Hướng dẫn thực tế Windows LAPS ── ngừng mật khẩu quản trị viên cục bộ dùng chung trên mọi PC

Hiện trường cấp phát PC có một “lối tắt quen thuộc” tồn tại đã lâu. Nung mật khẩu quản trị viên cục bộ dùng chung vào image master rồi triển khai ra mọi máy ── khi vào bảo trì chỉ cần đăng nhập bằng mật khẩu đó, nên về quy trình thì trông hợp lý. Tuy nhiên, cấu hình này hiện là điểm bị nhắm đầu tiên như “sản xuất hàng loạt chìa khóa vạn năng” đối với kẻ tấn công. Vì xâm nhập một máy sẽ biến thành xâm nhập toàn bộ.

Bài viết này hướng tới nhân viên IT doanh nghiệp vừa và nhỏ, và nhà phát triển nhận việc cấp phát PC cùng vận hành bảo trì. Nó sắp xếp vì sao mật khẩu quản trị viên cục bộ dùng chung lại nguy hiểm, rồi dựa trên nguồn gốc tính đến tháng 8 năm 2026, giải thích cơ chế Windows LAPS (Local Administrator Password Solution) đã gắn trong OS, cách chọn theo môi trường, quy trình triển khai, và các cạm bẫy vận hành. Đây là phần tiếp theo của loạt bảo mật hướng IT, nối tiếp BitLocker, việc ngừng WSUS, firewall, và kho chứng chỉ.

1. Kết luận trước

• Mật khẩu quản trị viên cục bộ dùng chung trên mọi PC là mảnh đất cho lan ngang (lateral movement), biến xâm nhập một máy thành xâm nhập toàn bộ. Cùng mật khẩu thì NT hash cũng giống nhau, nên một máy bị lấy hash thì các máy còn lại bị vào bằng Pass-the-Hash.¹
• Windows LAPS là tính năng chuẩn của OS, ngẫu nhiên hóa mật khẩu quản trị viên cục bộ theo từng máy và xoay vòng tự động. Microsoft nêu đây là lợi ích đầu tiên như biện pháp chống Pass-the-Hash và lan ngang.¹
• Nó được gắn vào Windows 10/11 từ bản cập nhật ngày 11 tháng 4 năm 2023, và Windows Server 2019/2022 trở đi. Khác LAPS cũ (phân phối MSI), không cần cài thêm. LAPS cũ bị deprecated từ Windows 11 23H2.¹
• Nơi lưu mật khẩu là một trong hai: Active Directory hoặc Microsoft Entra ID. Máy chỉ tham gia miền lưu vào AD, máy chỉ Entra-joined lưu vào Entra ID, máy hybrid-joined chọn một bên. Máy workgroup không tham gia bên nào thì không dùng được.¹
• Mặc định không có gì xảy ra. Giá trị mặc định của BackupDirectory là “Disabled”, nên chỉ khi chính sách (GPO hoặc Intune/CSP) nêu rõ nơi lưu thì mới bắt đầu chạy.²
• Lưu AD cần ba bước chuẩn bị trước. Mở rộng schema (Update-LapsADSchema), quyền tự ghi của máy tính (Set-LapsADComputerSelfPermission), và thiết kế quyền xem (Set-LapsADReadPasswordPermission).³
• Xem mật khẩu bằng Get-LapsADPassword / Get-LapsAADPassword, áp ngay bằng Invoke-LapsPolicyProcessing, xoay vòng ngay trên máy bằng Reset-LapsPassword.⁴
• Mật khẩu đã dùng tự trở thành dùng một lần. Sau xác thực bằng tài khoản được quản, mặc định 24 giờ sau sẽ reset + đăng xuất (PostAuthenticationActions).²

Bản đồ tri thức của bài viết này

Mật khẩu quản trị viên cục bộ dùng chung mọi PC, vì cùng mật khẩu thì NT hash cũng giống nhau, khiến hash lấy từ một máy thành chìa khóa vạn năng sang máy khác và dẫn tới lan ngang bằng Pass-the-Hash. Windows LAPS là tính năng chuẩn của OS cắt đường này bằng cách ngẫu nhiên hóa mật khẩu theo từng máy rồi xoay vòng tự động; nơi lưu là một trong Active Directory hoặc Microsoft Entra ID, máy workgroup không tham gia bên nào thì không dùng được. Mặc định BackupDirectory tắt nên không có gì xảy ra cho đến khi GPO hoặc LAPS CSP của Intune nêu rõ nơi lưu. Lưu AD lấy mở rộng schema làm tiền đề; thuộc tính mật khẩu được thêm là thuộc tính mật, nhưng principal giữ quyền mở rộng trên OU đích vẫn đọc được nên cần hai tầng thu hẹp bên giải mã bằng lưu mã hóa. Mật khẩu đã lấy được PostAuthenticationActions tự reset 24 giờ sau xác thực, nhưng điểm khởi là xác thực chứ không phải tra cứu.

