Panduan praktis Windows LAPS — berhenti memakai kata sandi administrator lokal yang sama di semua PC

Di lapangan kitting, ada “jalan pintas klasik” yang sudah bertahan lama. Kata sandi administrator lokal yang sama dibakar ke citra master, lalu disebarkan ke semua mesin — saat masuk pemeliharaan, cukup logon dengan kata sandi itu, jadi secara prosedur tampak masuk akal. Namun konfigurasi ini sekarang menjadi sasaran pertama penyerang sebagai produksi massal “kunci cadangan”. Kompromi pada satu mesin langsung berubah menjadi kompromi pada semua mesin.

Artikel ini ditujukan kepada staf sistem informasi di perusahaan menengah dan kecil, serta pengembang yang mengerjakan kitting PC dan operasi pemeliharaan. Setelah merangkum mengapa kata sandi administrator lokal yang sama berbahaya, artikel ini menjelaskan sebagai solusinya mekanisme Windows LAPS (Local Administrator Password Solution) yang tertanam di OS, cara memakainya menurut lingkungan, langkah penerapan, dan jebakan operasional, berdasarkan informasi primer per Agustus 2026. Ini kelanjutan seri keamanan untuk staf TI yang sudah membahas BitLocker, penghentian WSUS, firewall, dan penyimpanan sertifikat.

1. Kesimpulan terlebih dahulu

• Kata sandi administrator lokal yang sama di semua PC adalah lahan subur pergerakan lateral yang menyebarkan kompromi satu mesin ke semua mesin. Jika kata sandinya sama, hash NTLM juga sama, jadi jika hash diambil dari satu mesin, mesin sisanya dapat dimasuki dengan Pass-the-Hash.¹
• Windows LAPS adalah fitur standar OS yang merandomisasi kata sandi administrator lokal per perangkat dan merotasinya secara otomatis. Microsoft menempatkannya di barisan depan manfaat sebagai perlindungan terhadap Pass-the-Hash dan pergerakan lateral.¹
• Tertanam sejak pembaruan 11 April 2023 pada Windows 10/11, serta Windows Server 2019/2022 ke atas. Berbeda dari LAPS lama (distribusi MSI), pemasangan tambahan tidak diperlukan. LAPS lama tidak lagi direkomendasikan sejak Windows 11 23H2.¹
• Tempat penyimpanan kata sandi adalah salah satu dari Active Directory atau Microsoft Entra ID. Perangkat yang hanya bergabung ke domain menyimpan ke AD, yang hanya bergabung ke Entra menyimpan ke Entra ID, dan hybrid join memilih salah satu. Tidak dapat dipakai di perangkat workgroup yang tidak bergabung ke keduanya.¹
• Secara default tidak terjadi apa-apa. Nilai default BackupDirectory adalah “nonaktif”, jadi Windows LAPS baru bergerak setelah tujuan penyimpanan dinyatakan dengan kebijakan (GPO atau Intune/CSP).²
• Penyimpanan AD memerlukan tiga persiapan. Perluasan skema (Update-LapsADSchema), izin tulis komputer itu sendiri (Set-LapsADComputerSelfPermission), dan desain izin baca (Set-LapsADReadPasswordPermission).³
• Pemeriksaan kata sandi memakai Get-LapsADPassword / Get-LapsAADPassword, penerapan segera Invoke-LapsPolicyProcessing, dan rotasi segera di sisi perangkat Reset-LapsPassword.⁴
• Kata sandi yang sudah dipakai menjadi sekali pakai secara otomatis. Setelah autentikasi pada akun terkelola, secara default reset plus sign-out (PostAuthenticationActions) dijalankan dalam 24 jam.²

Pada diagram, garis utuh menunjukkan relasi yang selalu berlaku dan garis putus-putus menunjukkan relasi bersyarat (syaratnya ada pada penjelasan masing-masing relasi di halaman rincian). Daftar lengkap relasi (total 31, beserta bukti dan tingkat kepastian) serta definisi konsep utama dikumpulkan di halaman rincian peta pengetahuan (dalam bahasa Jepang). Data: JSON-LD / Turtle

2. Mengapa kata sandi administrator lokal yang sama di semua PC berbahaya

Pertama, kuasai dengan tepat struktur ancamannya. Jika kata sandi akun administrator lokal (Administrator bawaan, atau akun pemeliharaan yang dibuat saat kitting) diseragamkan di semua mesin, apa yang terjadi?

