Introduction
Microsoft LAPS (Local Administrator Password Solution) est une solution gratuite fournie par Microsoft qui permet la sécurisation des postes de travail.
LAPS permet pour chaque ordinateur présent dans OU de générer de façon aléatoire un mot de passe pour le compte Administrateur local et de l’enregistrer dans un attribut Active Directory (ms-Mcs-AdmPwd). Il ‘s’appuie sur SID du compte qui est structuré de la même manière sur n’importe quel poste, ce qui permet d’appliquer LAPS à n’importe quelle langue de Windows ou même de renommer le compte administrateur.
Il est également possible de configurer une date d’expiration du mot de passe (ms-Mcs-AdmPwdExpirationTime), qui forcera un nouveau mot de passe pour le compte Administrateur Local.
LAPS se présente sous la forme « client/serveur », il nécessite l’installation d’une partie sur le(s) serveur(s) contrôleur de domaine et l’enregistrement d’une DLL sur les postes clients.
Prérequis :
- Minimum serveur : Windows 2003 SP1.
- Minimum poste : Windows 8.1.
Si vous êtes dans un environnement avec plusieurs contrôleurs de domaines, il faut installer la définition des stratégies de groupes sur l’ensemble des serveurs ou utiliser un magasin central. Dans le second cas, il faut copier après l’installation les fichiers (%WINDIR%\PolicyDefinitions\AdmPwd.admx et %WINDIR%\PolicyDefinitions\en-US\AdmPwd.adml) dans le magasin central.
Bonjour,
Très bon article!
Je me demandais s’il était possible de mettre en place LAPS pour tous les comptes admin locaux builtin d’un parc de machine (pour que les techs puissent intervenir dessus facilement en plus de la sécu) et en même temps de laisser certains utilisateurs particuliers avoir un compte admin local (non builtin, vu qu’il serait bloqué).
Est-ce possible ou est-ce que LAPS bloquera cet état de fait.
Merci