flowchart LR
    accTitle: Bản đồ tri thức Windows LAPS và mật khẩu quản trị viên cục bộ dùng chung
    accDescr: Sơ đồ cho thấy khung mật khẩu quản trị viên cục bộ dùng chung mọi PC dẫn tới lan ngang bằng Pass-the-Hash, Windows LAPS cắt đường đó thế nào, cùng quan hệ nơi lưu, chuẩn bị trước, quyền xem, cơ chế dùng một lần, và LAPS cũ
    windows_laps["Windows LAPS"]
    shared_local_admin_password["Mật khẩu quản trị viên cục bộ dùng chung mọi PC"]
    pass_the_hash["Pass-the-Hash"]
    nt_hash["NT hash"]
    lateral_movement["Lan ngang (lateral movement)"]
    local_administrator_account["Tài khoản quản trị viên cục bộ"]
    builtin_administrator_account["Tài khoản Administrator built-in"]
    laps_managed_account_disabled["Trạng thái tài khoản được quản vẫn tắt"]
    legacy_microsoft_laps["LAPS cũ (legacy Microsoft LAPS)"]
    duplicate_account_management["Quản kép cùng một tài khoản"]
    laps_emulation_mode["Chế độ giả lập LAPS cũ"]
    laps_password_encryption["Lưu mã hóa mật khẩu LAPS"]
    active_directory["Active Directory (AD DS)"]
    entra_id["Microsoft Entra ID"]
    workgroup["Cấu hình workgroup"]
    laps_backup_directory["Thiết lập BackupDirectory"]
    group_policy["Group Policy"]
    laps_csp["LAPS CSP"]
    intune["Microsoft Intune"]
    laps_ad_backup["Lưu mật khẩu LAPS vào Active Directory"]
    laps_ad_schema_extension["Mở rộng schema AD của Windows LAPS (msLAPS-*)"]
    ad_confidential_attribute["Thuộc tính mật (confidential)"]
    ad_extended_rights["Quyền mở rộng (All Extended Rights)"]
    confidential_attribute_protection["Bảo vệ đọc bằng thuộc tính mật"]
    laps_powershell_module["Mô-đun LAPS PowerShell"]
    domain_functional_level["Domain functional level (DFL)"]
    laps_post_authentication_actions["PostAuthenticationActions"]
    laps_operational_log["Nhật ký LAPS/Operational"]
    shared_local_admin_password -->|"có thể gây"| pass_the_hash
    pass_the_hash -->|"sử dụng"| nt_hash
    pass_the_hash -->|"có thể gây"| lateral_movement
    windows_laps -->|"ngăn chặn"| shared_local_admin_password
    windows_laps -.->|"giảm thiểu"| lateral_movement
    windows_laps -->|"tự động hóa"| local_administrator_account
    windows_laps -->|"sử dụng"| builtin_administrator_account
    windows_laps -.->|"có thể gây"| laps_managed_account_disabled
    builtin_administrator_account -.->|"có thể gây"| laps_managed_account_disabled
    windows_laps -->|"kế nhiệm"| legacy_microsoft_laps
    legacy_microsoft_laps -.->|"có thể gây"| duplicate_account_management
    laps_emulation_mode -->|"không tương thích"| legacy_microsoft_laps
    laps_emulation_mode -->|"không tương thích"| laps_password_encryption
    windows_laps -.->|"lưu trong"| active_directory
    windows_laps -.->|"lưu trong"| entra_id
    windows_laps -->|"không tương thích"| workgroup
    windows_laps -->|"yêu cầu"| laps_backup_directory
    laps_backup_directory -.->|"cấu hình bằng"| group_policy
    laps_backup_directory -.->|"cấu hình bằng"| laps_csp
    intune -.->|"sử dụng"| laps_csp
    laps_ad_backup -->|"yêu cầu"| laps_ad_schema_extension
    laps_ad_schema_extension -->|"sử dụng"| ad_confidential_attribute
    ad_extended_rights -->|"ngăn chặn"| confidential_attribute_protection
    ad_extended_rights -->|"xác minh bằng"| laps_powershell_module
    laps_password_encryption -.->|"giảm thiểu"| ad_extended_rights
    laps_password_encryption -->|"yêu cầu"| domain_functional_level
    windows_laps -.->|"sử dụng"| laps_password_encryption
    windows_laps -->|"sử dụng"| laps_post_authentication_actions
    laps_post_authentication_actions -->|"yêu cầu"| local_administrator_account
    windows_laps -->|"cấu hình bằng"| laps_powershell_module
    windows_laps -->|"xác minh bằng"| laps_operational_log

Trong sơ đồ, đường liền nét biểu thị quan hệ luôn đúng và đường nét đứt biểu thị quan hệ có điều kiện (điều kiện nằm trong phần giải thích từng quan hệ trên trang chi tiết). Danh sách đầy đủ các quan hệ (tổng 31, kèm bằng chứng và mức chắc chắn) cùng định nghĩa các khái niệm chính được tập hợp tại trang chi tiết bản đồ tri thức (bằng tiếng Nhật). Dữ liệu: JSON-LD / Turtle

2. Vì sao mật khẩu quản trị viên cục bộ dùng chung trên mọi PC lại nguy hiểm

Trước hết hãy nắm đúng khung mối đe dọa. Nếu mật khẩu tài khoản quản trị viên cục bộ (Administrator built-in, hoặc tài khoản bảo trì tạo lúc cấp phát) giống nhau trên mọi máy, chuyện gì xảy ra?

