Windows LAPS на практике — больше не используем один локальный пароль администратора на всех ПК

На площадках подготовки ПК давно закрепился привычный упрощённый приём. В мастер-образ записывают один и тот же локальный пароль администратора и раскатывают образ на все машины — при обслуживании достаточно войти с этим паролем, и как процедура это выглядит разумно. Сегодня такая схема — одно из первых мест, куда целится атакующий: это массовое изготовление универсального ключа. Компрометация одной машины сразу становится компрометацией всех.

Статья рассчитана на сотрудников ИТ-служб малого и среднего бизнеса и на разработчиков, которые по заказу занимаются подготовкой ПК и сопровождением. Сначала разберём, почему общий локальный пароль администратора опасен, а затем — по первичным источникам на август 2026 года — как устроен Windows LAPS (Local Administrator Password Solution), встроенный в ОС, как выбирать конфигурацию под среду, как внедрять и какие ловушки ждут в эксплуатации. Это продолжение цикла по безопасности для ИТ-служб: BitLocker, отказ от WSUS, брандмауэр и хранилище сертификатов.

1. Сначала выводы

• Один локальный пароль администратора на всех ПК — благодатная почва для латерального перемещения (lateral movement): компрометация одной машины распространяется на все. Если пароль везде один, NTLM-хеш тоже везде один: сняли хеш с одной машины — и по Pass-the-Hash входят на остальные.¹
• Windows LAPS — штатная функция ОС, которая на каждом устройстве генерирует случайный локальный пароль администратора и автоматически его ротирует. Microsoft ставит защиту от Pass-the-Hash и латерального перемещения первым пунктом выгод.¹
• Встроена в Windows 10/11 начиная с обновления от 11 апреля 2023 и в Windows Server 2019/2022 и новее. В отличие от старого LAPS (MSI), дополнительная установка не нужна. Старый LAPS начиная с Windows 11 23H2 считается устаревшим.¹
• Место хранения пароля — либо Active Directory, либо Microsoft Entra ID, одно из двух. Устройства только в домене пишут в AD, только в Entra — в Entra ID, гибридные выбирают одно. На рабочих группах, не присоединённых ни туда, ни туда, использовать нельзя.¹
• По умолчанию ничего не происходит. Значение BackupDirectory по умолчанию — «Отключено», поэтому Windows LAPS начинает работать только после политики (GPO или Intune/CSP), явно указывающей место хранения.²
• Для хранения в AD нужны три подготовительных шага: расширение схемы (Update-LapsADSchema), право компьютера писать свой атрибут пароля (Set-LapsADComputerSelfPermission) и проектирование прав на чтение (Set-LapsADReadPasswordPermission).³
• Получение пароля — Get-LapsADPassword / Get-LapsAADPassword, немедленная обработка политики — Invoke-LapsPolicyProcessing, немедленная ротация на самом устройстве — Reset-LapsPassword.⁴
• Использованный пароль автоматически становится одноразовым. После аутентификации под управляемой учётной записью по умолчанию через 24 часа выполняется сброс и выход из сеанса (PostAuthenticationActions).²

На схеме сплошная линия обозначает отношение, которое выполняется всегда, а пунктирная — условное отношение (условия указаны в пояснении к каждому отношению на странице сведений). Полный список отношений (всего 31, с доказательствами и степенью уверенности) и определения основных понятий собраны на странице сведений карты знаний (на японском). Данные: JSON-LD / Turtle

2. Почему общий локальный пароль администратора на всех ПК опасен

Сначала точно зафиксируем модель угрозы. Что происходит, если локальной учётной записи администратора (встроенный Administrator или учётная запись сопровождения, созданная при подготовке ПК) задать один и тот же пароль на всех машинах?

