permiso para manipular el vencimiento de la contraseña (expiración inmediata = indicar un restablecimiento)
#    (necesario para Set-LapsADPasswordExpirationTime del apartado 7.1; Domain Admins puede hacerlo de forma predeterminada)
Set-LapsADResetPasswordPermission -Identity "OU=PCsInternos,DC=example,DC=co,DC=jp" `
    -AllowedPrincipals @("EXAMPLE\HelpdeskAdmins")

# 5. Comprobar que no haya titulares inesperados del permiso de lectura (detalles en el apartado 5.2)
Find-LapsADExtendedRights -Identity "OU=PCsInternos,DC=example,DC=co,DC=jp"

Update-LapsADSchema es un cmdlet distinto de Update-AdmPwdADSchema del LAPS clásico. Los atributos que añade también son distintos, así que la preparación hecha para el LAPS clásico no basta.⁵

5.2. Conceda por separado la lectura, el descifrado y el cambio de vencimiento

Cuando usa almacenamiento cifrado, conceder solo el permiso de lectura no permite descifrar la contraseña. De forma predeterminada solo Domain Admins puede descifrarla. Si delega la recuperación en el servicio de asistencia, especifique también ese grupo (EXAMPLE\HelpdeskAdmins en el ejemplo anterior) en ADPasswordEncryptionPrincipal de la directiva.⁴²

No se detenga en los grupos a los que concedió permiso. Un principal que tenga All Extended Rights (derechos extendidos) sobre la OU de destino también puede leer los atributos confidenciales. Si queda una delegación amplia del pasado, grupos que no tenía previstos acaban pudiendo leerlos. Enumere los titulares con Find-LapsADExtendedRights y, si aparece algo que no sea SYSTEM ni Domain Admins, revise lo que se delegó.⁴

Con almacenamiento cifrado puede separar la lectura del atributo del descifrado. Un diseño del tipo «el servicio de asistencia solo puede descifrar las contraseñas de la OU de la que se ocupa» se construye con estas dos capas.

5.3. Prepare las plantillas administrativas y distribuya la GPO

La ubicación de la configuración de GPO es «Configuración del equipo > Directivas > Plantillas administrativas > Sistema > LAPS». Además de la cuenta gestionada y la configuración de contraseña decididas en el capítulo 4, especifique BackupDirectory = 2. La combinación de DFL y cifrado es la del apartado 3.2, y el grupo que descifra la del apartado 5.2.²⁴

Si usa el almacén central (Central Store) de GPO, también hay que copiar la plantilla. Windows Update no copia automáticamente la plantilla de Windows LAPS al almacén central.²

Copie juntos %windir%\PolicyDefinitions\LAPS.admx y el LAPS.adml del idioma correspondiente. Si la interfaz está en japonés, coloque el ADML de la subcarpeta ja-JP en la carpeta de idioma correspondiente del almacén central. Tenga cuidado: el ADMX solo produce un error de recursos en GPMC.

5.4. Confirme el almacenamiento en el equipo de destino y recupérela desde un equipo de administración

Windows LAPS procesa la directiva efectiva una vez por hora. Para comprobarlo sin esperar a que se aplique, ejecute el procesamiento inmediato en el equipo de destino y consulte el registro de eventos.⁴

# En el equipo: procesar la directiva de inmediato (el movimiento habitual al verificar)
Invoke-LapsPolicyProcessing

# En el equipo: comprobar el resultado en el registro de eventos
# 10003 = inicio del procesamiento / 10004 = éxito / 10005 = error / 10018 = almacenamiento correcto en AD
Get-WinEvent -LogName "Microsoft-Windows-LAPS/Operational" -MaxEvents 20

La contraseña almacenada la recupera un usuario de un equipo de administración que tenga los permisos de lectura y descifrado.⁴

# Recuperar la contraseña desde AD (sin -AsPlainText la cadena se puede tratar enmascarada)
Get-LapsADPassword -Identity PC-0123 -AsPlainText

# Ejemplo de salida: devuelve Account, Password, PasswordUpdateTime, ExpirationTimestamp,
#                    Source (EncryptedPassword si el almacenamiento es cifrado), AuthorizedDecryptor, etc.