Windows không giữ mật khẩu tài khoản cục bộ ở dạng thuần; nó giữ NT hash tính từ mật khẩu. Và trong xác thực NTLM, chính hash đó là nguyên liệu xác thực. Nghĩa là cùng mật khẩu thì hash cũng giống nhau trên mọi máy. Khi kẻ tấn công lấy được quyền quản trị viên trên một máy qua malware hay tấn công có chủ đích, chúng lấy hash từ bộ nhớ hoặc cơ sở dữ liệu cục bộ (SAM). Từ đây mới là phần chính: hash lấy ra dùng để xác thực mà không cần đưa về mật khẩu thuần. Đó là tấn công Pass-the-Hash. Trong môi trường mật khẩu dùng chung, hash lấy từ một máy trở thành “chìa khóa vạn năng” cho mọi máy còn lại, và xâm nhập lan ngang rất nhanh. Cơ chế xác thực NTLM và vì sao chỉ hash cũng đủ để xác thực được giải thích chi tiết trong “Giải thích NTLM và Kerberos bằng hình”.

flowchart TB
    accTitle: Mật khẩu dùng chung lan ngang bằng Pass-the-Hash
    accDescr: Cùng NT hash trên mọi máy thì xâm nhập một máy lan ra mọi máy; LAPS tách mật khẩu từng máy thì cắt được đường này
    subgraph BEFORE["Môi trường mật khẩu dùng chung"]
        A1["Xâm nhập PC-01<br/>(malware, tấn công có chủ đích)"] --> H["Lấy NT hash của quản trị viên"]
        H -->|"Pass-the-Hash"| B1["PC-02"]
        H -->|"Pass-the-Hash"| B2["PC-03"]
        H -->|"Pass-the-Hash"| B3["…lan ngang sang mọi máy"]
    end
    subgraph AFTER["Sau khi triển khai LAPS"]
        C1["Xâm nhập PC-01"] --> H2["Lấy hash của PC-01"]
        H2 -->|"vì mật khẩu khác nhau từng máy"| STOP["Hash này không xác thực được<br/>trên PC khác (chặn lan ngang<br/>qua quản trị viên cục bộ)"]
    end

Hình 1: Mật khẩu dùng chung biến một hash thành chìa khóa mọi máy; LAPS cắt đường đó bằng mật khẩu khác nhau từng máy.

Hướng đối phó rõ ràng: đặt mật khẩu quản trị viên cục bộ khác nhau từng máy, và đổi định kỳ. Khi đó, hash rò từ một máy không dùng được trên máy khác, và bạn cắt đường lan ngang do tái sử dụng tài khoản quản trị viên cục bộ (lưu ý rằng các đường lan ngang khác — như đánh cắp thông tin đăng nhập miền trên PC đã bị xâm nhập — không vì thế mà bị bịt). Tuy nhiên, làm tay không thực tế. Sinh mật khẩu riêng cho hàng chục máy, quản bằng sổ cái, rồi đi cập nhật định kỳ ── chính chi phí vận hành đó khiến lối tắt mật khẩu dùng chung sống sót. Việc OS nhận lấy “cá nhân hóa và đổi định kỳ tự động”, kèm lưu an toàn vào thư mục, chính là Windows LAPS. Bản thân Microsoft nêu lợi ích đầu tiên của Windows LAPS là “bảo vệ khỏi tấn công Pass-the-Hash và tấn công lan ngang (lateral-traversal)”.¹

Ngoài ra, về nguyên tắc quản lý đặc quyền — không làm việc hàng ngày bằng tài khoản quản trị viên, thu hẹp mục đích tài khoản bảo trì — hãy xem thêm “Khi nào thật sự cần đặc quyền quản trị viên trên Windows”.

3. Windows LAPS là gì ── khác LAPS cũ thế nào

Tên LAPS có lịch sử, và trên thực tế nếu không phân biệt “đang nói LAPS nào” thì cuộc trò chuyện không khớp.

LAPS cũ (legacy Microsoft LAPS) là công cụ cài thêm mà Microsoft công bố năm 2016.¹ Phát MSI tới mọi máy để cài phần mở rộng Group Policy (CSE), lưu mật khẩu dạng thuần vào thuộc tính ms-Mcs-AdmPwd của Active Directory — lâu nay đó là chuẩn thực tế.

