Windows LAPS practical guide — हर PC पर एक ही local Administrator password न छोड़ें

PC kitting के स्थल पर लंबे समय से «आदत बन चुका shortcut» चला आ रहा है। Master image में एक ही local Administrator password पकाकर सब machines पर फैला देना — maintenance में उसी password से logon कर लेना procedure के रूप में ठीक लगता है। पर यह configuration अब attacker के लिए «master key का production» बनकर सबसे पहले निशाना है। एक machine का compromise सीधे सब machines का compromise बन जाता है।

यह लेख छोटे-मध्यम businesses के IT staff और PC kitting-maintenance सँभालने वाले developers के लिए है। Shared local Administrator password क्यों खतरनाक है, उसके बाद समाधान के रूप में OS में बनी Windows LAPS (Local Administrator Password Solution) की संरचना, environment के अनुसार चुनाव, deployment की प्रक्रिया, और operations के pitfalls — August 2026 तक के primary sources पर — व्यवस्थित करता है। BitLocker, WSUS deprecation, firewall और certificate store की IT security series की अगली कड़ी है।

1. निष्कर्ष पहले

• हर PC पर एक ही local Administrator password, एक machine के compromise को सब तक फैलाने वाले lateral movement का आधार है। Password एक हो तो NTLM hash भी एक होता है; एक machine से hash निकलते ही बाकी सब पर Pass-the-Hash से घुस जाते हैं।¹
• Windows LAPS local Administrator password को machine-दर-machine random कर अपने आप rotate करने वाली OS-standard feature है। Microsoft Pass-the-Hash और lateral movement के countermeasure के रूप में इसे benefits में सबसे ऊपर रखता है।¹
• 11 April 2023 के update के बाद Windows 10/11, Windows Server 2019/2022 और बाद में बना है। पुराने LAPS (MSI distribution) के विपरीत extra install नहीं चाहिए। पुराना LAPS Windows 11 23H2 के बाद deprecated हो गया।¹
• Password का backup location Active Directory या Microsoft Entra ID — दोनों में से एक है। केवल domain-joined machines AD में, केवल Entra-joined Entra ID में, hybrid join में एक चुनें। दोनों में join न workgroup machines पर नहीं चलता।¹
• Default पर कुछ नहीं होता। BackupDirectory का default «Disabled» है; policy (GPO या Intune/CSP) से backup location स्पष्ट करने पर ही चलता है।²
• AD backup में तीन पूर्व-तैयारियाँ चाहिए। Schema extension (Update-LapsADSchema), computer की self-write permission (Set-LapsADComputerSelfPermission), और read rights का design (Set-LapsADReadPasswordPermission)।³
• Password देखना Get-LapsADPassword / Get-LapsAADPassword, तुरंत apply Invoke-LapsPolicyProcessing, machine पर तुरंत rotation Reset-LapsPassword है।⁴
• इस्तेमाल हुआ password अपने आप one-time का बन जाता है। Managed account पर authentication के बाद default से 24 घंटे में reset + sign-out (PostAuthenticationActions) चलता है।²

Diagram में solid line हमेशा लागू रहने वाला relation दिखाती है और dashed line conditional relation दिखाती है (शर्तें detail page पर हर relation के explanation में दी गई हैं)। Relations की पूरी list (कुल 31, evidence और certainty सहित) तथा मुख्य concepts की definitions knowledge map की detail page पर संकलित हैं (जापानी में)। Data: JSON-LD / Turtle

2. हर PC पर एक ही local Administrator password क्यों खतरनाक है

पहले खतरे का ढाँचा ठीक पकड़ें। Local Administrator account (तथाकथित built-in Administrator, या kitting पर बना maintenance account) का password सब machines पर एक हो तो क्या होता है?

