Una guida pratica a Windows LAPS — Abbandonare la password di amministratore locale comune a tutti i PC

Nel kitting dei PC c’è da tempo un «taglio d’angolo» di rito. Si brucia una password di amministratore locale comune nell’immagine master e la si distribuisce su tutte le macchine — quando si entra in manutenzione basta accedere con quella password, e come procedura sembra ragionevole. Questa configurazione, però, è oggi il primo punto che un attaccante prende di mira come «produzione in serie di chiavi passepartout». La compromissione di una macchina diventa, così com’è, la compromissione di tutte.

Questo articolo è rivolto al personale IT delle piccole e medie imprese e agli sviluppatori che si occupano, su commissione, del kitting e della manutenzione dei PC. Organizza perché una password di amministratore locale comune è pericolosa e, come soluzione, il funzionamento di Windows LAPS (Local Administrator Password Solution) integrato nel sistema operativo, la scelta per ambiente, i passi di introduzione e le trappole operative, sulla base di fonti primarie ad agosto 2026. È il seguito della serie di sicurezza per i sistemi informativi che ha già trattato BitLocker, l’abbandono di WSUS, il firewall e l’archivio certificati.

1. Prima di tutto, la conclusione

• Una password di amministratore locale comune a tutti i PC è un terreno fertile per il movimento laterale (lateral movement), in cui la compromissione di una macchina si estende a tutte. Se la password è la stessa, anche l’hash NTLM è lo stesso: se l’hash viene estratto da una macchina, si entra in tutte le altre con Pass-the-Hash.¹
• Windows LAPS è una funzione standard del sistema operativo che randomizza la password di amministratore locale per dispositivo e la ruota automaticamente. Microsoft la mette in testa ai vantaggi come contromisura a Pass-the-Hash e al movimento laterale.¹
• È integrato in Windows 10/11 a partire dall’aggiornamento dell’11 aprile 2023 e in Windows Server 2019/2022 e successivi. A differenza del LAPS legacy (distribuito come MSI) non serve un’installazione aggiuntiva. Il LAPS legacy è deprecato a partire da Windows 11 23H2.¹
• La destinazione di memorizzazione della password è Active Directory oppure Microsoft Entra ID, uno solo dei due. I dispositivi uniti solo al dominio vanno in AD, quelli uniti solo a Entra vanno in Entra ID, quelli in adesione ibrida scelgono uno dei due. Non si può usare su un dispositivo in gruppo di lavoro, non unito a nessuno dei due.¹
• Per default non succede nulla. Il valore predefinito di BackupDirectory è «Disabilitato», quindi parte solo quando esplicitate la destinazione con una policy (GPO oppure Intune/CSP).²
• Per la memorizzazione in AD servono tre preparativi. Estensione dello schema (Update-LapsADSchema), permesso di scrittura del computer su se stesso (Set-LapsADComputerSelfPermission) e progettazione dei permessi di lettura (Set-LapsADReadPasswordPermission).³
• La consultazione della password è Get-LapsADPassword / Get-LapsAADPassword, l’applicazione immediata è Invoke-LapsPolicyProcessing, la rotazione immediata sul dispositivo è Reset-LapsPassword.⁴
• La password usata diventa usa-e-getta in automatico. Dopo l’autenticazione con l’account gestito, per default a 24 ore vengono eseguiti reset e disconnessione (PostAuthenticationActions).²

Mappa della conoscenza di questo articolo

Una password di amministratore locale comune a tutti i PC, se la password è la stessa, rende uguale anche l’hash NT, quindi l’hash estratto da una macchina diventa così com’è la chiave passepartout per gli altri dispositivi, e porta al movimento laterale via Pass-the-Hash. Windows LAPS è una funzione standard del sistema operativo che interrompe questo percorso randomizzando la password per dispositivo e ruotandola in automatico; la destinazione è uno solo tra Active Directory e Microsoft Entra ID, e su un dispositivo in gruppo di lavoro non unito a nessuno dei due non si può usare. Per default BackupDirectory è disabilitato, quindi non succede nulla finché non si esplicita la destinazione con GPO o con il LAPS CSP di Intune. Nella memorizzazione in AD l’estensione dello schema è premessa; gli attributi della password aggiunti sono attributi riservati, ma un principal con diritti estesi sull’OU di destinazione può leggerli, quindi serve un doppio strato che con la memorizzazione cifrata restringe chi può decifrare. La password recuperata viene reimpostata in automatico 24 ore dopo l’autenticazione con PostAuthenticationActions, ma il grilletto è l’autenticazione, non la consultazione.