Windows LAPS là hiện thực khác, gắn trong OS như sản phẩm kế nhiệm. Nó có trong Windows 10, Windows 11 21H2/22H2, Windows Server 2019/2022 từ bản cập nhật ngày 11 tháng 4 năm 2023, và có sẵn từ đầu trên Windows 11 23H2 trở đi cùng Windows Server 2025 trở đi.¹ Nghĩa là, môi trường đang áp bản cập nhật bình thường thì PC nội bộ đã có Windows LAPS. Chỉ còn việc đặt chính sách.

Điểm quan trọng: Windows LAPS không phải bản vá của LAPS cũ mà là hiện thực hoàn toàn khác, và thuộc tính schema AD cũng khác LAPS cũ (msLAPS-*).⁴ Để giúp di chuyển từ LAPS cũ, còn có “chế độ giả lập” để Windows LAPS diễn giải thiết lập GPO của LAPS cũ, nhưng ràng buộc nhiều (Chương 6) và không có lý do dùng nó cho triển khai mới.

4. Mật khẩu được lưu ở đâu ── bảng quyết định theo môi trường

Windows LAPS “sao lưu” mật khẩu đã sinh vào thư mục. Nơi lưu do trạng thái tham gia của máy quyết định, và không lưu đồng thời vào cả AD lẫn Entra ID.¹

Với lưu AD, mật khẩu được ghi vào thuộc tính của đối tượng máy tính (thuần thì msLAPS-Password, mã hóa thì msLAPS-EncryptedPassword, hạn là msLAPS-PasswordExpirationTime).⁶ Trong số đó các thuộc tính chứa mật khẩu (msLAPS-Password và nhóm mã hóa msLAPS-Encrypted*) được đánh dấu thuộc tính mật (confidential), không xem được bằng quyền đọc thông thường. Ngược lại, hạn msLAPS-PasswordExpirationTime không có dấu mật (SearchFlags: 0), là metadata xem được bằng quyền đọc mặc định.⁶ Lưu mã hóa và lịch sử mật khẩu cần domain functional level (DFL) 2016 trở lên.³ Điểm cần chú ý: giá trị mặc định của thiết lập mã hóa (ADPasswordEncryptionEnabled) là bật.² Miền DFL cũ hơn 2016 không dùng được mã hóa, nên đừng trông vào việc tự chuyển sang thuần; hãy tắt mã hóa tường minh bằng chính sách rồi lưu thuần + bảo vệ ACL.³

Với lưu Entra ID, cấu hình chuẩn là bật “quản lý mật khẩu quản trị viên cục bộ” phía tenant, rồi phân phối chính sách từ Intune qua LAPS CSP. Về giấy phép, bản thân Windows LAPS miễn phí, lưu AD không có yêu cầu thêm, và lưu Entra ID dùng được với Microsoft Entra ID Free trở lên.¹

Máy workgroup không có biện pháp thay thế vì không tồn tại thư mục làm nơi lưu. Thực tế, lúc cấp phát hãy đặt mật khẩu khác nhau từng máy rồi quản sổ cái bằng trình quản lý mật khẩu. Nếu cấp phát đã được kịch bản hóa, cách chắc là nhúng việc sinh mật khẩu theo máy vào đó (xem “Tự động hóa cấp phát PC bằng winget + PowerShell”).

5. Quy trình triển khai thực tế ── lấy cấu hình AD+GPO làm trục

Ở đây lấy cấu hình miền AD + GPO — vốn chiếm số lượng lớn — làm trục và đi theo từng bước. Khác biệt với cấu hình Entra+Intune được tóm ở cuối.

5.1. Chuẩn bị trước (làm một lần)

Với lưu AD, hãy xong phần chuẩn bị phía forest trước khi phân phối chính sách.³

# 1. Mở rộng schema (một lần cho forest. Chạy với quyền Schema Admins)
Update-LapsADSchema

# 2. Cấp cho máy tính dưới OU đích quyền cập nhật thuộc tính mật khẩu của chính nó
Set-LapsADComputerSelfPermission -Identity "OU=PCNoiBo,DC=example,DC=co,DC=jp"

# 3. Cấp nhóm được xem mật khẩu (Domain Admins xem được theo mặc định)
Set-LapsADReadPasswordPermission -Identity "OU=PCNoiBo,DC=example,DC=co,DC=jp" `
    -AllowedPrincipals @("EXAMPLE\HelpdeskAdmins")

# 4. Cấp nhóm được thao tác hạn mật khẩu (chỉ thị hết hạn = reset ngay)
#    (cần cho Set-LapsADPasswordExpirationTime ở 5.4. Domain Admins làm được theo mặc định)
Set-LapsADResetPasswordPermission -Identity "OU=PCNoiBo,DC=example,DC=co,DC=jp" `
    -AllowedPrincipals @("EXAMPLE\HelpdeskAdmins")

