Windows LAPS 如何解决所有电脑共用同一个本地管理员密码的安全风险？
Windows LAPS 可为每台域电脑自动生成、保存和轮换不同的本地管理员密码，并通过权限控制授权查询。
先控制风险，再实施变更建议先在测试环境或单一对象上验证，保存配置、日志和可恢复备份。涉及生产切换、批量策略、数据库修复或存储重建时，应设置维护窗口和明确回退条件。
1. 结论与适用范围
所有终端共用同一个本地管理员密码，会让单台电脑泄露迅速扩大为横向移动风险。Windows LAPS 将密码按设备独立管理，支持自动轮换、AD 中加密保存、密码历史和授权审计。
该问题涉及 Active Directory、DNS、组策略、身份认证和域控健康。应在变更前完成复制、备份和影响范围确认。
2. 需要优先关注的风险信号
- 镜像、脚本或人工装机使用同一 Administrator 密码。
- 离职人员、外包或恶意软件获得一个密码后可管理大量电脑。
3. 迁移或处理前的检查清单
- 确认客户端和域控补丁、域功能要求以及 Windows LAPS 与旧版 LAPS 共存状态。
- 确定管理的本地账号、密码长度、复杂度、轮换周期和认证后重置策略。
- 设计可读取密码、解密密码、重置密码和审计的最小权限组。
- 在试点 OU 检查架构更新、自身写入权限、GPO 应用和事件日志。
只读检查与验证示例
Get-LapsADPassword -Identity PC-001
Invoke-LapsPolicyProcessing
Reset-LapsPassword
Get-WinEvent -LogName Microsoft-Windows-LAPS/Operational -MaxEvents 30corp.example、192.0.2.0/24 与 203.0.113.0/24 均为文档示例。只有在确认实际环境参数后，才能替换为真实值。
4. 推荐实施步骤
- 扩展或更新 AD 架构后，为目标 OU 授予计算机写入密码属性的权限。
- 通过 GPO 配置备份位置、账号、密码策略和轮换。
- 仅向服务台或管理员组授予必要读取权限，并启用查询审计。
- 先试点，再分批覆盖服务器和终端；域控 DSRM 密码单独规划。
远程还是现场处理？日志、配置和少量对象通常可先远程评估；涉及物理服务器、存储、机房供电、批量切换或恢复演练时，应安排受控现场窗口。浙江、上海、江苏可根据项目情况上门，其他地区可远程协助。
5. 验证、回退与常见误区
- 不同电脑生成不同密码，过期后能自动轮换。
- 未授权账号无法读取，授权账号可按工单查询。
- 重置、策略失败和密码备份事件能在日志中追踪。
常见错误做法
- 部署 LAPS 后仍保留共享的第二个管理员账号。
- 把密码读取权限授予过大的组。
- 没有处理离线终端、长期关机设备和恢复场景。
官方资料参考
常见问题
Windows LAPS 是否需要联网？
域内使用可备份到本地 AD，不需要终端访问互联网。
能否管理自定义本地管理员账号？
可以，但需按支持方式配置账号并验证账户存在和策略应用。