flowchart LR
    accTitle: Mappa della conoscenza di Windows LAPS e della password di amministratore locale comune
    accDescr: Diagramma che mostra lo schema in cui una password di amministratore locale comune a tutti i PC porta al movimento laterale via Pass-the-Hash, e come Windows LAPS lo interrompe: destinazione, preparativi, permessi di visualizzazione, meccanismo usa-e-getta e rapporto con il LAPS legacy
    windows_laps["Windows LAPS"]
    shared_local_admin_password["Password di amministratore locale comune a tutti i PC"]
    pass_the_hash["Pass-the-Hash"]
    nt_hash["Hash NT"]
    lateral_movement["Movimento laterale"]
    local_administrator_account["Account di amministratore locale"]
    builtin_administrator_account["Account Administrator predefinito"]
    laps_managed_account_disabled["Stato in cui l'account gestito resta disabilitato"]
    legacy_microsoft_laps["LAPS legacy (legacy Microsoft LAPS)"]
    duplicate_account_management["Doppia gestione dello stesso account"]
    laps_emulation_mode["Modalità di emulazione del LAPS legacy"]
    laps_password_encryption["Memorizzazione cifrata della password LAPS"]
    active_directory["Active Directory (AD DS)"]
    entra_id["Microsoft Entra ID"]
    workgroup["Configurazione gruppo di lavoro"]
    laps_backup_directory["Impostazione BackupDirectory"]
    group_policy["Criteri di gruppo"]
    laps_csp["LAPS CSP"]
    intune["Microsoft Intune"]
    laps_ad_backup["Memorizzazione della password LAPS in Active Directory"]
    laps_ad_schema_extension["Estensione di schema AD di Windows LAPS (msLAPS-*)"]
    ad_confidential_attribute["Attributo riservato (confidential)"]
    ad_extended_rights["Diritti estesi (All Extended Rights)"]
    confidential_attribute_protection["Protezione in lettura tramite attributo riservato"]
    laps_powershell_module["Modulo LAPS PowerShell"]
    domain_functional_level["Livello funzionale di dominio (DFL)"]
    laps_post_authentication_actions["PostAuthenticationActions"]
    laps_operational_log["Registro LAPS/Operational"]
    shared_local_admin_password -->|"può causare"| pass_the_hash
    pass_the_hash -->|"usa"| nt_hash
    pass_the_hash -->|"può causare"| lateral_movement
    windows_laps -->|"previene"| shared_local_admin_password
    windows_laps -.->|"mitiga"| lateral_movement
    windows_laps -->|"automatizza"| local_administrator_account
    windows_laps -->|"usa"| builtin_administrator_account
    windows_laps -.->|"può causare"| laps_managed_account_disabled
    builtin_administrator_account -.->|"può causare"| laps_managed_account_disabled
    windows_laps -->|"successore di"| legacy_microsoft_laps
    legacy_microsoft_laps -.->|"può causare"| duplicate_account_management
    laps_emulation_mode -->|"incompatibile con"| legacy_microsoft_laps
    laps_emulation_mode -->|"incompatibile con"| laps_password_encryption
    windows_laps -.->|"salvato in"| active_directory
    windows_laps -.->|"salvato in"| entra_id
    windows_laps -->|"incompatibile con"| workgroup
    windows_laps -->|"richiede"| laps_backup_directory
    laps_backup_directory -.->|"configurato da"| group_policy
    laps_backup_directory -.->|"configurato da"| laps_csp
    intune -.->|"usa"| laps_csp
    laps_ad_backup -->|"richiede"| laps_ad_schema_extension
    laps_ad_schema_extension -->|"usa"| ad_confidential_attribute
    ad_extended_rights -->|"previene"| confidential_attribute_protection
    ad_extended_rights -->|"verificato da"| laps_powershell_module
    laps_password_encryption -.->|"mitiga"| ad_extended_rights
    laps_password_encryption -->|"richiede"| domain_functional_level
    windows_laps -.->|"usa"| laps_password_encryption
    windows_laps -->|"usa"| laps_post_authentication_actions
    laps_post_authentication_actions -->|"richiede"| local_administrator_account
    windows_laps -->|"configurato da"| laps_powershell_module
    windows_laps -->|"verificato da"| laps_operational_log

Nel diagramma, una linea continua indica una relazione che vale sempre e una linea tratteggiata indica una relazione condizionale (le condizioni sono nella spiegazione di ciascuna relazione nella pagina di dettaglio). L’elenco completo delle relazioni (in totale 31, con evidenza e livello di certezza) e le definizioni dei concetti principali sono raccolti nella pagina di dettaglio della mappa della conoscenza (in giapponese). Dati: JSON-LD / Turtle

2. Perché è pericolosa una password di amministratore locale comune a tutti i PC

Per prima cosa fissiamo con precisione lo schema della minaccia. Cosa succede se la password dell’account di amministratore locale (il cosiddetto Administrator predefinito, o l’account di manutenzione creato in kitting) è la stessa su tutte le macchine?