Windows tidak menyimpan kata sandi akun lokal apa adanya, melainkan sebagai hash NT yang dihitung dari kata sandi itu. Pada autentikasi NTLM, hash itulah bahan autentikasi. Artinya, jika kata sandinya sama, hash-nya juga sama di semua mesin. Jika penyerang mengambil hak administrator pada satu mesin lewat malware atau serangan tertarget, hash dapat diambil dari memori atau basis data lokal (SAM) perangkat itu. Di sinilah intinya: hash yang diambil dapat dipakai untuk autentikasi tanpa dikembalikan ke kata sandi teks biasa. Itulah serangan Pass-the-Hash. Dalam lingkungan kata sandi bersama, hash dari satu mesin menjadi “kunci cadangan” ke semua mesin sisanya, dan kompromi menyebar ke samping dengan cepat. Mekanisme autentikasi NTLM dan alasan autentikasi dapat lolos hanya dengan hash dijelaskan lebih rinci di “NTLM dan Kerberos dijelaskan dengan diagram”.

flowchart TB
    subgraph BEFORE["Lingkungan kata sandi bersama"]
        A1["PC-01 dikompromikan<br/>(malware / serangan tertarget)"] --> H["Mengambil hash NT administrator"]
        H -->|"Pass-the-Hash"| B1["PC-02"]
        H -->|"Pass-the-Hash"| B2["PC-03"]
        H -->|"Pass-the-Hash"| B3["…pergerakan lateral ke semua PC"]
    end
    subgraph AFTER["Setelah LAPS diterapkan"]
        C1["PC-01 dikompromikan"] --> H2["Mengambil hash PC-01"]
        H2 -->|"karena kata sandi berbeda per perangkat"| STOP["Hash ini tidak dapat dipakai<br/>untuk autentikasi di PC lain<br/>(memutus pergerakan lateral<br/>lewat administrator lokal)"]
    end

Arah penanganannya jelas: buat kata sandi administrator lokal berbeda per perangkat, dan ubah secara berkala. Dengan begitu, hash dari satu mesin tidak dapat dipakai di perangkat lain, dan jalur pergerakan lateral berupa pemakaian ulang akun administrator lokal terputus (perhatikan bahwa jalur pergerakan lateral lain, misalnya pencurian kredensial domain di PC yang sudah dikompromikan, tidak tertutup). Namun mengerjakannya secara manual tidak realistis. Menghasilkan puluhan kata sandi satu per satu, mengelolanya di daftar, lalu memperbaruinya secara berkala — tingginya biaya operasi itulah alasan jalan pintas kata sandi bersama bertahan. Windows LAPS adalah fitur yang membuat OS menanggung otomatisasi “pembedaan per perangkat dan perubahan berkala” itu, beserta penyimpanan aman ke direktori. Microsoft sendiri menempatkan “perlindungan dari serangan Pass-the-Hash dan serangan pergerakan lateral (lateral-traversal)” di barisan depan manfaat Windows LAPS.¹

Selain itu, untuk dasar pengelolaan hak istimewa — jangan menjalankan pekerjaan harian dengan akun administrator, dan persempit tujuan akun pemeliharaan — lihat juga “Kapan hak administrator Windows benar-benar diperlukan”.

3. Apa itu Windows LAPS — perbedaannya dari LAPS lama

Nama LAPS punya sejarah. Di lapangan, percakapan tidak nyambung jika tidak dibedakan “LAPS yang mana”.

LAPS lama (legacy Microsoft LAPS) adalah alat pemasangan tambahan yang Microsoft terbitkan pada 2016.¹ Paket MSI didistribusikan ke semua perangkat untuk memasang ekstensi kebijakan grup (CSE), lalu kata sandi disimpan sebagai teks biasa di atribut ms-Mcs-AdmPwd Active Directory. Lama menjadi standar de facto.