Windows local account का password ज्यों का त्यों नहीं, password से निकला NT hash रखता है। NTLM authentication में यही hash authentication की सामग्री है। अर्थात password एक हो तो hash भी सब machines पर एक है। Attacker malware या targeted attack से एक machine का admin rights ले तो उस terminal की memory या local database (SAM) से hash निकाल सकता है। यहीं असली काम शुरू होता है: निकला hash सादे password में लौटाए बिना authentication में काम आता है। यही Pass-the-Hash attack है। Shared-password environment में एक machine से मिला hash बाकी सब की «master key» बन जाता है, और compromise एक झटके में lateral movement से फैलता है। NTLM authentication कैसे काम करता है और hash अकेले से authentication क्यों चलता है, «आरेखों से NTLM और Kerberos» में विस्तार है।

flowchart TB
    accTitle: Shared password Pass-the-Hash से lateral movement करता है
    accDescr: सब machines पर एक NT hash हो तो एक का compromise सब पर फैलता है, LAPS से machine-दर-machine password अलग करने पर यह path कटता है
    subgraph BEFORE["Shared password environment"]
        A1["PC-01 compromise<br/>(malware・targeted attack)"] --> H["Administrator का NT hash प्राप्त"]
        H -->|"Pass-the-Hash"| B1["PC-02"]
        H -->|"Pass-the-Hash"| B2["PC-03"]
        H -->|"Pass-the-Hash"| B3["…सभी machines पर lateral movement"]
    end
    subgraph AFTER["LAPS deploy करने के बाद"]
        C1["PC-01 compromise"] --> H2["PC-01 का hash प्राप्त"]
        H2 -->|"password machine-दर-machine अलग होने से"| STOP["अन्य PC पर इस hash से<br/>authentication नहीं होता(local Administrator<br/>के रास्ते lateral movement कटता है)"]
    end

चित्र 1: Shared password से एक hash सब machines की चाबी बनता है; LAPS machine-दर-machine अलग password से उस रास्ते को काटता है।

Countermeasure की दिशा साफ है: प्रत्येक machine का local Administrator password अलग हो, और नियमित बदले। तब एक hash leak हो भी तो अन्य terminal पर काम नहीं आता, और local Administrator account के reuse वाला lateral-movement path कटता है (compromise हुई PC पर domain credentials चोरी जैसे अन्य lateral paths बंद नहीं होते — यह ध्यान रहे)। पर हाथ से करना realistic नहीं। दर्जनों passwords अलग बनाकर register में रखना और नियमित rotate करना — इसी operations cost के कारण shared password का shortcut जीवित रहा। यही «अलग करना और नियमित बदलना» directory में secure backup के साथ OS सँभालता है, वह Windows LAPS है। Microsoft स्वयं Windows LAPS के benefits में सबसे ऊपर «Pass-the-Hash attacks और lateral movement (lateral-traversal) attacks से सुरक्षा» रखता है।¹

रोज़मर्रा का काम Administrator account से न करना, maintenance account का उपयोग संकीर्ण रखना — privilege management की मूल बात «Windows पर admin privilege वास्तव में कब चाहिए?» में भी है।

3. Windows LAPS क्या है — पुराने LAPS से अंतर

LAPS नाम का इतिहास है; व्यवहार में «किस LAPS की बात» अलग न करें तो बात नहीं बैठती।

पुराना LAPS (legacy Microsoft LAPS) Microsoft का 2016 में जारी extra-install tool है।¹ MSI package सब terminals पर बाँटकर Group Policy extension (CSE) लगाता था, password Active Directory के ms-Mcs-AdmPwd attribute में plain text में रखता था, और लंबे समय तक तथ्यतः standard रहा।

Windows LAPS उसके उत्तराधिकारी के रूप में OS में बनी अलग implementation है। 11 April 2023 के update के बाद Windows 10, Windows 11 21H2/22H2, Windows Server 2019/2022 में है, और Windows 11 23H2 तथा Windows Server 2025 के बाद शुरू से बना है।¹ अर्थात update सामान्य रूप से लगा environment में office के PC पर Windows LAPS पहले से है। बाकी policy set करना है।