Windows non conserva la password dell’account locale così com’è: la tiene come hash NT calcolato dalla password. E nell’autenticazione NTLM proprio questo hash è il materiale di autenticazione. Quindi, se la password è la stessa, anche l’hash è lo stesso su tutte le macchine. Se un attaccante ottiene i privilegi di amministratore su una macchina con malware o un attacco mirato, può estrarre l’hash dalla memoria o dal database locale (SAM) di quel dispositivo. Da lì in poi è il succo: l’hash estratto si usa per autenticarsi così com’è, senza riportarlo a una password in chiaro. Questo è un attacco Pass-the-Hash. In un ambiente a password comune, l’hash ottenuto da una macchina diventa la «chiave passepartout» per tutte le altre, e la compromissione si estende di colpo in laterale. Il funzionamento dell’autenticazione NTLM e il perché l’hash da solo basti per autenticarsi sono spiegati in dettaglio in «NTLM e Kerberos spiegati con diagrammi — Perché l’autenticazione «cade» su NTLM».

flowchart TB
    accTitle: Una password comune si estende in laterale con Pass-the-Hash
    accDescr: Se l'hash NT è lo stesso su tutte le macchine la compromissione di una si allarga a tutte, e se LAPS rende diversa la password per dispositivo si può interrompere questo percorso
    subgraph BEFORE["Ambiente a password comune"]
        A1["Compromissione di PC-01<br/>(malware, attacco mirato)"] --> H["Acquisizione dell'hash NT dell'amministratore"]
        H -->|"Pass-the-Hash"| B1["PC-02"]
        H -->|"Pass-the-Hash"| B2["PC-03"]
        H -->|"Pass-the-Hash"| B3["…movimento laterale su tutti i PC"]
    end
    subgraph AFTER["Dopo l'introduzione di LAPS"]
        C1["Compromissione di PC-01"] --> H2["Acquisizione dell'hash di PC-01"]
        H2 -->|"le password sono diverse per dispositivo"| STOP["Su altri PC questo hash<br/>non autentica (si interrompe<br/>il movimento laterale via amministratore locale)"]
    end

Figura 1: Una password comune fa di un solo hash la chiave di tutte le macchine; LAPS interrompe quel percorso con una password diversa per dispositivo.

La direzione della contromisura è chiara: rendere diversa la password di amministratore locale per ogni dispositivo, e per di più cambiarla a cadenza regolare. Così, anche se l’hash di una macchina fuoriesce, non serve sulle altre, e si interrompe il percorso di movimento laterale che consiste nel riutilizzo dell’account di amministratore locale (attenzione: non si chiudono altri percorsi di movimento laterale, come il furto di credenziali di dominio sul PC compromesso). Farlo a mano, però, non è realistico. Generare password individuali per decine di macchine, gestirle in un registro e aggiornarle a cadenza — proprio il costo operativo di questo è il motivo per cui il taglio d’angolo della password comune è sopravvissuto. Windows LAPS è il sistema operativo che si fa carico di questa «individualizzazione e cambio periodico automatici», insieme alla memorizzazione sicura nella directory. Microsoft stessa mette in testa ai vantaggi di Windows LAPS la «protezione dagli attacchi Pass-the-Hash e dagli attacchi di movimento laterale (lateral-traversal)».¹

Per il principio di gestione dei privilegi — non svolgere il lavoro quotidiano con un account amministratore e restringere l’uso dell’account di manutenzione — si veda anche «Quando servono davvero i privilegi di amministratore su Windows? - UAC, aree protette e come distinguerlo in progettazione».

3. Che cos’è Windows LAPS — La differenza rispetto al LAPS legacy

Il nome LAPS ha una storia, e in pratica se non si distingue «di quale LAPS si sta parlando» la conversazione non si incastra.

Il LAPS legacy (legacy Microsoft LAPS) è uno strumento da installazione aggiuntiva, pubblicato da Microsoft nel 2016.¹ Si distribuiva il pacchetto MSI su tutti i dispositivi, si installava l’estensione Criteri di gruppo (CSE) e si memorizzava la password in chiaro nell’attributo ms-Mcs-AdmPwd di Active Directory: per lungo tempo è stato di fatto lo standard.

Windows LAPS è un’implementazione distinta, integrata nel sistema operativo come successore. È compreso in Windows 10, Windows 11 21H2/22H2 e Windows Server 2019/2022 a partire dall’aggiornamento dell’11 aprile 2023, e in Windows 11 23H2 e successivi e Windows Server 2025 e successivi è presente fin dall’inizio.¹ In altre parole, in un ambiente in cui gli aggiornamenti si applicano normalmente, i PC interni hanno già Windows LAPS. Resta solo da configurare la policy.