Windows LAPS adalah implementasi terpisah yang tertanam di OS sebagai penerusnya. Termasuk sejak pembaruan 11 April 2023 pada Windows 10, Windows 11 21H2/22H2, dan Windows Server 2019/2022, serta sudah ada sejak awal pada Windows 11 23H2 ke atas dan Windows Server 2025 ke atas.¹ Artinya, jika pembaruan diterapkan secara biasa, PC di organisasi sudah punya Windows LAPS. Tinggal mengatur kebijakannya.

Yang penting: Windows LAPS bukan perbaikan LAPS lama, melainkan implementasi yang sepenuhnya terpisah, dan atribut skema AD-nya juga berbeda (msLAPS-*).⁴ Untuk membantu migrasi dari LAPS lama, tersedia juga “mode emulasi” yang membuat Windows LAPS menafsirkan pengaturan GPO LAPS lama lalu berjalan. Namun batasannya banyak (bab 6), dan tidak ada alasan memakainya pada penerapan baru.

4. Di mana kata sandi disimpan — tabel keputusan menurut lingkungan

Windows LAPS “mencadangkan” kata sandi yang dihasilkannya ke direktori. Tempat penyimpanan ditentukan oleh status bergabung perangkat, dan tidak dapat disimpan ke AD dan Entra ID sekaligus.¹

Pada penyimpanan AD, kata sandi ditulis ke atribut objek komputer (teks biasa: msLAPS-Password; jika enkripsi aktif: msLAPS-EncryptedPassword; tenggat: msLAPS-PasswordExpirationTime).⁶ Di antaranya, atribut yang berisi kata sandi (msLAPS-Password dan seri terenkripsi msLAPS-Encrypted*) ditandai sebagai atribut rahasia (confidential) dan tidak dapat dibaca dengan izin baca biasa. Sebaliknya, tenggat msLAPS-PasswordExpirationTime tidak punya tanda rahasia (SearchFlags: 0) dan merupakan metadata yang dapat dibaca dengan izin baca default.⁶ Penyimpanan terenkripsi dan riwayat kata sandi memerlukan tingkat fungsional domain (DFL) 2016 ke atas.³ Yang perlu diperhatikan: nilai default pengaturan enkripsi (ADPasswordEncryptionEnabled) adalah aktif.² Pada domain dengan DFL lebih lama dari 2016 enkripsi tidak dapat dipakai, jadi jangan mengandalkan beralih otomatis ke teks biasa; nonaktifkan enkripsi secara eksplisit di kebijakan dan simpan sebagai teks biasa plus perlindungan ACL.³

Pada penyimpanan Entra ID, konfigurasi standar adalah mengaktifkan “pengelolaan kata sandi administrator lokal” di sisi tenant, lalu mendistribusikan kebijakan dari Intune lewat LAPS CSP. Dari sisi lisensi, fungsi Windows LAPS sendiri gratis, penyimpanan AD tidak punya persyaratan tambahan, dan penyimpanan Entra ID dapat dipakai dengan Microsoft Entra ID Free ke atas.¹

Tidak adanya alternatif untuk perangkat workgroup tidak terelakkan, karena direktori tujuan penyimpanan tidak ada. Yang realistis adalah menetapkan kata sandi berbeda per perangkat saat kitting, lalu mengelola daftarnya dengan pengelola kata sandi dan semacamnya. Jika kitting sudah diotomatisasi dengan skrip, yang andal adalah memasukkan pembuatan kata sandi per perangkat ke dalam skrip itu (lihat “Mengotomatiskan kitting PC dengan winget + PowerShell”).

5. Praktik langkah penerapan — berporos pada konfigurasi AD + GPO

Di sini langkah aktual diikuti dengan poros konfigurasi AD domain + GPO, yang jumlahnya paling banyak. Perbedaan dari konfigurasi Entra + Intune dirangkum di akhir.