Windows хранит пароль локальной учётной записи не в открытом виде, а как NT-хеш, вычисленный из пароля. В аутентификации NTLM именно этот хеш служит материалом аутентификации. То есть если пароль один, хеш тоже один на всех машинах. Когда атакующий через вредоносное ПО или целевую атаку получает права администратора на одной машине, он может извлечь хеш из памяти или из локальной базы (SAM). Дальше начинается главное: извлечённый хеш можно использовать для аутентификации как есть, не восстанавливая открытый пароль. Это и есть атака Pass-the-Hash. В среде с общим паролем хеш с одной машины становится универсальным ключом ко всем остальным, и компрометация сразу распространяется на соседние машины. Как устроена аутентификация NTLM и почему одного хеша достаточно, подробно разобрано в «NTLM и Kerberos на схемах».

flowchart TB
    accTitle: Общий пароль даёт латеральное перемещение через Pass-the-Hash
    accDescr: Если NT-хеш один на всех машинах, компрометация одной машины распространяется на все; LAPS делает пароль разным на каждом устройстве и перекрывает этот путь
    subgraph BEFORE["Среда с общим паролем"]
        A1["Компрометация PC-01<br/>(вредоносное ПО, целевая атака)"] --> H["Получен NT-хеш администратора"]
        H -->|"Pass-the-Hash"| B1["PC-02"]
        H -->|"Pass-the-Hash"| B2["PC-03"]
        H -->|"Pass-the-Hash"| B3["…латеральное перемещение на все ПК"]
    end
    subgraph AFTER["После внедрения LAPS"]
        C1["Компрометация PC-01"] --> H2["Получен хеш PC-01"]
        H2 -->|"пароль на каждом устройстве свой, поэтому"| STOP["На других ПК этим хешем<br/>аутентифицироваться нельзя (латеральное<br/>перемещение через локального администратора перекрыто)"]
    end

Направление защиты очевидно: сделать локальный пароль администратора разным на каждом устройстве и регулярно его менять. Тогда даже при утечке хеша одной машины он бесполезен на других — перекрывается путь латерального перемещения через повторное использование локальной учётной записи администратора (имейте в виду: другие пути, например кража доменных учётных данных с уже скомпрометированного ПК, этим не закрываются). Но делать это вручную нереально. Генерировать отдельные пароли на десятки машин, вести учёт, периодически обновлять — именно эта стоимость эксплуатации и сохранила «общий пароль» как привычный упрощённый приём. Автоматизацию «свой пароль на каждое устройство и регулярную смену» вместе с безопасным хранением в каталоге берёт на себя ОС — это и есть Windows LAPS. Сама Microsoft первым пунктом выгод Windows LAPS называет защиту от атак Pass-the-Hash и латерального перемещения (lateral-traversal).¹

Базовый принцип управления привилегиями — не работать в повседневных задачах под администратором и сужать назначение учётных записей сопровождения — см. также «Когда на Windows действительно требуются права администратора».

3. Что такое Windows LAPS — отличие от старого LAPS

У имени LAPS есть история, и на практике разговор не сходится, пока не ясно, о каком LAPS речь.

Старый LAPS (legacy Microsoft LAPS) — отдельно устанавливаемый инструмент, который Microsoft выпустила в 2016 году.¹ Схема — раздать MSI на все устройства, поставить клиентское расширение групповой политики (CSE) и хранить пароль открытым текстом в атрибуте Active Directory ms-Mcs-AdmPwd — долго была фактическим стандартом.

Windows LAPS — его преемник: отдельная реализация, встроенная в ОС. Входит в Windows 10, Windows 11 21H2/22H2 начиная с обновления от 11 апреля 2023 и в Windows Server 2019/2022; Windows 11 23H2 и новее и Windows Server 2025 и новее поставляются с ним сразу.¹ Иначе говоря, если обновления применяются как обычно, Windows LAPS уже стоит на корпоративных ПК. Осталось задать политику.

Важно: Windows LAPS — не «подправленный старый LAPS», а полностью отдельная реализация, и атрибуты схемы AD тоже другие (msLAPS-*).⁴ Чтобы помочь миграции со старого LAPS, есть режим эмуляции, в котором Windows LAPS интерпретирует старые параметры GPO, но ограничений много (глава 6), и для нового внедрения специально его включать незачем.