L’importante è che Windows LAPS non è una revisione del LAPS legacy ma un’implementazione del tutto distinta, e anche gli attributi di schema AD sono diversi da quelli del LAPS legacy (msLAPS-*).⁴ Per aiutare la migrazione dal LAPS legacy è prevista anche una «modalità di emulazione» in cui Windows LAPS interpreta le impostazioni GPO del LAPS legacy, ma ha molti vincoli (capitolo 6) e non c’è motivo di usarla di proposito in una nuova introduzione.

4. Dove viene memorizzata la password — Tabella di decisione per ambiente

Windows LAPS «esegue il backup» della password generata nella directory. La destinazione è determinata dallo stato di adesione del dispositivo, e non si può memorizzare sia in AD sia in Entra ID.¹

Nella memorizzazione in AD, la password viene scritta negli attributi dell’oggetto computer (msLAPS-Password se in chiaro, msLAPS-EncryptedPassword se la cifratura è attiva, scadenza in msLAPS-PasswordExpirationTime).⁶ Tra questi, gli attributi che contengono la password (msLAPS-Password e la famiglia cifrata msLAPS-Encrypted*) sono contrassegnati come attributi riservati (confidential) e non si consultano con un normale permesso di lettura. Invece msLAPS-PasswordExpirationTime della scadenza non ha il contrassegno di riservatezza (SearchFlags: 0) ed è un metadato consultabile con il permesso di lettura predefinito.⁶ Per usare la memorizzazione cifrata e la cronologia delle password serve un livello funzionale di dominio (DFL) 2016 o superiore.³ Da notare che il valore predefinito dell’impostazione di cifratura (ADPasswordEncryptionEnabled) è abilitato.² In un dominio con DFL più vecchio del 2016 la cifratura non è utilizzabile, quindi non contate sul passaggio automatico al chiaro: disabilitate esplicitamente la cifratura nella policy e memorizzate in chiaro + protezione ACL.³

Nella memorizzazione in Entra ID, la configurazione standard è abilitare «Gestione password amministratore locale» sul tenant e poi distribuire la policy da Intune tramite LAPS CSP. Sul piano delle licenze, la funzione Windows LAPS in sé è gratuita, la memorizzazione in AD non ha requisiti aggiuntivi e anche la memorizzazione in Entra ID è disponibile con Microsoft Entra ID Free o superiore.¹

Che sui dispositivi in gruppo di lavoro non ci sia un’alternativa è inevitabile, dato che non esiste la directory di destinazione. In pratica, in kitting si impostano password diverse per dispositivo e le si gestisce in un registro con un password manager o simile. Se avete già scriptato il kitting, il modo sicuro è incorporare la generazione di password per dispositivo (si veda «Automatizzare il provisioning PC con winget + PowerShell — Rendere eseguibile il runbook»).

5. La pratica dei passi di introduzione — Con asse la configurazione AD+GPO

Qui seguiamo i passi concreti con asse la configurazione AD di dominio + GPO, la più numerosa. Le differenze rispetto alla configurazione Entra+Intune sono in fondo.

5.1. Preparativi (lavoro da fare una sola volta)

Per la memorizzazione in AD, si completa la preparazione lato foresta prima di distribuire la policy.³

# 1. Estensione dello schema (una sola volta per foresta. Eseguire con privilegi Schema Admins)
Update-LapsADSchema

# 2. Concedere ai computer sotto l'OU di destinazione il permesso di aggiornare i propri attributi di password
Set-LapsADComputerSelfPermission -Identity "OU=PCInterni,DC=example,DC=co,DC=jp"

# 3. Concedere il gruppo che può visualizzare le password (Domain Admins può visualizzare per default)
Set-LapsADReadPasswordPermission -Identity "OU=PCInterni,DC=example,DC=co,DC=jp" `
    -AllowedPrincipals @("EXAMPLE\HelpdeskAdmins")

# 4. Concedere il gruppo che può operare sulla scadenza della password (scadenza immediata = istruzione di reset)
#    (necessario per Set-LapsADPasswordExpirationTime in 5.4. Domain Admins lo possiede per default)
Set-LapsADResetPasswordPermission -Identity "OU=PCInterni,DC=example,DC=co,DC=jp" `
    -AllowedPrincipals @("EXAMPLE\HelpdeskAdmins")

# 5. Verificare che non ci siano titolari inattesi di permessi di visualizzazione (dettaglio nel capitolo 6)
Find-LapsADExtendedRights -Identity "OU=PCInterni,DC=example,DC=co,DC=jp"

Se usate la memorizzazione cifrata (DFL 2016 o superiore, abilitata per default), serve un’altra impostazione. Permesso di visualizzazione e permesso di decifratura sono cose distinte, e chi può decifrare è per default solo Domain Admins.³ Se volete che il gruppo del help desk ottenga davvero la password, specificate lo stesso gruppo (EXAMPLE\HelpdeskAdmins) anche in ADPasswordEncryptionPrincipal sul lato policy.² Se lo dimenticate, anche concedendo il permesso di visualizzazione come sopra finite in uno stato in cui «l’attributo si legge ma non si decifra».