5.1. Persiapan (pekerjaan sekali saja)

Pada penyimpanan AD, selesaikan persiapan di sisi forest sebelum mendistribusikan kebijakan.³

# 1. Perluasan skema (sekali per forest. Jalankan dengan izin Schema Admins)
Update-LapsADSchema

# 2. Beri komputer di bawah OU sasaran izin memperbarui atribut kata sandinya sendiri
Set-LapsADComputerSelfPermission -Identity "OU=社内PC,DC=example,DC=co,DC=jp"

# 3. Beri grup yang boleh melihat kata sandi (Domain Admins secara default sudah dapat melihat)
Set-LapsADReadPasswordPermission -Identity "OU=社内PC,DC=example,DC=co,DC=jp" `
    -AllowedPrincipals @("EXAMPLE\HelpdeskAdmins")

# 4. Beri grup yang boleh mengubah tenggat kata sandi (instruksi reset = pencabutan segera)
#    (diperlukan untuk Set-LapsADPasswordExpirationTime di 5.4. Domain Admins secara default sudah dapat)
Set-LapsADResetPasswordPermission -Identity "OU=社内PC,DC=example,DC=co,DC=jp" `
    -AllowedPrincipals @("EXAMPLE\HelpdeskAdmins")

# 5. Periksa apakah ada pemegang izin baca yang tidak terduga (dibahas di bab 6)
Find-LapsADExtendedRights -Identity "OU=社内PC,DC=example,DC=co,DC=jp"

Jika memakai penyimpanan terenkripsi (DFL 2016 ke atas, aktif secara default), ada satu pengaturan lagi. Izin baca dan izin dekripsi adalah hal yang berbeda; yang dapat mendekripsi secara default hanya Domain Admins.³ Jika grup helpdesk benar-benar harus dapat mengambil kata sandi, tetapkan grup yang sama (EXAMPLE\HelpdeskAdmins) juga di ADPasswordEncryptionPrincipal pada kebijakan.² Jika ini terlewat, meskipun izin baca sudah diberikan sesuai langkah di atas, hasilnya “atribut dapat dibaca, tetapi tidak dapat didekripsi”.

Update-LapsADSchema berbeda dari Update-AdmPwdADSchema LAPS lama; yang ditambahkan adalah atribut msLAPS-*. Bahkan di lingkungan yang sudah menerapkan LAPS lama, perluasan skema untuk Windows LAPS tetap diperlukan lagi.⁴ Jika Central Store GPO dipakai, templat Windows LAPS tidak disalin ke Central Store oleh Windows Update, jadi salin secara manual.² Saat itu, salin bukan hanya %windir%\PolicyDefinitions\LAPS.admx, tetapi juga sumber daya bahasa LAPS.adml (untuk UI Jepang, di dalam subfolder ja-JP) ke folder bahasa yang sesuai. Tanpa ADML, tampilan kebijakan LAPS di GPMC menjadi kesalahan sumber daya.

5.2. Pengaturan kebijakan

Lokasi pengaturan GPO adalah “Konfigurasi Komputer > Kebijakan > Templat Administratif > Sistem > LAPS”.² Pengaturan wajib minimum adalah tujuan penyimpanan: selama BackupDirectory belum disetel ke “Active Directory” (nilai 2), Windows LAPS tidak melakukan apa pun (nilai default “nonaktif”).² Pengaturan utama dan nilai defaultnya sebagai berikut.

Yang mudah terlewat di sini adalah aktif/nonaktif akun terkelola. Administrator bawaan dinonaktifkan pada saat penyiapan Windows.⁷ Windows LAPS tetap mengelola kata sandi akun yang nonaktif, tetapi tidak mengaktifkan akun itu.² Artinya, pada konfigurasi default, keadaan “kata sandi tersimpan di direktori, tetapi tidak ada yang dapat masuk dengan akun itu” dapat terjadi. Untuk memakainya sebagai sarana pemulihan, pilih secara eksplisit salah satu: aktifkan Administrator bawaan lalu operasikan, jadikan akun pemeliharaan kustom yang sudah aktif sebagai sasaran kelola, atau pada Windows 11 24H2 / Server 2025 ke atas, kelola termasuk status aktif dengan pengelolaan akun otomatis (pengaturan seri AutomaticAccountManagement).²

5.3. Verifikasi perilaku dan pengambilan kata sandi

Windows LAPS memproses kebijakan yang berlaku setiap jam. Jika ingin memeriksa tanpa menunggu penerapan, jalankan pemrosesan segera di perangkat sasaran.³

# Sisi perangkat: proses kebijakan segera (langkah standar saat verifikasi)
Invoke-LapsPolicyProcessing

# Sisi perangkat: periksa hasil di log peristiwa
# 10003=mulai pemrosesan / 10004=berhasil / 10005=gagal / 10018=penyimpanan ke AD berhasil
Get-WinEvent -LogName "Microsoft-Windows-LAPS/Operational" -MaxEvents 20