महत्त्वपूर्ण यह है कि Windows LAPS पुराने LAPS का संशोधन नहीं, पूरी तरह अलग implementation है, और AD schema attributes भी अलग (msLAPS-*) हैं।⁴ पुराने LAPS से migration के सहारे को पुरानी LAPS GPO settings Windows LAPS पढ़कर चलाए «emulation mode» भी है, पर सीमाएँ बहुत हैं (अध्याय 6); नए deployment में जान-बूझकर लेने का कारण नहीं।

4. Password कहाँ backup होता है — environment के अनुसार decision table

Windows LAPS बनाए password को directory में «backup» करता है। Backup location terminal की membership से तय होता है, और AD तथा Entra ID दोनों में एक साथ नहीं रख सकते।¹

AD backup में password computer object के attributes में लिखा जाता है (plain text हो तो msLAPS-Password, encryption हो तो msLAPS-EncryptedPassword, expiry msLAPS-PasswordExpirationTime)।⁶ इनमें password वाले attributes (msLAPS-Password और encrypted परिवार msLAPS-Encrypted*) confidential marked हैं, सामान्य read rights से नहीं दिखते। दूसरी ओर expiry msLAPS-PasswordExpirationTime पर confidential mark नहीं (SearchFlags: 0), default read से metadata दिखता है।⁶ Encrypted backup और password history को domain functional level (DFL) 2016 या ऊपर चाहिए।³ ध्यान रहे, encryption setting (ADPasswordEncryptionEnabled) का default enabled है।² DFL 2016 से पुराने domain पर encryption नहीं चलता, इसलिए अपने आप plain text पर गिरने का भरोसा न करें; policy से encryption explicitly disable कर plain text + ACL रक्षा पर रखें।³

Entra ID backup में tenant पर «local Administrator password management» enable कर, Intune से LAPS CSP से policy बाँटना standard है। License पर Windows LAPS स्वयं free है, AD backup के extra नहीं, Entra ID backup Microsoft Entra ID Free या ऊपर से चलता है।¹

Workgroup terminal पर option नहीं क्योंकि backup की directory ही नहीं। Realistic: kitting पर प्रत्येक machine अलग password set कर password manager आदि में register। Kitting script हो तो उसमें machine-specific password बनाना पक्का है («winget + PowerShell से PC provision automatic करना» देखें)।

5. Deployment की practical प्रक्रिया — AD+GPO configuration धुरी

यहाँ संख्या अधिक AD domain + GPO configuration धुरी पर वास्तविक चरण चलते हैं। Entra+Intune से अंतर अंत में।

5.1. पूर्व-तैयारी (एक बार का काम)

AD backup में policy बाँटने से पहले forest पक्ष तैयार करें।³

# 1. Schema extension (forest में एक बार। Schema Admins rights से चलाएँ)
Update-LapsADSchema

# 2. Target OU के computers को अपने password attributes update करने का right दें
Set-LapsADComputerSelfPermission -Identity "OU=AntarikPCs,DC=example,DC=co,DC=jp"

# 3. Password देख सकने वाला group दें (Domain Admins default से देख सकते हैं)
Set-LapsADReadPasswordPermission -Identity "OU=AntarikPCs,DC=example,DC=co,DC=jp" `
    -AllowedPrincipals @("EXAMPLE\HelpdeskAdmins")

# 4. Password expiry चलाने (तुरंत expire = reset signal) वाला group दें
#    (5.4 के Set-LapsADPasswordExpirationTime के लिए। Domain Admins default से कर सकते हैं)
Set-LapsADResetPasswordPermission -Identity "OU=AntarikPCs,DC=example,DC=co,DC=jp" `
    -AllowedPrincipals @("EXAMPLE\HelpdeskAdmins")

# 5. Unexpected read-rights holder तो नहीं (अध्याय 6 में विस्तार)
Find-LapsADExtendedRights -Identity "OU=AntarikPCs,DC=example,DC=co,DC=jp"

Encrypted backup (DFL 2016 या ऊपर, default enabled) हो तो एक और setting चाहिए। Read rights और decryption rights अलग चीज़ें हैं; decrypt default से केवल Domain Admins कर सकते हैं।³ Helpdesk group को वास्तव में password दिलाना हो तो policy पक्ष ADPasswordEncryptionPrincipal पर भी वही group (EXAMPLE\HelpdeskAdmins) लिखें।² यह भूलें तो ऊपर की तरह read देकर भी «attributes पढ़े जाते हैं, decrypt नहीं» हो जाता है।