4. Куда сохраняется пароль — таблица решений по средам

Windows LAPS сохраняет сгенерированный пароль в каталог (backup). Место хранения определяется состоянием присоединения устройства, сохранить и в AD, и в Entra ID одновременно нельзя.¹

При хранении в AD пароль пишется в атрибуты объекта компьютера (открытый текст — msLAPS-Password, при включённом шифровании — msLAPS-EncryptedPassword, срок — msLAPS-PasswordExpirationTime).⁶ Среди них атрибуты, содержащие пароль (msLAPS-Password и семейство msLAPS-Encrypted*) помечены как confidential и обычным правом на чтение не видны. Срок msLAPS-PasswordExpirationTime метки confidential не имеет (SearchFlags: 0) и читается при праве на чтение по умолчанию как метаданные.⁶ Для шифрованного хранения и истории паролей нужен уровень функциональности домена (DFL) 2016 или выше.³ Обратите внимание: значение по умолчанию для шифрования (ADPasswordEncryptionEnabled) — включено.² В доменах с DFL ниже 2016 шифрование недоступно. Не рассчитывайте, что система сама перейдёт на открытый текст: явно отключите шифрование политикой и храните открытый текст с защитой ACL.³

При хранении в Entra ID стандартная схема — включить «управление паролями локальных администраторов» на стороне арендатора и распространять политику из Intune через LAPS CSP. По лицензиям сама функция Windows LAPS бесплатна, для AD дополнительных требований нет, хранение в Entra ID доступно при Microsoft Entra ID Free и выше.¹

Отсутствие альтернативы для устройств рабочей группы неизбежно: каталога, куда писать, просто нет. На практике при подготовке ПК задают разные пароли на каждое устройство и ведут учёт в менеджере паролей. Если подготовка скриптована, генерацию пароля на каждое устройство встраивают в скрипт (см. «Автоматизация подготовки ПК через winget + PowerShell»).

5. Практическая процедура внедрения — ось AD+GPO

Здесь идём по самой частой схеме: домен AD + GPO. Отличия схемы Entra+Intune — в конце.

5.1. Подготовка (работа один раз)

Для хранения в AD подготовку на стороне леса заканчивают до распространения политики.³

# 1. Расширение схемы (один раз на лес. Выполнять с правами Schema Admins)
Update-LapsADSchema

# 2. Компьютерам в целевом OU — право обновлять свой атрибут пароля
Set-LapsADComputerSelfPermission -Identity "OU=VnutrenniePCs,DC=example,DC=co,DC=jp"

# 3. Группам, которым можно просматривать пароль (Domain Admins видят по умолчанию)
Set-LapsADReadPasswordPermission -Identity "OU=VnutrenniePCs,DC=example,DC=co,DC=jp" `
    -AllowedPrincipals @("EXAMPLE\HelpdeskAdmins")

# 4. Группам, которым можно менять срок (немедленное истечение = команда на сброс)
#    (нужно для Set-LapsADPasswordExpirationTime в 5.4. Domain Admins могут по умолчанию)
Set-LapsADResetPasswordPermission -Identity "OU=VnutrenniePCs,DC=example,DC=co,DC=jp" `
    -AllowedPrincipals @("EXAMPLE\HelpdeskAdmins")

# 5. Проверить, нет ли неожиданных держателей права на просмотр (подробнее в главе 6)
Find-LapsADExtendedRights -Identity "OU=VnutrenniePCs,DC=example,DC=co,DC=jp"

Если используете шифрованное хранение (DFL 2016 и выше, по умолчанию включено), нужна ещё одна настройка. Право на просмотр и право на расшифровку — разные вещи; расшифровывать по умолчанию могут только Domain Admins.³ Чтобы группа службы поддержки реально получала пароль, укажите ту же группу (EXAMPLE\HelpdeskAdmins) и в ADPasswordEncryptionPrincipal на стороне политики.² Если забыть, получите состояние «атрибут читается, но расшифровать нельзя», даже при выданном праве на просмотр.