Kata sandi yang tersimpan diambil dari perangkat admin yang punya izin.³

# Ambil kata sandi dari AD (tanpa -AsPlainText, string tetap disembunyikan)
Get-LapsADPassword -Identity PC-0123 -AsPlainText

# Contoh keluaran: Account, Password, PasswordUpdateTime, ExpirationTimestamp,
#         Source (EncryptedPassword jika penyimpanan terenkripsi), AuthorizedDecryptor, dan semacamnya

Untuk yang lebih suka GUI, tab LAPS ditambahkan pada properti komputer di “Pengguna dan Komputer Active Directory”, dan kata sandi dapat dilihat dari sana.¹

5.4. Rotasi segera

Setelah kata sandi selesai dipakai untuk pemeliharaan, atau jika ada dugaan kompromi, putar segera tanpa menunggu rotasi berkala berikutnya.³

# Dari perangkat admin: setel tenggat ke “sekarang” agar rotasi terjadi pada pemrosesan berikutnya
Set-LapsADPasswordExpirationTime -Identity PC-0123
# Jika pemrosesan segera dijalankan di perangkat sasaran, kata sandi baru berlaku di tempat
Invoke-LapsPolicyProcessing

# Rotasi segera langsung di perangkat sasaran
Reset-LapsPassword

5.5. Perbedaan pada konfigurasi Entra + Intune

Pada penyimpanan Entra ID, perluasan skema dan pengaturan ACL seperti di AD tidak diperlukan.³ Sebagai gantinya, pengaktifan pengelolaan kata sandi administrator lokal di [pengaturan perangkat] tenant Microsoft Entra diperlukan; jika ini terlewat, perangkat tidak dapat menyimpan kata sandi.⁵ Kebijakan didistribusikan dari Intune lewat LAPS CSP, dan kata sandi diambil dari layar pusat admin Entra / pusat admin Intune, atau dengan Get-LapsAADPassword lewat Microsoft Graph.⁵

# Ambil kata sandi penyimpanan Entra ID lewat Graph (contoh delegated access)
# Minta cakupan yang diperlukan secara eksplisit saat Connect
Connect-MgGraph -Scopes "Device.Read.All","DeviceLocalCredential.Read.All"
Get-LapsAADPassword -DeviceIds PC-0123 -IncludePasswords -AsPlainText

ID peristiwa penyimpanan berhasil adalah 10018 untuk AD, dan 10029 untuk Entra ID.⁸

6. Jebakan operasional

Menerapkan saja belum selesai. Berikut poin yang di lapangan mudah terinjak, satu per satu.

6.1. Izin baca lebih luas dari yang dikira

Atribut kata sandi adalah atribut rahasia (confidential) jadi tidak terlihat dengan baca biasa, tetapi prinsipal yang memiliki hak diperluas (All Extended Rights) pada OU sasaran dapat membacanya. Di lingkungan yang dulu mendelegasikan izin luas pada OU, grup yang tidak terduga sering dapat membaca kata sandi. Saat penerapan, inventarisasi pemegang hak diperluas dengan Find-LapsADExtendedRights, dan jika yang muncul selain SYSTEM dan Domain Admins, tinjau ulang isi delegasi.³

Lebih jauh, jika penyimpanan terenkripsi (ADPasswordEncryptionEnabled) diaktifkan, izin baca dan izin dekripsi dapat dipisah. Hanya memberi izin baca tidak cukup untuk mendekripsi kata sandi terenkripsi; yang dapat mendekripsi secara default hanya Domain Admins, dan untuk mengubahnya tetapkan grup yang boleh mendekripsi dengan ADPasswordEncryptionPrincipal.³ Penyempitan seperti “helpdesk hanya dapat mendekripsi kata sandi OU yang menjadi tanggung jawabnya” dirancang dengan dua tingkat ini.