Update-LapsADSchema पुराने LAPS के Update-AdmPwdADSchema से अलग है; जुड़ते msLAPS-* attributes हैं। पुराना LAPS पहले से हो तब भी Windows LAPS का schema extension अलग से चाहिए।⁴ GPO Central Store use हो तो Windows LAPS templates Windows Update से Central Store में नहीं आते, हाथ से copy करें।² तब %windir%\PolicyDefinitions\LAPS.admx के साथ language resource LAPS.adml (Japanese UI हो तो ja-JP subfolder; Hindi admin UI हो तो matching language folder) भी copy करें। ADML न हो तो GPMC में LAPS policy resource error दिखाती है।

5.2. Policy settings

GPO का स्थान «Computer Configuration > Policies > Administrative Templates > System > LAPS» है।² Minimum अनिवार्य backup location है; BackupDirectory को «Active Directory» (value 2) किए बिना Windows LAPS कुछ नहीं करता (default «Disabled»)।² मुख्य settings और default:

यहाँ आसानी से छूटता managed account का enabled/disabled है। Built-in Administrator Windows setup पर disabled होता है।⁷ Windows LAPS disabled account का भी password manage करता है, पर account enable तक नहीं करता।² अर्थात default पर «password directory में है, उस account से कोई sign-in नहीं कर सकता» हो सकता है। Recovery के लिए built-in Administrator enable कर चलाएँ, पहले से enabled custom maintenance account manage करें, या Windows 11 24H2 / Server 2025 के बाद automatic account management (AutomaticAccountManagement परिवार) से enabled अवस्था सहित manage करें — इनमें से स्पष्ट चुनें।²

5.3. व्यवहार जाँच और password प्राप्त करना

Windows LAPS effective policy हर घंटे process करता है। Apply की प्रतीक्षा किए बिना देखना हो तो target terminal पर तुरंत processing चलाएँ।³

# Terminal पक्ष: policy तुरंत process (validation का shortcut)
Invoke-LapsPolicyProcessing

# Terminal पक्ष: event log से परिणाम
# 10003=processing शुरू / 10004=सफल / 10005=विफल / 10018=AD में backup सफल
Get-WinEvent -LogName "Microsoft-Windows-LAPS/Operational" -MaxEvents 20

Backup किया password rights वाले admin workstation से लें।³

# AD से password लें (-AsPlainText न हो तो string ढकी रहती है)
Get-LapsADPassword -Identity PC-0123 -AsPlainText

# Output उदाहरण: Account, Password, PasswordUpdateTime, ExpirationTimestamp,
#         Source (EncryptedPassword हो तो encrypted backup), AuthorizedDecryptor आदि

GUI पक्ष पर «Active Directory Users and Computers» के computer properties में LAPS tab जुड़ता है, वहाँ से भी देख सकते हैं।¹

5.4. तुरंत rotation

Maintenance में password इस्तेमाल खत्म हो, या compromise का संदेह हो, तो अगले regular rotation की प्रतीक्षा न करें, तुरंत घुमाएँ।³

# Admin workstation से: expiry «अभी» कर अगले processing में rotation
Set-LapsADPasswordExpirationTime -Identity PC-0123
# Target terminal पर तुरंत processing चलाएँ तो उसी क्षण नया password
Invoke-LapsPolicyProcessing

# Target terminal पर सीधे तुरंत rotation
Reset-LapsPassword

5.5. Entra+Intune configuration का अंतर

Entra ID backup में AD जैसा schema extension और ACL नहीं चाहिए।³ बदले Microsoft Entra tenant की [device settings] में local Administrator password management enable करना होगा; भूलें तो terminal password backup नहीं कर सकता।⁵ Policy Intune से LAPS CSP से बाँटें, password Entra admin center / Intune admin center की screen या Microsoft Graph के Get-LapsAADPassword से लें।⁵