Update-LapsADSchema — не то же самое, что Update-AdmPwdADSchema старого LAPS: добавляются атрибуты msLAPS-*. Даже в среде, где старый LAPS уже внедрён, расширение схемы для Windows LAPS нужно заново.⁴ Если используете центральное хранилище GPO (Central Store), шаблоны Windows LAPS не копируются туда через Windows Update, их копируют вручную.² Копируйте не только %windir%\PolicyDefinitions\LAPS.admx, но и языковой ресурс LAPS.adml (для русскоязычного интерфейса — подпапка ru-RU) в соответствующую языковую папку. Без ADML в GPMC отображение политик LAPS даёт ошибку ресурсов.

5.2. Параметры политики

Место в GPO: «Конфигурация компьютера > Политики > Административные шаблоны > Система > LAPS».² Минимально обязательное — указание места хранения: пока BackupDirectory не установлен в «Active Directory» (значение 2), Windows LAPS ничего не делает (по умолчанию «Отключено»).² Основные параметры и значения по умолчанию:

Часто пропускают включена ли управляемая учётная запись. Встроенный Administrator отключён ещё на этапе установки Windows.⁷ Windows LAPS управляет паролем и у отключённой учётной записи, но саму учётную запись не включает.² То есть при конфигурации по умолчанию возможно состояние «пароль лежит в каталоге, но с этой учётной записью никто не может войти». Чтобы использовать её как средство восстановления, явно выберите одно: включить встроенный Administrator и эксплуатировать его; управлять уже включённой своей учётной записью сопровождения; либо на Windows 11 24H2 / Server 2025 и новее управлять и состоянием включения через автоматическое управление учётными записями (параметры AutomaticAccountManagement*).²

5.3. Проверка работы и получение пароля

Windows LAPS обрабатывает действующую политику раз в час. Чтобы не ждать применения, на целевом устройстве запускают немедленную обработку.³

# На устройстве: немедленная обработка политики (обычный приём при проверке)
Invoke-LapsPolicyProcessing

# На устройстве: результат в журнале событий
# 10003=начало обработки / 10004=успех / 10005=сбой / 10018=успешное сохранение в AD
Get-WinEvent -LogName "Microsoft-Windows-LAPS/Operational" -MaxEvents 20

Сохранённый пароль получают с управляющей машины, у которой есть права.³

# Получить пароль из AD (без -AsPlainText строка остаётся скрытой)
Get-LapsADPassword -Identity PC-0123 -AsPlainText

# В выводе: Account, Password, PasswordUpdateTime, ExpirationTimestamp,
#           Source (EncryptedPassword — шифрованное хранение), AuthorizedDecryptor и др.

Тем, кто предпочитает графический интерфейс: в свойствах компьютера в «Пользователи и компьютеры Active Directory» появляется вкладка LAPS, оттуда тоже можно смотреть.¹

5.4. Немедленная ротация

Когда пароль уже использовали при сопровождении или есть подозрение на компрометацию, не ждут очередной периодической ротации, а ротируют сразу.³

# С управляющей машины: срок = «сейчас», чтобы следующая обработка сделала ротацию
Set-LapsADPasswordExpirationTime -Identity PC-0123
# Немедленная обработка на целевом устройстве — пароль меняется на месте
Invoke-LapsPolicyProcessing

# Немедленная ротация прямо на целевом устройстве
Reset-LapsPassword

5.5. Отличия схемы Entra+Intune

При хранении в Entra ID расширение схемы и ACL, как в AD, не нужны.³ Вместо этого нужно включить управление паролями локальных администраторов в [параметрах устройств] арендатора Microsoft Entra; если забыть, устройство не сможет сохранить пароль.⁵ Политику распространяют из Intune через LAPS CSP, пароль смотрят в центре администрирования Entra/Intune или через Get-LapsAADPassword поверх Microsoft Graph.⁵

# Получить пароль хранения Entra ID через Graph (пример делегированного доступа)
# При подключении явно запросить нужные области (scopes)
Connect-MgGraph -Scopes "Device.Read.All","DeviceLocalCredential.Read.All"
Get-LapsAADPassword -DeviceIds PC-0123 -IncludePasswords -AsPlainText

Идентификатор события успешного сохранения: для AD — 10018, для Entra ID — 10029.⁸

6. Ловушки эксплуатации

Внедрением дело не кончается. По пунктам — места, куда на практике чаще всего наступают.