6.2. Mekanisme “pakai lalu buang” dan batasnya — PostAuthenticationActions

Tidak ada gunanya jika kata sandi yang diambil helpdesk terus tertinggal di kertas catatan atau chat. Windows LAPS menjalankan pembersihan otomatis setelah tenggang waktu (PostAuthenticationResetDelay, default 24 jam) sejak autentikasi pada akun terkelola terdeteksi. Tindakan default adalah “reset kata sandi lalu sign-out”.²

Ada dua hal yang perlu diperhatikan. Pertama, jika tenggang waktu disetel ke 0, fitur ini sendiri menjadi nonaktif.² Kedua, pemicunya adalah “autentikasi”, bukan “pembacaan kata sandi”. Jika kata sandi hanya diambil dari direktori lalu tidak dipakai, reset otomatis ini tidak berjalan. Yang andal adalah menanamkan ke prosedur operasi: apa pun status pemakaiannya, cabut kata sandi yang sudah dibaca dengan Set-LapsADPasswordExpirationTime saat pekerjaan selesai.

6.3. Pemakaian bersama dan migrasi dari LAPS lama

Yang paling berbahaya pada masa transisi adalah keadaan akun yang sama dikelola oleh LAPS lama dan Windows LAPS sekaligus. Konfigurasi dua mekanisme yang berebut kata sandi akun yang sama adalah risiko keamanan dan tidak didukung.⁹ Aturannya sebagai berikut.

• Pada perangkat yang menerapkan setidaknya satu kebijakan Windows LAPS, Windows LAPS sendiri selalu mengabaikan kebijakan LAPS lama (Windows LAPS diutamakan).⁹ Namun itu hanya soal penafsiran di sisi Windows LAPS. Jika CSE LAPS lama (ekstensi kebijakan grup) masih terpasang, CSE lama terus memproses GPO lama secara independen. Jika kebijakan Windows LAPS diaktifkan sementara perangkat masih menjadi sasaran penerapan GPO lama, keduanya merotasi akun yang sama — keadaan pengelolaan ganda.
• “Mode emulasi” yang membuat Windows LAPS memproses pengaturan GPO LAPS lama hanya berjalan di perangkat yang CSE LAPS lamanya tidak terpasang. Prasyarat lingkungan LAPS lama (skema lama, ACL lama) dipakai apa adanya, tetapi fitur baru seperti enkripsi atau penyimpanan Entra tidak dapat dipakai.⁹
• Hanya karena OS diperbarui, perangkat yang masih punya GPO LAPS lama kadang mulai berjalan dalam mode emulasi tanpa disengaja. Jika ingin menghindari perubahan kata sandi yang tidak terduga tepat setelah kitting, emulasi dapat dihentikan dengan menyetel BackupDirectory=0 di kunci konfigurasi lokal.⁹

Migrasi dijalankan dengan urutan “keluarkan OU sasaran dari penerapan GPO LAPS lama (atau copot CSE lama) → terapkan kebijakan Windows LAPS → bersihkan sisa GPO lama dan CSE lama”, nonaktifkan pengelolaan lama dulu baru aktifkan pengelolaan baru, dan pastikan per perangkat selalu jelas di bawah pengelolaan mana. Urutan terbalik (menerapkan kebijakan Windows LAPS lebih dulu) menimbulkan pengelolaan ganda di atas pada perangkat yang CSE lamanya masih ada.

6.4. Audit — menyimpan “siapa melihat kapan”

Karena kata sandi administrator lokal disimpan terpusat, riwayat bacanya adalah objek audit. Perilaku di sisi perangkat seluruhnya tercatat di saluran khusus log peristiwa (di Event Viewer: “Log Aplikasi dan Layanan > Microsoft > Windows > LAPS > Operational”), dan dapat dicek mulai pemrosesan 10003 / berhasil 10004 / gagal 10005, penyimpanan berhasil 10018 (AD) / 10029 (Entra), isi kebijakan yang sedang diterapkan 10021–10023, dan semacamnya.⁸ Di sisi AD, audit pada OU sasaran dapat dikonfigurasi dengan Set-LapsADAuditing, dan akses ke atribut kata sandi dapat dicatat di log keamanan domain controller.⁴ Pada penyimpanan Entra ID, pelacakan memakai log audit dan fitur laporan di sisi Entra.¹