# Entra ID backup का password Graph से (delegated access का उदाहरण)
# Connect करते आवश्यक scopes स्पष्ट माँगें
Connect-MgGraph -Scopes "Device.Read.All","DeviceLocalCredential.Read.All"
Get-LapsAADPassword -DeviceIds PC-0123 -IncludePasswords -AsPlainText

Backup सफल का event ID AD के 10018 के मुकाबले Entra ID पर 10029 है।⁸

6. Operations के pitfalls

Deploy कर खत्म नहीं। स्थल पर वास्तव में फँसे बिंदु क्रम से।

6.1. Read rights सोचे से चौड़ा

Password attributes confidential हैं इसलिए सामान्य read से नहीं दिखते, पर target OU पर extended rights (All Extended Rights) रखने वाले principals पढ़ सकते हैं। पुराने operations में OU पर चौड़े rights सौंपे environment में unexpected groups password पढ़ सकते हैं। Deploy करते Find-LapsADExtendedRights से extended-rights holders छाँटें; SYSTEM और Domain Admins के अलावा आए तो delegated rights दोबारा देखें।³

Encrypted backup (ADPasswordEncryptionEnabled) enable करें तो read और decryption अलग हो जाते हैं। केवल read देने से encrypted password decrypt नहीं होता; decrypt default से केवल Domain Admins, बदलने को ADPasswordEncryptionPrincipal से decrypt-योग्य group लिखें।³ «Helpdesk अपने OU के passwords ही decrypt करे» जैसी संकीर्णता इसी two-layer design से बनती है।

6.2. «इस्तेमाल के बाद one-time» का mechanism और सीमाएँ — PostAuthenticationActions

Helpdesk का लिया password memo या chat में पड़ा रहे तो अर्थ नहीं। Windows LAPS managed account पर authentication पकड़कर grace period (PostAuthenticationResetDelay, default 24 घंटे) बाद automatic cleanup करता है। Default action «password reset कर sign-out» है।²

दो बातें। पहली, grace period 0 करें तो यह feature स्वयं disable हो जाती है।² दूसरी, trigger «authentication» है, «password देखना» नहीं। Directory से password निकालकर इस्तेमाल न किया तो यह automatic reset नहीं चलता। देखा password इस्तेमाल हुआ या नहीं, काम खत्म होते Set-LapsADPasswordExpirationTime से expire करना operations procedure में बाँधें।

6.3. पुराने LAPS के साथ चलाना और migration

Transition में सबसे खतरनाक एक ही account को पुराना LAPS और Windows LAPS दोनों manage करें। दो mechanisms एक account का password छीनें — security risk है और supported नहीं।⁹ नियम:

• Windows LAPS की कोई policy apply terminal पर Windows LAPS स्वयं पुरानी LAPS policy हमेशा ignore करता है (Windows LAPS प्राथमिक)।⁹ पर यह Windows LAPS की व्याख्या मात्र है। पुराने LAPS का CSE (Group Policy extension) लगा रहे तो पुराना CSE पुरानी GPO स्वतंत्र process करता रहता है। पुरानी GPO के target में छोड़कर Windows LAPS policy enable करें तो दोनों एक account को घुमाते dual management बन जाती है।
• पुरानी LAPS GPO Windows LAPS से चलाने वाला «emulation mode» पुराने LAPS का CSE न लगे terminal पर ही चलता है। पुराने LAPS की assumptions (पुरानी schema, पुरानी ACL) ज्यों की त्यों, पर encryption या Entra backup जैसी नई features नहीं।⁹
• OS update भर से पुरानी LAPS GPO बचे terminal अनजाने emulation mode में चल सकते हैं। Kitting के तुरंत बाद unexpected password बदलाव रोकना हो तो local configuration key पर BackupDirectory=0 से emulation रोक सकते हैं।⁹