Update-LapsADSchema è distinto da Update-AdmPwdADSchema del LAPS legacy, e ciò che viene aggiunto sono gli attributi msLAPS-*. Anche in un ambiente in cui il LAPS legacy è già introdotto, l’estensione di schema per Windows LAPS serve di nuovo.⁴ Inoltre, se usate l’archivio centrale (Central Store) dei GPO, il modello di Windows LAPS non viene copiato nell’archivio centrale da Windows Update, quindi lo copiate a mano.² In quell’occasione copiate insieme, nella cartella lingua corrispondente, non solo %windir%\PolicyDefinitions\LAPS.admx ma anche la risorsa lingua LAPS.adml (nella sottocartella it-IT se l’interfaccia è in italiano). Senza ADML, in GPMC la visualizzazione della policy LAPS va in errore di risorsa.

5.2. Impostazione della policy

Il punto di impostazione del GPO è «Configurazione computer > Criteri > Modelli amministrativi > Sistema > LAPS».² L’impostazione obbligatoria minima è la destinazione: finché non mettete BackupDirectory su «Active Directory» (valore 2), Windows LAPS non fa nulla (il valore predefinito è «Disabilitato»).² Le impostazioni principali e i valori predefiniti sono i seguenti.

Qui si perde facilmente di vista l’abilitazione/disabilitazione dell’account gestito. Il built-in Administrator è disabilitato già al setup di Windows.⁷ Windows LAPS gestisce la password anche di un account rimasto disabilitato, ma non arriva ad abilitare l’account.² Quindi con la configurazione predefinita potete finire in uno stato in cui «la password è memorizzata nella directory, ma con quell’account nessuno può accedere». Per usarlo come mezzo di ripristino, scegliete esplicitamente una di queste: abilitare il built-in Administrator e operare così; gestire un account di manutenzione personalizzato già abilitato; oppure, da Windows 11 24H2 / Server 2025 in poi, gestire anche lo stato di abilitazione con la gestione automatica dell’account (impostazioni AutomaticAccountManagement).²

5.3. Verifica del funzionamento e recupero della password

Windows LAPS elabora la policy valida ogni ora. Se volete verificare senza aspettare l’applicazione, eseguite l’elaborazione immediata sul dispositivo di destinazione.³

# Lato dispositivo: elaborazione immediata della policy (classico in verifica)
Invoke-LapsPolicyProcessing

# Lato dispositivo: confermare il risultato nel registro eventi
# 10003=inizio elaborazione / 10004=successo / 10005=fallimento / 10018=memorizzazione in AD riuscita
Get-WinEvent -LogName "Microsoft-Windows-LAPS/Operational" -MaxEvents 20

La password memorizzata si recupera da una postazione di amministrazione che ha i permessi.³

# Recuperare la password da AD (senza -AsPlainText si tratta la stringa oscurata)
Get-LapsADPassword -Identity PC-0123 -AsPlainText

# Esempio di output: Account, Password, PasswordUpdateTime, ExpirationTimestamp,
#         Source (EncryptedPassword se memorizzazione cifrata), AuthorizedDecryptor ecc.

Per chi preferisce la GUI, in «Utenti e computer di Active Directory» è stata aggiunta una scheda LAPS alle proprietà del computer, e si può consultare anche da lì.¹

5.4. Rotazione immediata

Quando avete finito di usare la password in un intervento di manutenzione, o se c’è sospetto di compromissione, ruotate subito senza aspettare la prossima rotazione periodica.³

# Dalla postazione di amministrazione: mettere la scadenza a «adesso» e far ruotare alla prossima elaborazione
Set-LapsADPasswordExpirationTime -Identity PC-0123
# Se lanciate l'elaborazione immediata sul dispositivo di destinazione, la password nuova arriva sul posto
Invoke-LapsPolicyProcessing

