Windows LAPS : un mot de passe d'administrateur local unique

Windows LAPS (Local Administrator Password Solution) est une fonctionnalité intégrée à Windows qui donne à chaque ordinateur du domaine un mot de passe d'administrateur local aléatoire, unique et renouvelé automatiquement, sauvegardé dans Active Directory et lisible seulement par les personnes autorisées. Il supprime le mot de passe commun à tous les postes, qui permet à un attaquant de passer d'une machine à toutes les autres. Ce chapitre explique son fonctionnement, le déploie pas à pas chez Sorbier et justifie chaque paramètre de sa GPO, comme le demandait le sujet E7 de 2025.

Le problème : un seul mot de passe pour tous les postes

Chez Sorbier (constat B), tous les postes ont été installés depuis la même image, avec le même mot de passe pour le compte Administrateur local. C'est pratique pour le support. C'est aussi le scénario le plus favorable pour un attaquant : les comptes locaux qui ont le même mot de passe ont la même empreinte NT (chapitre 2), et l'authentification NTLM d'un compte local est vérifiée par la machine cible, sans passer par le contrôleur de domaine. Un poste compromis ouvre donc tous les autres, sans aucune trace sur les contrôleurs.

Le mot de passe commun a d'autres défauts : il est connu de tous les techniciens passés par l'entreprise, il n'est jamais changé (il faudrait repasser sur chaque poste), et il est souvent écrit quelque part.

Ce que fait Windows LAPS

Chaque ordinateur géré :

1. génère lui-même un mot de passe aléatoire pour le compte local géré, selon la longueur et la complexité fixées par GPO ;
2. l'enregistre dans l'annuaire, dans un attribut de son propre objet ordinateur, chiffré si on l'a demandé, avec un historique des mots de passe précédents ;
3. le renouvelle à l'échéance (30 jours par défaut), ou après une utilisation si une action post-authentification est configurée.

Les membres du groupe autorisé lisent le mot de passe d'un poste quand ils doivent intervenir en local ; chaque lecture peut être auditée.

Windows LAPS et l'ancien Microsoft LAPS

Il ne faut pas confondre deux produits :

Le sujet de secours 2025 parlait encore de « Microsoft LAPS », avec une étape d'installation sur le contrôleur de domaine et le déploiement d'un client. Avec Windows LAPS, ces étapes disparaissent. Un parc qui utilise encore l'ancien produit migre vers Windows LAPS, qui sait lire temporairement les anciens réglages (mode d'émulation), mais sans chiffrement ni historique : c'est une étape de transition seulement.

Les prérequis

• Des postes et serveurs sous Windows 11, ou Windows Server 2019, 2022 ou 2025, à jour. Windows 10 n'est plus supporté depuis le 14 octobre 2025 (sauf avec les mises à jour de sécurité étendues).
• Le schéma de la forêt étendu avec les attributs de Windows LAPS (une fois par forêt).
• Pour le chiffrement des mots de passe dans l'annuaire : un niveau fonctionnel de domaine Windows Server 2016 au moins.
• Pour les nouveautés de Windows Server 2025 décrites plus bas : des postes en Windows 11 24H2 ou plus et, pour la détection des retours d'image, au moins un contrôleur Windows Server 2025 (l'attribut nécessaire n'existe que dans son schéma).

Déployer Windows LAPS chez Sorbier, pas à pas

Étape 1 : étendre le schéma. Une seule fois pour la forêt, avec un compte membre des Administrateurs du schéma (ajouté au groupe pour l'occasion, puis retiré), depuis le poste d'administration du tier 0 :

Update-LapsADSchema

Étape 2 : autoriser les ordinateurs à écrire leur mot de passe. Chaque ordinateur doit pouvoir mettre à jour les attributs LAPS de son propre objet :

Set-LapsADComputerSelfPermission -Identity "OU=Ordinateurs,OU=Sorbier,DC=ad,DC=sorbier,DC=example"
Set-LapsADComputerSelfPermission -Identity "OU=Serveurs,OU=Sorbier,DC=ad,DC=sorbier,DC=example"

Étape 3 : décider qui peut lire. Le support de niveau 2 lit les mots de passe des postes, les administrateurs du tier 1 ceux des serveurs : le modèle en tiers s'applique aussi ici.