Migration «target OU को पुरानी LAPS GPO से बाहर (या पुराना CSE uninstall) → Windows LAPS policy apply → पुरानी GPO और CSE हटाएँ» क्रम में, पुराना management हटाकर नया enable करें, ताकि machine-दर-machine management हमेशा एक हो। उलटा क्रम (पहले Windows LAPS policy) पर पुराना CSE बचे terminal पर उपरोक्त dual management आती है।

6.4. Audit — «किसने कब देखा» रखना

Local Administrator password केंद्र में रखने पर उसका read history audit का विषय है। Terminal पक्ष का व्यवहार dedicated event log channel (Event Viewer «Applications and Services Logs > Microsoft > Windows > LAPS > Operational») में दर्ज होता है: processing शुरू 10003 / सफल 10004 / विफल 10005, backup सफल 10018 (AD) / 10029 (Entra), applied policy की सामग्री 10021–10023 आदि।⁸ AD पक्ष Set-LapsADAuditing से target OU पर audit set कर password attributes की पहुँच domain controller के Security log में लिख सकते हैं।⁴ Entra ID backup पर Entra के audit logs और reports से पीछा करें।¹

7. सारांश

• हर PC पर एक ही local Administrator password, एक machine के compromise को Pass-the-Hash से सब तक फैलाता है। Countermeasure machine-दर-machine अलग करना और automatic rotation है, वही Windows LAPS करता है।
• Windows LAPS April 2023 update के बाद Windows 10/11, Windows Server 2019/2022 और बाद में बना है; extra install नहीं। पुराना LAPS (MSI) deprecated है; नया deployment Windows LAPS ही है।
• Backup AD या Entra ID में से एक, terminal की membership से तय। Workgroup पर नहीं चलता, इसलिए हाथ से अलग management या membership बदलें।
• Default disabled है। AD configuration में schema extension, self-update rights, read rights तीन तैयार कर GPO से BackupDirectory set करने पर ही चलता है।
• रोज़ का operations PowerShell धुरी है। प्राप्त Get-LapsADPassword / Get-LapsAADPassword, तुरंत apply Invoke-LapsPolicyProcessing, तुरंत rotation Reset-LapsPassword।
• Pitfalls: extended rights से unexpected read, केवल देखने पर PostAuthenticationActions न चलना, पुराने LAPS से dual management, audit अधूरा। Deploy करते Find-LapsADExtendedRights से rights जाँच और देखने के बाद expiry की प्रक्रिया बाँधें।

संबंधित लेख

• BitLocker practical guide — recovery key के management से drive encryption
• आरेखों से NTLM और Kerberos — authentication NTLM पर क्यों गिरता है
• Windows पर admin privilege वास्तव में कब चाहिए? - UAC, protected areas, और design से कैसे पहचानें
• winget + PowerShell से PC provision automatic करना — runbook को executable बनाना
• Windows TPM क्या है — «key बाहर न निकालने वाला तिजोरी» और measured boot
• Windows PC फेंकने से पहले — data मिटाना, account हटाना, backup की practical जाँच सूची

संबंधित परामर्श क्षेत्र

KomuraSoft LLC PC kitting के automation scripts, Windows LAPS deploy करने समेत terminal security settings व्यवस्थित करना, और मौजूदा shared-password operations से migration योजना सँभालता है। «Kitting की प्रक्रिया है पर व्यक्ति-आश्रित है», «LAPS लगाना है पर AD rights settings पर भरोसा नहीं» जितने चरण से शुरू करना ठीक है।

• Windows app development
• Technical consulting और design review
• संपर्क करें

संदर्भ लिंक

संबंधित लेख

निकटवर्ती विषयों में गहराई से जाने के लिए समान टैग वाले नवीनतम लेख।

संबंधित विषय

ये पृष्ठ विषय को सेवाओं और निर्णयों के व्यापक संदर्भ में रखते हैं।

इस विषय से जुड़ी सेवाएँ

यह लेख निम्नलिखित सेवाओं से सीधे जुड़ा है।

अक्सर पूछे जाने वाले प्रश्न

इस लेख के विषय पर परामर्श में अक्सर पूछे जाने वाले प्रश्न।

पुराना LAPS (MSI से distribute किया Microsoft LAPS) पहले से चल रहा है। क्या करना होगा?

