LAPS 解决的是本地管理员口令复用
很多组织的机器镜像里，本地管理员口令是同一个：内网一台被拿下，全网同口令的机器都能横向接管。LAPS（Local Administrator Password Solution）给每台机器生成独立、周期轮换的本地管理员口令，并按组织策略决定是存到 AD 属性里还是存进 Entra ID，取用需要显式授权。新版“Windows LAPS”已内置于 Windows（2023 年更新后），旧版 LAPS 是独立的 MSI 加 AD 架构扩展，两者存储位置与命令行完全不同。
基本信息
| 加固项 | 本地管理员口令唯一化与自动轮换 |
|---|---|
| 适用平台 | Windows（Windows LAPS：Windows 10/11、Server 2019+；旧版 LAPS 用 MSI 部署） |
| 权限要求 | 域管理员部署策略，读取口令需被授权 |
| 达标判据 | 口令自动轮换开启，过期时间处于合理区间 |
| 存储位置 | 旧版存 ms-Mcs-AdmPwd 系列属性；Windows LAPS 可存 AD 或 Entra ID |
典型使用场景
- 消除“全网同一本地管理员口令”的横向移动捷径
- 终端交付前自动生成唯一口令并托管
- 审计要求说明本地高权限账号口令如何管理与轮换
- 临时需要本地管理员权限时按需申请、取用留痕
- 从旧版 LAPS 迁移到 Windows LAPS 时核对存量状态
部署与核查（Windows LAPS）
部署与核查（Windows LAPS）
Get-CimInstance -ClassName Win32_OptionalFeature -Filter "Name like 'LAPS%'" | Select-Object Name, InstallState # 能力是否安装
Get-LapsADPassword -Identity 'PC01' -AsPlainText # 读取托管口令，需被授权
Get-LapsADPassword -Identity 'PC01' # 不取明文，看到期时间与来源
gpupdate /target:computer /force # 策略未生效时强制刷新存量核查（旧版 LAPS）
存量核查（旧版 LAPS）
Get-ADComputer -Filter * -Properties 'ms-Mcs-AdmPwdExpirationTime' | Select-Object Name, ms-Mcs-AdmPwdExpirationTime -First 5
get-adprincipalgroupmembership 'PC01$' # 看谁被授权读取口令
# 旧版客户端插件需在每台机器上安装，未安装的机器不会轮换两代方案差异
| 对比项 | 旧版 LAPS | Windows LAPS |
|---|---|---|
| 交付方式 | 独立 MSI + AD 架构扩展 | 系统内置，配合策略与角色使用 |
| 存储位置 | AD 属性 ms-Mcs-AdmPwd | AD 或 Entra ID 可选 |
| 读取命令 | Get-AdmPwdPassword（独立模块） | Get-LapsADPassword |
| 核查要点 | 客户端插件是否安装、密码过期时间 | 策略是否下发、备份目录是否配置 |
读取托管口令的权限必须按最小化授权并留痕：谁能取哪台机器的口令、什么时候取的，都要可查。权限一刀切地给到整个 IT 组，等于把分散存储的优势又收回到共享凭据的老路上。
核查不要只看部署记录：判断依据应该是密码过期时间是否在轮换周期内。备份还原出来的机器、长期离线又回归的终端，口令可能停留在旧值，恢复演练之后要主动触发一次轮换并检查结果。