| 加固项 | 本地管理员口令管理 |
|---|---|
| 适用平台 | Windows（Windows LAPS / 旧版 LAPS） |
| 风险等级 | 高 |
| 基线 | 启用自动轮换、按需授权读取 |
部署核查
部署核查
Get-CimInstance -ClassName Win32_OptionalFeature -Filter "Name like 'LAPS%'" | Select-Object Name, InstallState
# Windows LAPS（2023+）：
Get-LapsADPassword -Identity 'PC01' -AsPlainText
gpupdate /target:computer /force旧版 LAPS 核查
旧版 LAPS 核查
Get-ADComputer -Filter * -Properties 'ms-Mcs-AdmPwdExpirationTime' | Select-Object Name, ms-Mcs-AdmPwdExpirationTime | Select-Object -First 5读取 LAPS 口令的权限必须最小化并审计：谁在什么时候取了哪台机器口令，要能查到。