Migration की योजना शुरू करें। पुराना LAPS Windows 11 23H2 के बाद deprecated है, और नए OS पर MSI install स्वयं block होता है। Current OS (April 2023 update लगा Windows 10/11, Windows Server 2019/2022 और बाद) में Windows LAPS पहले से बना है, इसलिए extra install के बिना migrate कर सकते हैं। Transition के दौरान Windows LAPS का «legacy LAPS emulation mode» पुरानी policies चलाना जारी रख सकता है, पर पुराने LAPS का CSE लगा terminal पर नहीं चलता, और encryption या Entra ID backup जैसी नई features नहीं मिलतीं। एक ही account को पुराने और नए दोनों से manage करना supported नहीं, इसलिए machine-दर-machine साफ करें कि कौन manage कर रहा है, फिर बदलें।

लिया password इस्तेमाल करने के बाद यों ही छोड़ दें?

Default configuration में cleanup अपने आप होती है, पर तुरंत नहीं। Windows LAPS में PostAuthenticationActions है — managed account पर authentication (logon) पकड़कर grace period बाद काम करता है; default से authentication के 24 घंटे बाद password reset और sign-out चलता है। उलटा, उस grace period तक वही password चलता रहता है — «इस्तेमाल करते ही invalid» नहीं। यह mechanism «password से authenticate होने» पर चलता है, «directory से केवल देखा» पर नहीं। पक्का तरीका: काम खत्म होते ही explicitly expire करें। AD backup हो तो Set-LapsADPasswordExpirationTime से time expire करें (यह cmdlet AD backup के लिए ही है)। Entra ID backup हो तो target machine पर Reset-LapsPassword चलाएँ, या Intune की local Administrator password rotation action use करें।

न domain, न Entra ID — workgroup PC पर चलता है?

नहीं। Windows LAPS को password के backup location के रूप में Active Directory या Microsoft Entra ID चाहिए; दोनों में join न machine के पास backup location नहीं। Workgroup जारी रखें तो realistic option है प्रत्येक machine पर अलग local Administrator password रखकर secure जगह (password manager आदि) में register रखें। संख्या बढ़े तो LAPS समेत central management का फायदा लेने को Entra ID join (+Intune) या domain join पर जाने का समय है।

Backup किया password कौन देख सकता है?

Active Directory backup में default से Domain Admins के सदस्य देख सकते हैं; अन्य users या groups को Set-LapsADReadPasswordPermission से explicitly rights दें। Password attributes confidential हैं, पर target OU पर extended rights (All Extended Rights) रखने वाले principals पढ़ सकते हैं, इसलिए शुरू में Find-LapsADExtendedRights से unexpected holders अवश्य जाँचें। ADPasswordEncryptionEnabled से encryption चालू करें (domain functional level 2016 या ऊपर चाहिए) तो decrypt करने वाले ADPasswordEncryptionPrincipal से specified group तक संकीर्ण हो जाते हैं। Entra ID backup में default से Global Administrator जैसी privileged roles देख सकती हैं, और Microsoft Graph से लेने को DeviceLocalCredential.Read.All चाहिए।

Windows LAPS के लिए extra license चाहिए?

Feature स्वयं free है। Windows LAPS supported Windows में बनी standard feature है, और Active Directory में password backup के लिए extra license नहीं। Microsoft Entra ID में backup भी Microsoft Entra ID Free या ऊपर से चलता है। Intune से policy distribute करने का Intune license जैसे आसपास के Entra/Intune कार्यों के अपने licenses हो सकते हैं — वही जाँचें।

लेखक की प्रोफ़ाइल

लेख के लेखक का परिचय पृष्ठ।

Go Komura

KomuraSoft LLC के प्रतिनिधि

Windows सॉफ़्टवेयर विकास, तकनीकी परामर्श और बग जाँच में विशेषज्ञ, विशेष रूप से मौजूदा सिस्टम वाली परियोजनाओं और पुनरुत्पादन में कठिन बग में।