# 5. Kiểm không có người giữ quyền xem ngoài dự kiến (Chương 6 nói kỹ)
Find-LapsADExtendedRights -Identity "OU=PCNoiBo,DC=example,DC=co,DC=jp"

Nếu dùng lưu mã hóa (DFL 2016 trở lên, bật theo mặc định), còn một thiết lập nữa. Quyền xem và quyền giải mã là hai thứ khác nhau; mặc định chỉ Domain Admins giải mã được.³ Nếu muốn nhóm help desk thật sự lấy được mật khẩu, hãy chỉ định cùng nhóm (EXAMPLE\HelpdeskAdmins) ở ADPasswordEncryptionPrincipal phía chính sách.² Quên bước này thì dù cấp quyền xem đúng như trên, bạn rơi vào trạng thái “đọc được thuộc tính nhưng không giải mã được”.

Update-LapsADSchema khác Update-AdmPwdADSchema của LAPS cũ; cái được thêm là thuộc tính msLAPS-*. Ngay cả môi trường đã triển khai LAPS cũ vẫn cần mở rộng schema cho Windows LAPS lần nữa.⁴ Nếu đang dùng Central Store của GPO, mẫu Windows LAPS không được Windows Update sao vào Central Store, nên hãy sao thủ công.² Lúc đó không chỉ %windir%\PolicyDefinitions\LAPS.admx mà cả tài nguyên ngôn ngữ LAPS.adml (với UI tiếng Việt thì thư mục con vi-VN; với UI tiếng Nhật thì ja-JP) cũng phải sao vào thư mục ngôn ngữ tương ứng. Thiếu ADML thì GPMC hiện lỗi tài nguyên khi mở chính sách LAPS.

5.2. Thiết lập chính sách

Vị trí GPO là “Computer Configuration > Policies > Administrative Templates > System > LAPS”.² Thiết lập bắt buộc tối thiểu là nơi lưu: Windows LAPS không làm gì trừ khi BackupDirectory đặt thành “Active Directory” (giá trị 2) (mặc định là “Disabled”).² Các thiết lập chính và giá trị mặc định như sau.

Điều dễ bỏ sót ở đây là bật/tắt tài khoản được quản. Administrator built-in bị vô hiệu từ lúc cài Windows.⁷ Windows LAPS vẫn quản mật khẩu của tài khoản đang tắt, nhưng không bật tài khoản.² Nghĩa là cấu hình mặc định có thể thành “mật khẩu đã lưu trong thư mục nhưng không ai đăng nhập được bằng tài khoản đó”. Để dùng như phương tiện khôi phục, hãy chọn tường minh một trong: bật Administrator built-in rồi vận hành, quản tài khoản bảo trì tùy chỉnh đã bật, hoặc từ Windows 11 24H2 / Server 2025 trở đi thì quản cả trạng thái bật bằng quản lý tài khoản tự động (các thiết lập AutomaticAccountManagement).²

5.3. Xác nhận hoạt động và lấy mật khẩu

Windows LAPS xử lý chính sách đang có hiệu lực mỗi giờ. Khi muốn kiểm mà không chờ áp, hãy chạy xử lý ngay trên máy đích.³

# Phía máy: xử lý chính sách ngay (thói quen khi kiểm thử)
Invoke-LapsPolicyProcessing

# Phía máy: xác nhận kết quả bằng nhật ký sự kiện
# 10003=bắt đầu xử lý / 10004=thành công / 10005=thất bại / 10018=lưu AD thành công
Get-WinEvent -LogName "Microsoft-Windows-LAPS/Operational" -MaxEvents 20

Mật khẩu đã lưu được lấy từ máy quản trị có quyền.³

# Lấy mật khẩu từ AD (không có -AsPlainText thì chuỗi được che)
Get-LapsADPassword -Identity PC-0123 -AsPlainText

# Ví dụ đầu ra: Account, Password, PasswordUpdateTime, ExpirationTimestamp,
#         Source (EncryptedPassword nếu lưu mã hóa), AuthorizedDecryptor, v.v.

Người thích GUI có tab LAPS trên thuộc tính máy tính trong “Active Directory Users and Computers”, và xem được từ đó.¹

5.4. Xoay vòng ngay

Khi xong việc bảo trì và đã dùng mật khẩu, hoặc khi nghi bị xâm nhập, hãy xoay ngay mà không chờ chu kỳ thường lệ.³

# Từ máy quản trị: đặt hạn thành "bây giờ" để lần xử lý tới xoay vòng
Set-LapsADPasswordExpirationTime -Identity PC-0123
# Đá xử lý ngay trên máy đích thì mật khẩu mới có mặt tại chỗ
Invoke-LapsPolicyProcessing