Sin -AsPlainText, la cadena se puede tratar mientras permanece enmascarada. En la interfaz gráfica se puede consultar desde la pestaña LAPS de las propiedades del equipo en Usuarios y equipos de Active Directory.¹

Cuando haya confirmado el almacenamiento y la recuperación, confirme también que la cuenta decidida en el apartado 4.1 se puede usar para la recuperación. La rotación posterior a la recuperación está en el capítulo 7, y la lectura diferenciada de los registros en el capítulo 9.

6. Implementar con una configuración Entra ID + Intune

Con almacenamiento en Entra ID, la extensión de esquema de AD y la configuración de ACL de la OU no hacen falta. En su lugar, habilite la función en el inquilino y compruebe los permisos de lectura del lado de Entra ID.⁶

Si la función no está habilitada en el inquilino, los equipos no pueden almacenar la contraseña. Además, el almacenamiento correcto en AD es 10018, y en Entra ID es 10029. Compruebe el evento que corresponde a su destino de almacenamiento.⁶⁸

En Entra ID, de forma predeterminada pueden consultar la contraseña roles con privilegios como el de administrador global. Cuando la recupere a través de Microsoft Graph, ejecute el comando en una conexión que tenga los permisos necesarios. El siguiente es un ejemplo de acceso delegado en el que se piden los ámbitos de forma explícita.⁶

# Recuperar una contraseña almacenada en Entra ID a través de Graph (ejemplo de acceso delegado)
# Pedir de forma explícita los ámbitos necesarios en el momento de la conexión
Connect-MgGraph -Scopes "Device.Read.All","DeviceLocalCredential.Read.All"
Get-LapsAADPassword -DeviceIds PC-0123 -IncludePasswords -AsPlainText

El estado de habilitada de la cuenta gestionada necesita la misma comprobación del apartado 4.1 también con almacenamiento en Entra ID. Para la rotación posterior al mantenimiento, use la operación en el propio equipo o la de Intune que se explican en el apartado 7.2, no el cmdlet de cambio de vencimiento exclusivo de AD.

7. Rote la contraseña después del trabajo de mantenimiento

7.1. Distinga indicar la expiración de que el cambio se complete en el equipo

Después de recuperar una contraseña para el mantenimiento, o cuando haya sospecha de compromiso, cámbiela sin esperar a la siguiente rotación periódica. En cada comando, separe dónde se ejecuta y qué es lo que realmente completa.⁴⁵

Con almacenamiento en AD, úselos así. Los dos primeros comandos se ejecutan en sitios distintos.

# Desde un equipo de administración: poner el vencimiento a «ahora» y dejar que el siguiente procesamiento rote
Set-LapsADPasswordExpirationTime -Identity PC-0123
# Si se lanza el procesamiento inmediato en el equipo de destino, la contraseña cambia en el acto
Invoke-LapsPolicyProcessing

# Para rotar de forma directa e inmediata en el equipo de destino
Reset-LapsPassword

Que el comando de cambio de vencimiento tenga éxito no es lo mismo que la contraseña del equipo de destino haya pasado a ser nueva. Compruebe hasta el resultado del procesamiento del equipo y el registro de almacenamiento correcto.