# Rotazione immediata direttamente sul dispositivo di destinazione
Reset-LapsPassword

5.5. Differenze nel caso della configurazione Entra+Intune

Nella memorizzazione in Entra ID non servono estensione dello schema e impostazione ACL come in AD.³ In cambio, serve l’abilitazione della gestione password amministratore locale in [Impostazioni dispositivo] del tenant Microsoft Entra, e se la dimenticate il dispositivo non può memorizzare la password.⁵ La policy si distribuisce da Intune tramite LAPS CSP, e la password si recupera dalla schermata del centro di amministrazione Entra/Intune o con Get-LapsAADPassword via Microsoft Graph.⁵

# Recuperare via Graph una password memorizzata in Entra ID (esempio di accesso delegato)
# Richiedere esplicitamente gli ambiti necessari in connessione
Connect-MgGraph -Scopes "Device.Read.All","DeviceLocalCredential.Read.All"
Get-LapsAADPassword -DeviceIds PC-0123 -IncludePasswords -AsPlainText

L’ID evento di memorizzazione riuscita è 10018 per AD e 10029 per Entra ID.⁸

6. Trappole operative

Non finisce con l’introduzione. Elenco in ordine i punti in cui in campo si inciampa davvero.

6.1. I permessi di visualizzazione sono più ampi di quanto si pensi

Gli attributi della password sono attributi riservati (confidential), quindi non si vedono con una lettura normale, ma un principal che ha diritti estesi (All Extended Rights) sull’OU di destinazione può leggerli. In ambienti in cui in passato si sono delegati all’OU permessi ampi, è facile che un gruppo inatteso possa leggere le password. All’introduzione, elencate i titolari di diritti estesi con Find-LapsADExtendedRights e, se compare qualcosa oltre a SYSTEM e Domain Admins, rivedete il contenuto della delega.³

Inoltre, abilitando la memorizzazione cifrata (ADPasswordEncryptionEnabled) potete separare permesso di visualizzazione e permesso di decifratura. Il solo permesso di visualizzazione non decifra la password cifrata; chi può decifrare è per default solo Domain Admins, e per cambiarlo si specifica il gruppo che può decifrare con ADPasswordEncryptionPrincipal.³ Un restringimento del tipo «il help desk può decifrare solo le password della propria OU» si progetta con questo doppio strato.

6.2. Il meccanismo «usa e getta dopo l’uso» e i suoi limiti — PostAuthenticationActions

Se la password recuperata dal help desk resta su un foglietto o in una chat, non ha senso. Windows LAPS esegue in automatico la pulizia quando, dopo aver rilevato l’autenticazione con l’account gestito, scade il periodo di grazia (PostAuthenticationResetDelay, per default 24 ore). L’azione predefinita è «reimpostare la password e disconnettere».²

Ci sono due punti da notare. Primo: se mettete il periodo di grazia a 0, la funzione stessa si disabilita.² Secondo: il grilletto è l’«autenticazione», non la «consultazione della password». Se avete solo estratto la password dalla directory e non l’avete usata, questo reset automatico non parte. Fissate nella procedura operativa che la password consultata, usata o no, va fatta scadere a lavoro finito con Set-LapsADPasswordExpirationTime.

6.3. Coesistenza e migrazione rispetto al LAPS legacy

Il più pericoloso nel periodo di transizione è lo stato in cui lo stesso account è gestito sia dal LAPS legacy sia da Windows LAPS. Una configurazione in cui due meccanismi si contendono la password dello stesso account è un rischio di sicurezza e non è supportata.⁹ Le regole, messe in ordine, sono le seguenti.

• Su un dispositivo a cui è applicata anche una sola policy di Windows LAPS, Windows LAPS stesso ignora sempre la policy del LAPS legacy (priorità a Windows LAPS).⁹ Ma questo è solo il discorso dell’interpretazione lato Windows LAPS. Se il CSE (estensione Criteri di gruppo) del LAPS legacy resta installato, il vecchio CSE continua a elaborare in modo indipendente il vecchio GPO. Se abilitate la policy Windows LAPS lasciando il dispositivo tra i destinatari del vecchio GPO, i due ruotano lo stesso account e si arriva alla doppia gestione.
• La «modalità di emulazione» che fa elaborare a Windows LAPS le impostazioni GPO del LAPS legacy funziona solo su dispositivi su cui il CSE del LAPS legacy non è installato. Usa così com’è le premesse dell’ambiente LAPS legacy (vecchio schema, vecchie ACL), ma non si possono usare le funzioni nuove come cifratura e memorizzazione Entra.⁹
• Basta aggiornare il sistema operativo perché un dispositivo su cui resta il GPO del LAPS legacy parta inavvertitamente in modalità di emulazione. Se volete evitare un cambio di password inatteso subito dopo il kitting, potete fermare l’emulazione impostando BackupDirectory=0 nella chiave di configurazione locale.⁹

La migrazione procede nell’ordine «togliere l’OU di destinazione dall’applicazione del GPO del LAPS legacy (o disinstallare il vecchio CSE) → applicare la policy Windows LAPS → rimuovere i resti del vecchio GPO e del vecchio CSE», disabilitando la vecchia gestione e poi abilitando la nuova, in modo che per ogni dispositivo sia sempre univoco sotto quale gestione si trovi. L’ordine inverso (applicare prima la policy Windows LAPS) produce la doppia gestione di cui sopra sui dispositivi in cui resta il vecchio CSE.