# Xoay vòng ngay trực tiếp trên máy đích
Reset-LapsPassword

5.5. Khác biệt khi cấu hình Entra+Intune

Lưu Entra ID không cần mở rộng schema hay đặt ACL như AD.³ Thay vào đó, cần bật quản lý mật khẩu quản trị viên cục bộ trong [Device settings] của tenant Microsoft Entra; quên bước này thì máy không lưu được mật khẩu.⁵ Chính sách phân phối từ Intune qua LAPS CSP, và mật khẩu lấy từ màn hình trung tâm quản trị Entra/Intune, hoặc Get-LapsAADPassword qua Microsoft Graph.⁵

# Lấy mật khẩu lưu Entra ID qua Graph (ví dụ truy cập ủy quyền)
# Yêu cầu tường minh các scope cần lúc kết nối
Connect-MgGraph -Scopes "Device.Read.All","DeviceLocalCredential.Read.All"
Get-LapsAADPassword -DeviceIds PC-0123 -IncludePasswords -AsPlainText

ID sự kiện lưu thành công là 10018 với AD, còn Entra ID là 10029.⁸

6. Cạm bẫy vận hành

Triển khai xong chưa phải hết. Dưới đây lần lượt các điểm dễ giẫm phải trên hiện trường.

6.1. Quyền xem rộng hơn bạn nghĩ

Thuộc tính mật khẩu là thuộc tính mật (confidential) nên quyền đọc thông thường không thấy, nhưng principal giữ quyền mở rộng (All Extended Rights) trên OU đích thì đọc được. Môi trường từng ủy quyền rộng trên OU dễ rơi vào trạng thái nhóm ngoài dự kiến đọc được mật khẩu. Lúc triển khai hãy rà người giữ quyền mở rộng bằng Find-LapsADExtendedRights; nếu hiện ai ngoài SYSTEM và Domain Admins thì hãy xem lại nội dung ủy quyền.³

Hơn nữa, bật lưu mã hóa (ADPasswordEncryptionEnabled) tách quyền xem khỏi quyền giải mã. Chỉ cấp quyền xem thì không giải mã được mật khẩu đã mã hóa; mặc định chỉ Domain Admins giải mã được, và để đổi thì chỉ định nhóm giải mã được bằng ADPasswordEncryptionPrincipal.³ Việc thu hẹp kiểu “help desk chỉ giải mã mật khẩu OU mình phụ trách” được thiết kế bằng hai tầng này.

6.2. Cơ chế “dùng rồi bỏ” và giới hạn ── PostAuthenticationActions

Mật khẩu help desk đã lấy mà cứ nằm trên giấy nhớ hay chat thì vô nghĩa. Windows LAPS phát hiện xác thực bằng tài khoản được quản, rồi sau thời gian ân hạn (PostAuthenticationResetDelay, mặc định 24 giờ) tự dọn dẹp. Hành động mặc định là “reset mật khẩu và đăng xuất”.²

Có hai điểm cần chú ý. Thứ nhất, đặt ân hạn thành 0 thì bản thân tính năng này bị tắt.² Thứ hai, cò là “xác thực” chứ không phải “tra cứu mật khẩu”. Chỉ lấy mật khẩu từ thư mục rồi không dùng thì reset tự động không chạy. Dù dùng hay không, hãy cố định vào quy trình vận hành việc hết hạn mật khẩu đã tra cứu lúc xong việc bằng Set-LapsADPasswordExpirationTime.

6.3. Dùng chung và di chuyển với LAPS cũ

Nguy hiểm nhất thời kỳ chuyển tiếp là trạng thái cùng một tài khoản bị cả LAPS cũ lẫn Windows LAPS quản. Cấu hình hai cơ chế tranh mật khẩu cùng tài khoản là rủi ro bảo mật và không được hỗ trợ.⁹ Quy tắc sắp xếp như sau.

• Trên máy đã áp dù chỉ một chính sách Windows LAPS, bản thân Windows LAPS luôn bỏ qua chính sách LAPS cũ (Windows LAPS thắng).⁹ Nhưng đó chỉ là cách Windows LAPS diễn giải. Nếu CSE (phần mở rộng Group Policy) của LAPS cũ vẫn còn cài, CSE cũ vẫn xử lý GPO cũ độc lập. Bật chính sách Windows LAPS trong khi máy vẫn nằm trong đối tượng áp GPO cũ sẽ thành trạng thái quản kép, cả hai xoay vòng cùng tài khoản.
• “Chế độ giả lập” để Windows LAPS xử lý thiết lập GPO của LAPS cũ chỉ chạy trên máy không cài CSE của LAPS cũ. Nó dùng nguyên tiền đề môi trường LAPS cũ (schema cũ, ACL cũ), nhưng tính năng mới như mã hóa hay lưu Entra không dùng được.⁹
• Chỉ cần cập nhật OS, máy còn GPO LAPS cũ có thể bất ngờ chạy chế độ giả lập. Nếu muốn tránh đổi mật khẩu ngoài dự kiến ngay sau cấp phát, đặt BackupDirectory=0 bằng khóa cấu hình cục bộ để dừng giả lập.⁹

Di chuyển theo thứ tự “gỡ máy đích khỏi áp GPO LAPS cũ (hoặc gỡ CSE cũ) → áp chính sách Windows LAPS → dọn GPO cũ và CSE cũ còn lại”, tắt quản cũ rồi mới bật quản mới, để từng máy luôn thuộc đúng một bên quản. Đảo thứ tự (áp chính sách Windows LAPS trước) sẽ gây quản kép trên máy còn CSE cũ như trên.