Set-LapsADReadPasswordPermission -Identity "OU=Ordinateurs,OU=Sorbier,DC=ad,DC=sorbier,DC=example" `
    -AllowedPrincipals "SORBIER\GG_Support_N2"
Set-LapsADReadPasswordPermission -Identity "OU=Serveurs,OU=Sorbier,DC=ad,DC=sorbier,DC=example" `
    -AllowedPrincipals "SORBIER\GG_Admins_T1_Serveurs"

Étape 4 : la GPO. On crée GPO-LAPS-Postes, liée à l'OU Sorbier/Ordinateurs (et une GPO semblable pour les serveurs), et on règle Configuration ordinateur > Stratégies > Modèles d'administration > Système > LAPS.

Étape 5 : vérifier. Sur un poste, appliquer la stratégie, puis lire le mot de passe depuis le poste d'administration :

# Sur le poste : appliquer les GPO puis le traitement LAPS sans attendre
gpupdate /force
Invoke-LapsPolicyProcessing

# Depuis le poste d'administration, avec un compte de GG_Support_N2
Get-LapsADPassword -Identity "PC-COMPTA-01" -AsPlainText

La commande affiche le nom du compte, le mot de passe, la date de sa création et celle de son expiration. Dans la console Utilisateurs et ordinateurs Active Directory, l'onglet LAPS des propriétés d'un ordinateur montre les mêmes informations à qui a le droit de les voir.

Les paramètres de la GPO, un par un

Les nouveautés de Windows Server 2025 et Windows 11 24H2

• La gestion automatique du compte : LAPS crée lui-même le compte local à gérer, avec un nom fixe ou un nom aléatoire, et peut désactiver le compte Administrateur intégré. Plus besoin de préparer le compte dans l'image.
• Les phrases de passe : au lieu d'une suite de caractères difficile à taper au clavier d'un poste en panne, LAPS peut générer une suite de mots, réglée par un nombre de mots.
• Une meilleure lisibilité : une option de complexité qui évite les caractères ambigus (l, 1, O, 0).
• La détection des retours d'image : quand une machine revient à un ancien instantané ou à une sauvegarde, son mot de passe local ne correspond plus à celui de l'annuaire. Windows LAPS le détecte, grâce à l'attribut msLAPS-CurrentPasswordVersion du schéma de Windows Server 2025, et renouvelle le mot de passe.

Le mot de passe DSRM des contrôleurs de domaine

Les contrôleurs de domaine n'ont pas de compte d'administrateur local au sens habituel, mais ils ont un compte de secours : celui du mode de restauration des services d'annuaire (DSRM), qui sert à restaurer l'annuaire (chapitre 10). Son mot de passe, défini à la promotion du contrôleur, n'est presque jamais changé. Windows LAPS sait aussi le gérer et le sauvegarder dans l'annuaire : réglage Activer la sauvegarde du mot de passe du compte DSRM dans une GPO liée à l'OU Domain Controllers. Les déchiffreurs autorisés sont alors des administrateurs du tier 0.

Surveiller et dépanner LAPS

• Le journal de LAPS sur chaque machine, dans l'Observateur d'événements : Journaux des applications et des services > Microsoft > Windows > LAPS > Operational. Une erreur à cet endroit indique en général que l'ordinateur n'a pas le droit d'écrire dans l'annuaire (étape 2 oubliée) ou que le schéma n'est pas étendu.
• Les lectures de mots de passe : avec l'audit des accès au service d'annuaire activé sur les contrôleurs, chaque lecture de l'attribut chiffré laisse une trace. Une rafale de lectures par le même compte, sur des dizaines de postes, n'a rien d'un dépannage normal.
• La couverture : un ordinateur sans mot de passe LAPS dans l'annuaire n'est pas protégé. PingCastle signale l'absence de LAPS (« LAPS ne semble pas installé ») et les points de contrôle de l'ANSSI mesurent sa couverture dans la forêt.

# Forcer le renouvellement immédiat, sur un poste, après une intervention
Reset-LapsPassword

# Les ordinateurs de l'OU des postes dont le mot de passe LAPS a expiré ou n'existe pas
Get-ADComputer -SearchBase "OU=Ordinateurs,OU=Sorbier,DC=ad,DC=sorbier,DC=example" -Filter * `
    -Properties msLAPS-PasswordExpirationTime |
    Where-Object { -not $_.'msLAPS-PasswordExpirationTime' -or
                   [datetime]::FromFileTimeUtc($_.'msLAPS-PasswordExpirationTime') -lt (Get-Date).ToUniversalTime() } |
    Select-Object Name

Exercices