6.4. Audit — Lasciare «chi ha visto, e quando»

Dato che concentrate la memorizzazione delle password di amministratore locale, la cronologia di visualizzazione è oggetto di audit. Il comportamento lato dispositivo è tutto registrato nel canale dedicato del registro eventi (Visore eventi, «Registri applicazioni e servizi > Microsoft > Windows > LAPS > Operational»), e si possono confermare inizio elaborazione 10003 / successo 10004 / fallimento 10005, memorizzazione riuscita 10018 (AD) / 10029 (Entra), contenuto della policy in applicazione 10021–10023, ecc.⁸ Lato AD, con Set-LapsADAuditing configurate l’impostazione di audit sull’OU di destinazione e potete registrare l’accesso agli attributi della password nel registro di sicurezza del controller di dominio.⁴ Con la memorizzazione in Entra ID, si traccia con le funzioni di audit log e report lato Entra.¹

7. Conclusione

• Una password di amministratore locale comune a tutti i PC crea lo schema in cui la compromissione di una macchina si estende a tutte con Pass-the-Hash. La contromisura è l’individualizzazione per dispositivo e la rotazione automatica, e a farla è Windows LAPS.
• Windows LAPS è già integrato in Windows 10/11 dopo l’aggiornamento di aprile 2023 e in Windows Server 2019/2022 e successivi: non serve un’installazione aggiuntiva. Il LAPS legacy (distribuito come MSI) è deprecato, e per il nuovo si sceglie solo Windows LAPS.
• La destinazione è uno solo tra AD ed Entra ID, e la decide lo stato di adesione del dispositivo. Sui dispositivi in gruppo di lavoro non si può usare, quindi servono una gestione individuale manuale o una revisione della forma di adesione.
• Per default è disabilitato. Nella configurazione AD si preparano i tre punti estensione dello schema, permesso di auto-aggiornamento e permesso di visualizzazione, e parte solo quando impostate BackupDirectory nel GPO.
• L’operazione quotidiana ha asse PowerShell. Recupero con Get-LapsADPassword / Get-LapsAADPassword, applicazione immediata con Invoke-LapsPolicyProcessing, rotazione immediata con Reset-LapsPassword.
• Le trappole sono la visualizzazione inattesa via diritti estesi, il fatto che PostAuthenticationActions non parta con la sola consultazione, la doppia gestione con il LAPS legacy, e l’audit non allestito. All’introduzione fissate la verifica dei permessi con Find-LapsADExtendedRights e la procedura di scadenza dopo la consultazione.

Articoli correlati

• Guida pratica a BitLocker — Cifrare i dischi partendo dalla gestione delle chiavi di ripristino
• NTLM e Kerberos spiegati con diagrammi — Perché l’autenticazione «cade» su NTLM
• Quando servono davvero i privilegi di amministratore su Windows? - UAC, aree protette e come distinguerlo in progettazione
• Automatizzare il provisioning PC con winget + PowerShell — Rendere eseguibile il runbook
• Che cos’è il TPM in Windows — Guida illustrata al «caveau che non fa uscire le chiavi» e all’avvio misurato
• Cosa fare prima di dismettere un PC Windows — Checklist pratica per cancellazione dati, svincolo account e backup

Aree di consulenza correlate

KomuraSoft LLC si occupa della creazione di script di automazione del kitting PC, dell’allestimento delle impostazioni di sicurezza dei dispositivi compresa l’introduzione di Windows LAPS, e della costruzione di un piano di migrazione da un’operazione esistente a password comune. Si può partire da uno stadio del tipo «la procedura di kitting c’è ma è personalizzata su una persona» o «vogliamo mettere LAPS ma non siamo sicuri dell’impostazione dei permessi AD».

• Sviluppo di applicazioni Windows
• Consulenza tecnica e revisione del progetto
• Contattaci

Riferimenti

Articoli correlati

Articoli recenti con gli stessi tag per approfondire argomenti vicini.

Argomenti correlati

Queste pagine collocano l’argomento in un contesto più ampio di servizi e decisioni.

Servizi collegati all’argomento

L’articolo è direttamente collegato ai servizi seguenti.