6.4. Kiểm toán ── giữ “ai xem lúc nào”

Đã lưu tập trung mật khẩu quản trị viên cục bộ thì lịch sử xem là đối tượng kiểm toán. Hoạt động phía máy được ghi hết vào kênh nhật ký sự kiện riêng (Event Viewer: “Applications and Services Logs > Microsoft > Windows > LAPS > Operational”); bạn thấy bắt đầu xử lý 10003/thành công 10004/thất bại 10005, lưu thành công 10018 (AD)/10029 (Entra), nội dung chính sách đang áp 10021–10023, v.v.⁸ Phía AD, Set-LapsADAuditing cấu hình kiểm toán trên OU đích và ghi truy cập thuộc tính mật khẩu vào nhật ký Security của domain controller.⁴ Với lưu Entra ID, theo dõi bằng nhật ký kiểm toán và báo cáo phía Entra.¹

7. Tóm tắt

• Mật khẩu quản trị viên cục bộ dùng chung trên mọi PC tạo khung xâm nhập một máy lan sang toàn bộ bằng Pass-the-Hash. Đối phó là cá nhân hóa từng máy và xoay vòng tự động; Windows LAPS đảm nhận việc đó.
• Windows LAPS đã gắn sẵn trong Windows 10/11 từ bản cập nhật tháng 4 năm 2023, và Windows Server 2019/2022 trở đi; không cần cài thêm. LAPS cũ (phân phối MSI) đã deprecated, triển khai mới chỉ còn Windows LAPS.
• Nơi lưu là một trong AD hoặc Entra ID, do trạng thái tham gia của máy quyết định. Máy workgroup không dùng được nên cần quản riêng thủ công hoặc xem lại hình thức tham gia.
• Mặc định là tắt. Với cấu hình AD, chuẩn bị ba điểm — mở rộng schema, quyền tự cập nhật, quyền xem — rồi đặt BackupDirectory bằng GPO thì mới chạy.
• Vận hành hàng ngày lấy PowerShell làm trục. Lấy bằng Get-LapsADPassword / Get-LapsAADPassword, áp ngay bằng Invoke-LapsPolicyProcessing, xoay vòng ngay bằng Reset-LapsPassword.
• Cạm bẫy là xem ngoài dự kiến do quyền mở rộng, PostAuthenticationActions không chạy nếu chỉ tra cứu, quản kép với LAPS cũ, và kiểm toán chưa dựng. Lúc triển khai hãy cố định kiểm quyền bằng Find-LapsADExtendedRights và quy trình hết hạn sau khi tra cứu.

Bài viết liên quan

• Hướng dẫn thực tế BitLocker ── bắt đầu mã hóa ổ từ quản lý khóa khôi phục
• Giải thích NTLM và Kerberos bằng hình ── vì sao xác thực rơi về NTLM
• Khi nào thật sự cần đặc quyền quản trị viên trên Windows - UAC, vùng được bảo vệ, và cách phân biệt từ thiết kế
• Tự động hóa cấp phát PC bằng winget + PowerShell ── làm runbook chạy được
• TPM trên Windows là gì ── “két không đưa khóa ra ngoài” và khởi động đo đạc bằng hình
• Việc nên làm trước khi thải Windows PC ── danh sách kiểm thực tế về xóa dữ liệu, hủy liên kết tài khoản, sao lưu

Lĩnh vực tư vấn liên quan

KomuraSoft LLC đảm nhận viết kịch bản tự động hóa cấp phát PC, chỉnh thiết lập bảo mật thiết bị gồm triển khai Windows LAPS, và lập kế hoạch di chuyển khỏi vận hành mật khẩu dùng chung hiện có. Bắt đầu từ giai đoạn “có runbook cấp phát nhưng đang lệ thuộc người” hay “muốn đưa LAPS vào nhưng chưa chắc về đặt quyền AD” cũng được.

• Phát triển ứng dụng Windows
• Tư vấn kỹ thuật và đánh giá thiết kế
• Liên hệ với chúng tôi

Liên kết tham khảo

Bài viết liên quan

Các bài viết gần đây có cùng thẻ để tìm hiểu sâu hơn những chủ đề lân cận.

Chủ đề liên quan

Các trang này đặt chủ đề trong bối cảnh rộng hơn của dịch vụ và quyết định.

Dịch vụ liên quan đến chủ đề này

Bài viết liên quan trực tiếp đến các dịch vụ sau.

Câu hỏi thường gặp

Các câu hỏi thường gặp khi tư vấn về chủ đề của bài viết.