7. Ringkasan

• Kata sandi administrator lokal yang sama di semua PC membuat struktur kompromi satu mesin menjalar ke semua mesin lewat Pass-the-Hash. Penanganannya adalah pembedaan per perangkat dan rotasi otomatis, dan yang menanggungnya adalah Windows LAPS.
• Windows LAPS sudah tertanam sejak pembaruan April 2023 pada Windows 10/11 dan Windows Server 2019/2022 ke atas; pemasangan tambahan tidak diperlukan. LAPS lama (distribusi MSI) tidak lagi direkomendasikan, dan penerapan baru hanya Windows LAPS.
• Tempat penyimpanan adalah salah satu AD atau Entra ID, ditentukan oleh status bergabung perangkat. Tidak dapat dipakai di perangkat workgroup, jadi pengelolaan terpisah secara manual atau peninjauan bentuk bergabung diperlukan.
• Secara default nonaktif. Pada konfigurasi AD, siapkan tiga hal — perluasan skema, izin pembaruan diri, izin baca — lalu baru bergerak setelah BackupDirectory disetel di GPO.
• Operasi harian berpusat pada PowerShell. Pengambilan: Get-LapsADPassword / Get-LapsAADPassword; penerapan segera: Invoke-LapsPolicyProcessing; rotasi segera: Reset-LapsPassword.
• Jebakannya adalah baca yang tidak terduga lewat hak diperluas, PostAuthenticationActions yang tidak berjalan hanya karena kata sandi dibaca, pengelolaan ganda dengan LAPS lama, dan audit yang belum ditata. Saat penerapan, tetapkan pemeriksaan izin dengan Find-LapsADExtendedRights dan prosedur pencabutan setelah kata sandi dibaca.

Artikel terkait

• Panduan praktis BitLocker — enkripsi drive yang dimulai dari pengelolaan kunci pemulihan
• NTLM dan Kerberos dijelaskan dengan diagram — mengapa autentikasi “jatuh” ke NTLM
• Kapan hak administrator Windows benar-benar diperlukan — UAC, area terlindungi, dan cara membedakannya dalam desain
• Mengotomatiskan kitting PC dengan winget + PowerShell — membuat runbook dapat dijalankan
• Apa itu TPM Windows — “brankas yang tidak mengeluarkan kunci” dan measured boot dijelaskan dengan diagram
• Yang ingin dikerjakan sebelum membuang PC Windows — daftar periksa praktis penghapusan data, pelepasan akun, dan cadangan

Area konsultasi terkait

KomuraSoft LLC menangani pembuatan skrip otomatisasi kitting PC, penataan pengaturan keamanan perangkat termasuk penerapan Windows LAPS, dan penyusunan rencana migrasi dari operasi kata sandi bersama yang sudah berjalan. Tidak masalah memulai dari tahap seperti “ada runbook kitting, tetapi masih bergantung pada orang tertentu” atau “ingin menerapkan LAPS, tetapi belum yakin dengan pengaturan izin di AD”.

• Pengembangan aplikasi Windows
• Konsultasi teknis dan tinjauan desain
• Hubungi kami

  Tautan referensi

Artikel terkait

Artikel terbaru dengan tag yang sama untuk mendalami topik-topik terdekat.

Topik terkait

Halaman-halaman ini menempatkan topik dalam konteks layanan dan keputusan yang lebih luas.

Layanan yang terkait dengan topik ini

Artikel ini berkaitan langsung dengan layanan berikut.

Pertanyaan yang sering diajukan

Pertanyaan yang sering muncul dalam konsultasi tentang topik artikel ini.

Kami sudah mengoperasikan LAPS lama (Microsoft LAPS yang didistribusikan sebagai MSI). Apakah ada yang perlu dilakukan?

Mulailah merencanakan migrasi. LAPS lama tidak lagi direkomendasikan sejak Windows 11 23H2, dan pada OS baru pemasangan MSI-nya sendiri diblokir. OS yang dipakai sekarang (Windows 10/11 dengan pembaruan April 2023, serta Windows Server 2019/2022 ke atas) sudah menyertakan Windows LAPS, jadi migrasi dapat dilakukan tanpa pemasangan tambahan. Selama masa transisi, Windows LAPS dapat terus memproses kebijakan lama lewat "mode emulasi LAPS lama", tetapi ada batasan: tidak berjalan di perangkat yang masih terpasang CSE LAPS lama, dan fitur baru seperti enkripsi atau penyimpanan ke Entra ID tidak dapat dipakai. Konfigurasi yang mengelola akun yang sama dengan keduanya tidak didukung, jadi perjelas per perangkat mekanisme mana yang mengelola, lalu beralih.

