本地管理员口令管理检查
Windows LAPS 用于为每台机器独立管理本地管理员口令：由域侧统一下发策略、按周期自动轮换，口令保存在受权限保护的目录对象属性中，只有被授权的角色能读取。它解决的核心问题是本地管理员账号在全域共用同一口令的历史做法——一旦某台机器被突破，攻击者拿到该口令就能横向访问其他机器。检查聚焦三件事：部署覆盖率、口令读取权限是否符合最小权限、以及轮换周期与到期策略。
基本信息
| 检查项 | 部署覆盖率、口令读取权限、轮换周期与到期策略 |
|---|---|
| 核心价值 | 消除本地管理员口令统一带来的横向扩散面 |
| 加固方向 | 读取权限限制到运维角色并开启读取审计 |
| 迁移注意 | 新旧方案并行期间容易出现管理盲区 |
典型使用场景
- 桌面终端：大量终端历史上共用同一本地管理员口令
- 服务器主机：本地管理员账号用于应急维护与故障处理
- 离线设备：长期未连内网的设备口令无法自动轮换
- 交付与实施：集成商在部署时留下的统一口令
- 权限收敛：需要限制谁能查看哪些主机的本地口令
检查要点
检查要点
1. 统计已纳入自动管理的主机覆盖率，列出未覆盖清单与原因
2. 核查读取权限：应仅限运维角色，且按范围划分
3. 核对轮换周期与到期策略是否满足基线要求
4. 核查读取行为是否留有审计记录 # 谁在什么时候读了哪台主机口令
5. 记录：覆盖率、权限现状、缺口与整改顺序检查项与期望
| 检查项 | 期望表现 | 常见问题 |
|---|---|---|
| 覆盖率 | 关键主机全部纳入管理 | 离线设备与新建主机遗漏 |
| 读取权限 | 仅限授权运维角色 | 权限过宽，失去隔离意义 |
| 轮换周期 | 按策略自动轮换 | 周期过长或到期未处理 |
| 读取审计 | 可追溯读取人与时间 | 无记录，异常读取不可发现 |
迁移期间新旧方案并行容易出现管理盲区：明确哪些主机由哪套机制接管，完成后及时停用旧机制。