7.2. Con almacenamiento en Entra ID, cámbiela desde el equipo de destino o desde Intune

Set-LapsADPasswordExpirationTime es exclusivo del almacenamiento en AD. En un equipo que usa almacenamiento en Entra ID, ejecute Reset-LapsPassword en el equipo de destino o use la operación de rotación de contraseña de administrador local de Intune. Tome que un destino de almacenamiento distinto también implica una operación distinta desde el lado de la gestión.⁶⁵

7.3. El restablecimiento automático sigue a la autenticación, no a la consulta

Windows LAPS tiene PostAuthenticationActions, que detecta la autenticación con la cuenta gestionada y, transcurrido un período de gracia, hace la limpieza. De forma predeterminada, 24 horas después ejecuta un restablecimiento de contraseña más un cierre de sesión.²

No es una función que invalide la contraseña en el instante en que se usa. Durante el período de gracia, la misma contraseña sigue siendo válida. Además, distinga estos dos puntos.

Para que las contraseñas no se queden en notas o en el chat, fije en el procedimiento que una vez recuperada, se rota de forma explícita al terminar el trabajo, se haya usado o no. Use el método del apartado 7.1 para AD o el del 7.2 para Entra ID, y compruebe el resultado.

8. Migre desde el LAPS clásico sin crear una doble gestión

8.1. Que Windows LAPS tenga prioridad y que la CSE clásica se detenga son cosas distintas

Una configuración en la que la misma cuenta es gestionada a la vez por el LAPS clásico y por Windows LAPS no está admitida. Los dos mecanismos se cambian la misma contraseña el uno al otro, y eso es un riesgo de seguridad.⁹

Lo que se confunde con facilidad es lo siguiente.

Es decir, «Windows LAPS tiene prioridad, así que no pasa nada si queda la CSE clásica» no se sostiene. Si habilita la nueva directiva mientras el equipo sigue en el ámbito de aplicación de la GPO clásica, ambos acaban rotando la misma cuenta.⁹

8.2. Compruebe las condiciones en las que funciona el modo de emulación

El modo de emulación, que hace que Windows LAPS procese la GPO del LAPS clásico, solo funciona en equipos donde no está instalada la CSE clásica. Usa tal cual los supuestos de un entorno de LAPS clásico, incluido el esquema antiguo y las ACL antiguas, pero las funciones nuevas como el cifrado o el almacenamiento en Entra ID no están disponibles.⁹

Con solo actualizar el sistema operativo, un equipo que aún tiene la GPO clásica puede empezar a funcionar en modo de emulación sin que nadie lo pretenda. Si quiere evitar un cambio de contraseña inesperado justo después del kitting, puede suprimirlo poniendo BackupDirectory = 0 en la clave de configuración local.⁹

8.3. Quite primero la gestión antigua y luego habilite la nueva

Avance la migración en este orden.

1. Saque la OU de destino del ámbito de aplicación de la GPO del LAPS clásico, o desinstale la CSE clásica, de modo que la gestión antigua quede fuera.
2. Aplique la directiva de Windows LAPS.
3. Retire lo que quede de la GPO clásica y de la CSE clásica.

El punto clave es dejar unívoco, equipo por equipo, qué mecanismo lo gestiona. Si lo hace al revés, crea una doble gestión en los equipos donde permanece la CSE clásica.

9. Separe los registros de funcionamiento de la auditoría de consulta de contraseñas

9.1. En el equipo, compruebe el procesamiento, el destino de almacenamiento y la directiva aplicada

La actividad de Windows LAPS se registra en el Visor de eventos, en «Registros de aplicaciones y servicios > Microsoft > Windows > LAPS > Operational».⁸

Se pueden obtener con el Get-WinEvent del apartado 5.4. Cuando «no funciona» o «no se puede recuperar», compruebe por separado si la directiva está en vigor, si el destino de almacenamiento está preparado, si el almacenamiento ha tenido éxito y si el lado que recupera tiene permisos de lectura y descifrado.

9.2. En el lado del directorio, deje constancia de quién miró y cuándo

El registro de que un equipo rotó con normalidad no sustituye el historial de consulta de contraseñas por parte de los administradores. Audite por separado la consulta de las contraseñas almacenadas de forma centralizada.