6.1. Права на просмотр шире, чем кажется

Атрибут пароля — confidential, обычным чтением его не видно, но участник безопасности с расширенным правом All Extended Rights на целевой OU прочитает. В средах, где на OU когда-то делегировали широкие права, неожиданные группы часто оказываются в состоянии читать пароль. При внедрении прогоните Find-LapsADExtendedRights, соберите держателей расширенных прав и, если кроме SYSTEM и Domain Admins кто-то есть, пересмотрите делегирование.³

Если включить шифрованное хранение (ADPasswordEncryptionEnabled), право на просмотр и право на расшифровку разделяются. Одного права на просмотр недостаточно, чтобы расшифровать зашифрованный пароль; расшифровывать по умолчанию могут только Domain Admins, изменить это — указать группу в ADPasswordEncryptionPrincipal.³ Сужение вроде «служба поддержки расшифровывает только пароли своего OU» проектируют именно этой двухступенчатой схемой.

6.2. Одноразовость после использования и её пределы — PostAuthenticationActions

Если пароль, полученный службой поддержки, так и останется на бумажке или в чате, смысла мало. Windows LAPS замечает аутентификацию под управляемой учётной записью и по истечении паузы (PostAuthenticationResetDelay, по умолчанию 24 часа) выполняет завершающие действия. Действие по умолчанию — «сбросить пароль и выйти из сеанса».²

Два предостережения. Первое: пауза 0 отключает саму функцию.² Второе: триггер — «аутентификация», а не «просмотр пароля». Если пароль только взяли из каталога и не использовали, этот автосброс не сработает. Надёжно зафиксировать в процедуре: независимо от того, использовали пароль или нет, по завершении работ задайте истечение срока через Set-LapsADPasswordExpirationTime.

6.3. Совместное использование и миграция со старого LAPS

Самое опасное в переходный период — состояние, когда одной и той же учётной записью управляют и старый LAPS, и Windows LAPS. Конфигурация, в которой два механизма меняют пароль одной учётной записи, — риск безопасности и не поддерживается.⁹ Правила такие.

• На устройстве, куда применена хотя бы одна политика Windows LAPS, сам Windows LAPS всегда игнорирует политику старого LAPS (приоритет у Windows LAPS).⁹ Но это только про интерпретацию на стороне Windows LAPS. Если CSE старого LAPS (клиентское расширение групповой политики) всё ещё установлен, старый CSE продолжает независимо обрабатывать старый GPO. Если оставить устройство целью старого GPO и включить политику Windows LAPS, получите двойное управление: оба ротируют одну учётную запись.
• Режим эмуляции, в котором Windows LAPS обрабатывает параметры GPO старого LAPS, работает только на устройствах без установленного CSE старого LAPS. Он использует предпосылки старой среды (старая схема, старые ACL), но новые функции вроде шифрования и хранения в Entra недоступны.⁹
• После одного лишь обновления ОС устройство со старым GPO LAPS может неожиданно заработать в режиме эмуляции. Чтобы сразу после подготовки ПК не получить неожиданную смену пароля, можно задать BackupDirectory=0 локальным ключом конфигурации и остановить эмуляцию.⁹

Миграция идёт в порядке «вывести целевой OU из применения GPO старого LAPS (или удалить старый CSE) → применить политику Windows LAPS → убрать остатки старого GPO и CSE»: сначала снимают старое управление, потом включают новое, чтобы на каждом устройстве всегда было однозначно, под каким управлением оно стоит. Обратный порядок (сначала политика Windows LAPS) даёт двойное управление на устройствах, где ещё установлен старый CSE.