Chúng tôi đã vận hành LAPS cũ (Microsoft LAPS phân phối bằng MSI). Có cần làm gì không?

Hãy bắt đầu lập kế hoạch di chuyển. LAPS cũ bị deprecated từ Windows 11 23H2 trở đi, và trên OS mới việc cài MSI bản thân bị chặn. OS hiện hành (Windows 10/11 đã áp bản cập nhật tháng 4 năm 2023, Windows Server 2019/2022 trở đi) đã có Windows LAPS tích hợp, nên bạn di chuyển mà không cần cài thêm. Trong thời kỳ chuyển tiếp, bạn có thể để Windows LAPS tiếp tục xử lý chính sách cũ qua "chế độ giả lập LAPS cũ", nhưng có ràng buộc: nó không chạy trên máy còn CSE của LAPS cũ, và các tính năng mới như mã hóa hay lưu Entra ID không dùng được. Cấu hình cùng một tài khoản bị cả hai hệ quản không được hỗ trợ, nên hãy chuyển theo từng máy, làm rõ bên nào đang quản.

Sau khi dùng mật khẩu đã lấy, cứ để vậy có sao không?

Với cấu hình mặc định thì việc dọn dẹp diễn ra tự động, nhưng không phải ngay lập tức. Windows LAPS có PostAuthenticationActions, phát hiện xác thực (đăng nhập) bằng tài khoản được quản rồi xử lý sau thời gian ân hạn; mặc định mật khẩu được đặt lại và phiên được đăng xuất 24 giờ sau xác thực. Nói ngược lại, cùng mật khẩu đó vẫn dùng được cho đến khi ân hạn hết, nên nó không vô hiệu ngay lúc bạn dùng. Cơ chế này chạy khi bạn xác thực bằng mật khẩu — không phải khi chỉ tra cứu từ thư mục. Cách chắc chắn là hết hạn tường minh khi xong việc. Với lưu AD, hết hạn bằng Set-LapsADPasswordExpirationTime (cmdlet này chỉ dành cho lưu AD). Với lưu Entra ID, chạy Reset-LapsPassword trên máy đích, hoặc dùng thao tác xoay vòng mật khẩu quản trị viên cục bộ của Intune.

PC vận hành workgroup, không tham gia miền cũng không tham gia Entra ID, có dùng được không?

Không dùng được. Windows LAPS cần Active Directory hoặc Microsoft Entra ID làm nơi lưu mật khẩu, và máy không tham gia bên nào thì không có nơi sao lưu. Nếu tiếp tục workgroup, lựa chọn thực tế là vận hành thủ công: đặt mật khẩu quản trị viên cục bộ khác nhau từng máy rồi quản sổ cái ở nơi an toàn (trình quản lý mật khẩu, v.v.). Khi số máy tăng, đó là lúc cân nhắc chuyển sang Entra join (+Intune) hoặc tham gia miền để hưởng lợi ích quản lý tập trung, gồm cả LAPS.

Ai xem được mật khẩu đã lưu?

Với lưu Active Directory, mặc định chỉ thành viên Domain Admins xem được; người dùng hoặc nhóm khác được cấp quyền tường minh bằng Set-LapsADReadPasswordPermission. Tuy nhiên, dù thuộc tính mật khẩu là thuộc tính mật (confidential), principal giữ quyền mở rộng (All Extended Rights) trên OU vẫn đọc được, nên lúc triển khai hãy luôn kiểm người giữ ngoài dự kiến bằng Find-LapsADExtendedRights. Bật mã hóa bằng ADPasswordEncryptionEnabled nữa (cần domain functional level 2016 trở lên), bạn thu hẹp bên giải mã vào nhóm chỉ định ở ADPasswordEncryptionPrincipal. Với lưu Entra ID, các vai trò đặc quyền như Global Administrator xem được theo mặc định, và lấy qua Microsoft Graph cần quyền DeviceLocalCredential.Read.All.

Dùng Windows LAPS có cần giấy phép thêm không?

Bản thân tính năng là miễn phí. Windows LAPS là tính năng chuẩn gắn trong Windows được hỗ trợ, và lưu mật khẩu vào Active Directory không có yêu cầu giấy phép thêm. Lưu vào Microsoft Entra ID cũng dùng được với giấy phép Microsoft Entra ID Free trở lên. Chỉ lưu ý các tính năng Entra/Intune xung quanh — như giấy phép Intune nếu phân phối chính sách qua Intune — có thể có yêu cầu giấy phép riêng, nên hãy kiểm đúng chỗ đó.

Hồ sơ tác giả

Trang giới thiệu tác giả bài viết.

Go Komura

Đại diện của KomuraSoft LLC

Chuyên về phát triển phần mềm Windows, tư vấn kỹ thuật và điều tra lỗi, đặc biệt trong các dự án có hệ thống hiện hữu và lỗi khó tái hiện.