Con almacenamiento en AD, configure la auditoría de la OU de destino con Set-LapsADAuditing para que el acceso a los atributos de contraseña quede registrado en el registro de seguridad de los controladores de dominio. Con almacenamiento en Entra ID, sígalo con el registro de auditoría y las funciones de informes del lado de Entra.⁵¹

10. Resumen — la implementación no termina cuando la contraseña ya se puede almacenar

Windows LAPS es el mecanismo que convierte la contraseña de administrador local común a todos los PC en una gestión individual por equipo con rotación automática. Está integrado en las versiones compatibles de Windows, así que no hace falta instalación adicional, pero no funciona sin una directiva que especifique el destino de almacenamiento. Para una implementación nueva elija Windows LAPS, y para el LAPS clásico planifique la migración.¹²

La comprobación de la implementación y del mantenimiento debe llegar hasta aquí.

Los equipos en grupo de trabajo quedan fuera del ámbito de LAPS, así que necesitan o bien una gestión manual de contraseñas por equipo, o bien plantearse el paso a la unión a Entra ID o al dominio. Y lo que LAPS aborda es la reutilización de la contraseña de administrador local; no impide el robo de otras credenciales.

Lo importante es comprobar como un solo conjunto operativo que «se puede almacenar», «los responsables que la necesitan pueden recuperarla», «se puede usar para la recuperación» y «se puede cambiar después del trabajo».

Artículos relacionados

• Guía práctica de BitLocker — El cifrado de unidades que empieza por gestionar la clave de recuperación
• NTLM y Kerberos explicados con diagramas — por qué la autenticación «cae» a NTLM
• Cuándo se necesita el privilegio de administrador en Windows - UAC, áreas protegidas y cómo distinguirlo por diseño
• Automatizar el kitting de PC con winget + PowerShell ── Convertir el manual de procedimientos en algo ejecutable
• Qué es el TPM en Windows — la “caja fuerte que no deja salir la llave” y el arranque medido, explicados con diagramas
• Qué hacer antes de desechar un PC con Windows ── Lista de comprobación práctica de eliminación de datos, desvinculación de cuentas y copias de seguridad

Áreas de consultoría relacionadas

En KomuraSoft LLC nos ocupamos de escribir scripts de automatización para el kitting de PC, de poner en orden la configuración de seguridad de los equipos —incluida la implementación de Windows LAPS— y de elaborar planes de migración a partir de una operación existente de contraseña común. Está bien empezar desde un punto como «tenemos un manual de kitting, pero solo funciona porque una persona lo conoce» o «queremos implantar LAPS, pero no estamos seguros de la configuración de permisos de AD».

• Desarrollo de aplicaciones Windows
• Consultoría técnica y revisión de diseño
• Contacto

Referencias

Artículos relacionados

Artículos recientes con las mismas etiquetas para profundizar en temas cercanos.

Temas relacionados

Estas páginas sitúan el tema en un contexto más amplio de servicios y decisiones.

Servicios relacionados con este tema

El artículo está directamente relacionado con los siguientes servicios.

Preguntas frecuentes

Preguntas habituales en las consultas sobre el tema del artículo.

Ya utilizamos el LAPS clásico (Microsoft LAPS distribuido mediante MSI). ¿Hay que hacer algo?

Empiece a planificar la migración. El LAPS clásico quedó en desuso a partir de Windows 11 23H2, y en los sistemas operativos más nuevos la propia instalación del MSI queda bloqueada. En los sistemas operativos actuales (Windows 10/11 con la actualización de abril de 2023 aplicada, Windows Server 2019/2022 en adelante) Windows LAPS ya viene integrado, de modo que puede migrar sin instalar nada adicional. Durante el período de transición también puede hacer que Windows LAPS siga procesando las directivas antiguas mediante el «modo de emulación del LAPS clásico», pero tiene limitaciones: no funciona en los equipos donde está instalada la CSE del LAPS clásico, y no puede usar funciones nuevas como el cifrado o el almacenamiento en Entra ID. Una configuración en la que la misma cuenta es gestionada a la vez por el sistema antiguo y el nuevo no está admitida, así que deje claro, equipo por equipo, cuál de los dos la está gestionando antes de hacer el cambio.