6.4. Аудит — оставить «кто и когда смотрел»

Раз локальные пароли администратора хранятся централизованно, история просмотра — объект аудита. Поведение на устройстве пишется в выделенный канал журнала событий (в средстве просмотра событий: «Журналы приложений и служб > Microsoft > Windows > LAPS > Operational»): начало обработки 10003 / успех 10004 / сбой 10005, успешное сохранение 10018 (AD) / 10029 (Entra), содержимое применяемой политики 10021–10023 и т. д.⁸ На стороне AD Set-LapsADAuditing настраивает аудит на целевом OU, и доступ к атрибутам пароля пишется в журнал безопасности контроллера домена.⁴ При хранении в Entra ID отслеживают через журналы аудита и отчёты Entra.¹

7. Итог

• Один локальный пароль администратора на всех ПК создаёт схему, в которой компрометация одной машины через Pass-the-Hash распространяется на все. Мера — свой пароль на каждое устройство и автоматическая ротация; это и есть Windows LAPS.
• Windows LAPS уже встроен в Windows 10/11 после обновления апреля 2023 и в Windows Server 2019/2022 и новее; дополнительная установка не нужна. Старый LAPS (MSI) устарел, для нового внедрения — только Windows LAPS.
• Место хранения — AD или Entra ID, одно из двух, и определяется состоянием присоединения устройства. На рабочих группах использовать нельзя, поэтому нужны ручное индивидуальное управление или пересмотр формы присоединения.
• По умолчанию отключён. В схеме AD готовят три вещи — расширение схемы, право самообновления, права на просмотр — и только после BackupDirectory в GPO механизм начинает работать.
• Повседневная эксплуатация опирается на PowerShell. Получение — Get-LapsADPassword / Get-LapsAADPassword, немедленное применение — Invoke-LapsPolicyProcessing, немедленная ротация — Reset-LapsPassword.
• Ловушки: неожиданный просмотр из-за расширенных прав, то, что PostAuthenticationActions не срабатывает при одном лишь чтении, двойное управление со старым LAPS, ненастроенный аудит. При внедрении зафиксируйте проверку прав через Find-LapsADExtendedRights и процедуру истечения срока после просмотра.

Похожие статьи

• Практическое руководство по BitLocker — шифрование диска начинают с управления ключом восстановления
• NTLM и Kerberos на схемах — почему аутентификация «падает» на NTLM
• Когда на Windows действительно требуются права администратора — UAC, защищённые области и как это определить на этапе проектирования
• Автоматизация подготовки ПК через winget + PowerShell — сделать runbook исполняемым
• Что такое TPM в Windows — «сейф, который не выпускает ключ», и измеряемая загрузка
• Что сделать перед утилизацией Windows PC — практический чек-лист по стиранию данных, отвязке учётных записей и резервному копированию

Смежные области консультирования

KomuraSoft LLC занимается скриптами автоматизации подготовки ПК, настройкой безопасности устройств, включая внедрение Windows LAPS, и планами перехода с существующей эксплуатации общего пароля. Можно начинать уже с этапа «инструкция по подготовке есть, но она держится на конкретных людях» или «хотим внедрить LAPS, но не уверены в правах AD».

• Разработка приложений для Windows
• Технические консультации и ревью проектных решений
• Связаться с нами

Справочные ссылки

Похожие статьи

Недавние статьи с теми же тегами помогут подробнее изучить близкие темы.

Связанные темы

Эти страницы показывают тему статьи в более широком контексте услуг и решений.

Услуги по этой теме

Статья напрямую связана со следующими услугами.

Частые вопросы

Вопросы, которые часто возникают при консультациях по теме статьи.

Мы уже используем старый LAPS (Microsoft LAPS, который ставится из MSI). Нужно ли что-то делать?