Setelah kata sandi yang diambil dipakai, apakah boleh dibiarkan begitu saja?

Pada konfigurasi default, pembersihan berjalan otomatis, tetapi tidak seketika. Windows LAPS memiliki PostAuthenticationActions yang memproses setelah tenggang waktu sejak autentikasi (logon) pada akun terkelola terdeteksi; secara default, 24 jam setelah autentikasi, reset kata sandi dan sign-out dijalankan. Artinya, sampai tenggang itu lewat, kata sandi yang sama tetap berlaku — tidak "langsung tidak berlaku begitu dipakai". Mekanisme ini juga hanya berjalan saat autentikasi dengan kata sandi, bukan saat kata sandi hanya dibaca dari direktori. Yang paling andal adalah mencabutnya secara eksplisit saat pekerjaan selesai. Untuk penyimpanan AD, jadikan kedaluwarsa dengan Set-LapsADPasswordExpirationTime (cmdlet ini khusus penyimpanan AD). Untuk penyimpanan Entra ID, jalankan Reset-LapsPassword di perangkat sasaran, atau gunakan operasi rotasi kata sandi administrator lokal di Intune.

Apakah dapat dipakai di PC workgroup yang tidak bergabung ke domain maupun Entra ID?

Tidak. Windows LAPS memerlukan Active Directory atau Microsoft Entra ID sebagai tempat menyimpan kata sandi; perangkat yang tidak bergabung ke keduanya tidak punya tujuan cadangan. Jika operasi workgroup dilanjutkan, alternatif yang realistis adalah menetapkan kata sandi administrator lokal yang berbeda per perangkat dan mengelola daftarnya di tempat aman (pengelola kata sandi, dan semacamnya). Jika jumlah perangkat bertambah, saatnya mempertimbangkan bergabung ke Entra ID (plus Intune) atau ke domain agar mendapat manfaat pengelolaan terpusat, termasuk LAPS.

Siapa yang dapat melihat kata sandi yang tersimpan?

Pada penyimpanan Active Directory, secara default yang dapat melihat adalah anggota Domain Admins; kepada pengguna atau grup lain, izin diberikan secara eksplisit dengan Set-LapsADReadPasswordPermission. Namun, meskipun atribut kata sandi ditandai sebagai atribut rahasia (confidential), prinsipal yang memiliki hak diperluas (All Extended Rights) pada OU tetap dapat membacanya, jadi pastikan dengan Find-LapsADExtendedRights saat penerapan bahwa tidak ada pemegang yang tidak terduga. Jika enkripsi diaktifkan dengan ADPasswordEncryptionEnabled (memerlukan tingkat fungsional domain 2016 ke atas), pihak yang dapat mendekripsi dapat dibatasi ke grup yang ditetapkan di ADPasswordEncryptionPrincipal. Pada penyimpanan Entra ID, secara default peran istimewa seperti Global Administrator dapat melihat, dan pengambilan lewat Microsoft Graph memerlukan izin DeviceLocalCredential.Read.All.

Apakah lisensi tambahan diperlukan untuk memakai Windows LAPS?

Fungsinya sendiri gratis. Windows LAPS adalah fitur standar yang tertanam di Windows yang didukung, dan penyimpanan kata sandi ke Active Directory tidak punya persyaratan lisensi tambahan. Penyimpanan ke Microsoft Entra ID juga dapat dipakai dengan lisensi Microsoft Entra ID Free ke atas. Persyaratan lisensi terpisah dapat berlaku untuk fungsi Entra/Intune di sekitarnya — misalnya lisensi Intune jika kebijakan didistribusikan dengan Intune — jadi hanya itu yang perlu dicek.

Profil penulis

Halaman perkenalan penulis artikel.

Go Komura

Direktur KomuraSoft LLC

Berspesialisasi dalam pengembangan perangkat lunak Windows, konsultasi teknis, dan investigasi bug, terutama pada proyek dengan sistem yang sudah ada dan bug yang sulit direproduksi.