¿Es seguro dejar la contraseña tal cual después de usarla, sin hacer nada más?

Con la configuración predeterminada se limpia automáticamente, pero no de forma inmediata. Windows LAPS cuenta con PostAuthenticationActions, que detecta la autenticación (el inicio de sesión) con la cuenta gestionada y, tras un período de gracia, ejecuta el procesamiento; de forma predeterminada, 24 horas después de la autenticación se restablece la contraseña y se cierra la sesión. Dicho de otro modo, la misma contraseña sigue siendo válida hasta que transcurre ese período de gracia, por lo que no se invalida en el instante en que se usa. Además, este mecanismo se activa «cuando se autentica con la contraseña», no «cuando solo se consulta en el directorio». Lo seguro es fijar como práctica operativa invalidar la contraseña de forma explícita al terminar el trabajo. Si el almacenamiento es en AD, hágala expirar con Set-LapsADPasswordExpirationTime (este cmdlet es exclusivo del almacenamiento en AD). Si el almacenamiento es en Entra ID, ejecute Reset-LapsPassword en el propio equipo, o use la operación de rotación de contraseña de administrador local de Intune.

¿Se puede usar en un PC en grupo de trabajo, que no está unido ni al dominio ni a Entra ID?

No se puede. Windows LAPS necesita Active Directory o Microsoft Entra ID como destino de almacenamiento de la contraseña, y un equipo que no está unido a ninguno de los dos no tiene dónde hacer la copia de seguridad. Si va a seguir operando en grupo de trabajo, la alternativa realista es una gestión manual: establecer una contraseña de administrador local distinta en cada equipo y llevar un registro en un lugar seguro (un gestor de contraseñas, por ejemplo). Cuando el número de equipos empiece a crecer, es el momento de plantearse la unión a Entra ID (+ Intune) o al dominio, para beneficiarse de la gestión centralizada, LAPS incluido.

¿Quién puede consultar la contraseña guardada?

En el caso del almacenamiento en Active Directory, de forma predeterminada pueden consultarla los miembros de Domain Admins; a otros usuarios o grupos se les concede el permiso de forma explícita con Set-LapsADReadPasswordPermission. Sin embargo, aunque el atributo de la contraseña es un atributo confidencial, cualquier principal que tenga derechos extendidos (All Extended Rights) sobre la OU puede leerlo, así que compruebe siempre en el momento de la implementación, con Find-LapsADExtendedRights, que no haya titulares inesperados de ese permiso. Además, si habilita el cifrado con ADPasswordEncryptionEnabled (requiere un nivel funcional de dominio 2016 o superior), puede limitar quién puede descifrarla al grupo que especifique en ADPasswordEncryptionPrincipal. En el caso del almacenamiento en Entra ID, de forma predeterminada pueden consultarla roles con privilegios como el de administrador global, y obtenerla mediante Microsoft Graph requiere el permiso DeviceLocalCredential.Read.All.

¿Se necesita alguna licencia adicional para usar Windows LAPS?

La función en sí es gratuita. Windows LAPS es una función estándar integrada en las versiones compatibles de Windows, y guardar la contraseña en Active Directory no tiene requisitos de licencia adicionales. El almacenamiento en Microsoft Entra ID también está disponible con una licencia Microsoft Entra ID Free o superior. Funciones periféricas relacionadas con Entra/Intune, como la licencia de Intune necesaria para distribuir la directiva desde Intune, sí pueden tener requisitos de licencia aparte, así que verifique solo ese punto.

Perfil del autor

Página de presentación del autor del artículo.

Go Komura

Representante de KomuraSoft LLC

Especializado en desarrollo de software para Windows, consultoría técnica e investigación de fallos, sobre todo en proyectos con sistemas existentes y errores difíciles de reproducir.