Начните планировать миграцию. Старый LAPS начиная с Windows 11 23H2 считается устаревшим, а на новых ОС установка MSI блокируется. В актуальных ОС (Windows 10/11 с обновлением от апреля 2023, Windows Server 2019/2022 и новее) Windows LAPS уже встроен, поэтому перейти можно без дополнительной установки. На переходный период Windows LAPS может продолжать обрабатывать старую политику в режиме эмуляции старого LAPS, но есть ограничения: режим не работает на устройствах с установленным CSE старого LAPS, а новые функции вроде шифрования и хранения в Entra ID недоступны. Конфигурация, в которой одной и той же учётной записью управляют и старая, и новая система, не поддерживается. Переключайтесь так, чтобы на каждом устройстве было однозначно ясно, какая система им управляет.

Можно ли после использования полученного пароля просто ничего не делать?

При настройках по умолчанию завершающие действия выполняются сами, но не сразу. У Windows LAPS есть PostAuthenticationActions: механизм замечает вход (аутентификацию) под управляемой учётной записью и срабатывает после паузы; по умолчанию через 24 часа после аутентификации пароль сбрасывается, а сеанс завершается. Иначе говоря, до конца этой паузы тот же пароль ещё действует — он не становится недействительным в момент использования. Кроме того, срабатывает именно аутентификация по паролю, а не одно только чтение из каталога. Надёжный способ — по окончании работ явно задать истечение срока. Для хранения в AD это Set-LapsADPasswordExpirationTime (этот командлет только для AD). Для хранения в Entra ID выполните Reset-LapsPassword на целевом устройстве или воспользуйтесь операцией ротации пароля локального администратора в Intune.

Можно ли использовать LAPS на ПК в рабочей группе, не присоединённом ни к домену, ни к Entra ID?

Нет. Windows LAPS нуждается в Active Directory или Microsoft Entra ID как в месте хранения пароля. У устройства, которое не присоединено ни туда, ни туда, некуда сохранять резервную копию. Если вы продолжаете работать в рабочей группе, реалистичная альтернатива — вручную задать разный локальный пароль администратора на каждом устройстве и вести учёт в безопасном месте (менеджер паролей и т. п.). Когда парк растёт, имеет смысл рассмотреть присоединение к Entra ID (+ Intune) или к домену, чтобы получить преимущества централизованного управления, включая LAPS.

Кто может просматривать сохранённый пароль?

При хранении в Active Directory по умолчанию пароль могут читать только члены Domain Admins; другим пользователям и группам право выдают явно через Set-LapsADReadPasswordPermission. Однако атрибут пароля хоть и помечен как confidential, его всё равно прочитает участник безопасности с расширенным правом All Extended Rights на OU. Поэтому при внедрении обязательно проверьте через Find-LapsADExtendedRights, нет ли неожиданных держателей этого права. Если включить шифрование через ADPasswordEncryptionEnabled (нужен уровень функциональности домена 2016 или выше), расшифровку можно ограничить группой, указанной в ADPasswordEncryptionPrincipal. При хранении в Entra ID по умолчанию пароль видят привилегированные роли вроде глобального администратора, а получение через Microsoft Graph требует разрешения DeviceLocalCredential.Read.All.

Нужна ли для Windows LAPS дополнительная лицензия?

Сама функция бесплатна. Windows LAPS — штатная функция поддерживаемых версий Windows, и для хранения паролей в Active Directory дополнительных лицензионных требований нет. Хранение в Microsoft Entra ID доступно при лицензии Microsoft Entra ID Free и выше. Имейте в виду, что соседние функции Entra и Intune — например, лицензия Intune, если политику распространяете через Intune, — могут иметь свои отдельные лицензионные требования, поэтому проверьте именно их.

Об авторе

Страница с профилем автора статьи.

Го Комура

Представитель KomuraSoft LLC

Специализируется на разработке программного обеспечения для Windows, техническом консалтинге и расследовании сбоев, особенно в проектах с унаследованными системами и трудно воспроизводимыми ошибками.