Domande frequenti

Domande che ricorrono nelle consulenze sull’argomento dell’articolo.

Stiamo già usando il vecchio LAPS (Microsoft LAPS distribuito come MSI). Dobbiamo fare qualcosa?

Iniziate a pianificare la migrazione. Il LAPS legacy è deprecato a partire da Windows 11 23H2 e, sui sistemi operativi più recenti, l'installazione dell'MSI è bloccata. Le versioni attuali del sistema operativo (Windows 10/11 con l'aggiornamento di aprile 2023 applicato, Windows Server 2019/2022 e successivi) hanno già Windows LAPS integrato, quindi potete migrare senza installazioni aggiuntive. Durante la transizione potete anche far sì che Windows LAPS continui a elaborare la vecchia policy tramite la «modalità di emulazione del LAPS legacy», ma con vincoli: non funziona sulle macchine su cui è installato il CSE del LAPS legacy, e le funzioni nuove come la cifratura e la memorizzazione in Entra ID non sono disponibili. Una configurazione in cui lo stesso account è gestito sia dal vecchio sia dal nuovo sistema non è supportata: passate all'altro sistema con una comprensione chiara, macchina per macchina, di chi sta gestendo cosa.

Dopo aver usato una password recuperata, va bene lasciarla così?

Con la configurazione predefinita viene ripulita automaticamente, ma non subito. Windows LAPS ha PostAuthenticationActions, che rileva l'autenticazione (accesso) con l'account gestito e poi elabora dopo un periodo di grazia; per default la password viene reimpostata e la sessione viene disconnessa 24 ore dopo l'autenticazione. Detto al contrario, la stessa password resta valida e utilizzabile finché non scade quel periodo di grazia, quindi non diventa invalida nell'istante in cui la usate. Inoltre questo meccanismo scatta quando autenticate con la password, non quando la consultate solo dalla directory. Il modo sicuro è farla scadere esplicitamente a lavoro finito. Per la memorizzazione in AD usate Set-LapsADPasswordExpirationTime (questo cmdlet è dedicato alla memorizzazione in AD). Per la memorizzazione in Entra ID, eseguite Reset-LapsPassword sul dispositivo di destinazione oppure usate l'operazione di rotazione della password di amministratore locale di Intune.

Si può usare su PC in gruppo di lavoro, non uniti né a un dominio né a Entra ID?

No. Windows LAPS ha bisogno di Active Directory o di Microsoft Entra ID come destinazione di memorizzazione della password, e un dispositivo che non è unito a nessuno dei due non ha un backup. Se continuate a operare in gruppo di lavoro, l'alternativa realistica è impostare una password di amministratore locale diversa per ogni dispositivo e gestirla in un registro in un posto sicuro (un password manager o simile). Quando il parco macchine cresce, è il momento di considerare l'adesione a Entra ID (più Intune) o al dominio, per beneficiare della gestione centralizzata, LAPS compreso.

Chi può visualizzare le password memorizzate?

Con la memorizzazione in Active Directory, per default possono visualizzarle i membri di Domain Admins; per altri utenti o gruppi si concedono i diritti in modo esplicito con Set-LapsADReadPasswordPermission. Gli attributi della password sono attributi riservati (confidential), ma un principal che ha diritti estesi (All Extended Rights) sull'OU può comunque leggerli, quindi all'introduzione verificate sempre con Find-LapsADExtendedRights che non ci siano titolari inattesi. Se attivate la cifratura con ADPasswordEncryptionEnabled (serve un livello funzionale di dominio 2016 o superiore), potete restringere chi può decifrare al gruppo specificato in ADPasswordEncryptionPrincipal. Con la memorizzazione in Entra ID, per default possono visualizzare i ruoli privilegiati come Amministratore globale, e il recupero tramite Microsoft Graph richiede il permesso DeviceLocalCredential.Read.All.

Serve una licenza aggiuntiva per usare Windows LAPS?

La funzione in sé è gratuita. Windows LAPS è una funzione standard integrata nelle edizioni Windows supportate, e la memorizzazione della password in Active Directory non ha requisiti di licenza aggiuntivi. Anche la memorizzazione in Microsoft Entra ID è disponibile con una licenza Microsoft Entra ID Free o superiore. Funzioni collaterali Entra/Intune, come la licenza Intune se distribuite la policy da Intune, possono avere requisiti di licenza propri: controllate solo quelli.

Profilo dell’autore

Pagina di presentazione dell’autore dell’articolo.

Go Komura

Rappresentante di KomuraSoft LLC

Specializzato nello sviluppo di software Windows, nella consulenza tecnica e nell’analisi dei malfunzionamenti, soprattutto nei progetti con sistemi esistenti e guasti difficili da riprodurre.