Windows LAPS 如何消除所有電腦共用同一本機管理員密碼的安全風險？
Windows LAPS 可為每台域電腦自動生成、保存和輪換不同的本機管理員密碼，並透過權限控制授權查詢。
先控制風險，再實施變更建議先在測試環境或單一對象上驗證，保存設定、日誌和可復原備份。涉及生產切換、批次策略、資料庫修復或儲存重建時，應設定維護時段和明確復原條件。
1. 結論與適用範圍
所有終端共用同一個本機管理員密碼，會讓單台電腦洩露迅速擴大為橫向流動風險。Windows LAPS 將密碼按設備獨立管理，支援自動輪換、AD 中加密保存、密碼歷史和授權審計。
該問題涉及 Active Directory、DNS、群組原則、身份驗證和網網域控制站制站健康。應在變更前完成複寫、備份和影響範圍確認。
2. 需要優先關注的風險信號
- 鏡像、腳本或人工裝機使用同一 Administrator 密碼。
- 離職人員、外包或惡意軟件獲得一個密碼後可管理大量電腦。
3. 遷移或處理前的檢查清單
- 確認用戶端和網網域控制站制站修補程式、域功能要求以及 Windows LAPS 與舊版 LAPS 共存狀態。
- 確定管理的本機帳戶、密碼長度、複雜度、輪換週期和驗證後重置策略。
- 設計可讀取密碼、解密密碼、重置密碼和審計的最小權限組。
- 在試點 OU 檢查架構更新、自身寫入權限、GPO 應用程式和事件日誌。
唯讀檢查與驗證範例
Get-LapsADPassword -Identity PC-001
Invoke-LapsPolicyProcessing
Reset-LapsPassword
Get-WinEvent -LogName Microsoft-Windows-LAPS/Operational -MaxEvents 30corp.example、192.0.2.0/24 與 203.0.113.0/24 均為檔案範例。只有在確認實際環境參數後，才能取代為實際值。
4. 推薦實施步驟
- 擴展或更新 AD 架構後，為目標 OU 授予計算機寫入密碼屬性的權限。
- 透過 GPO 設定備份位置、帳戶、密碼策略和輪換。
- 僅向服務台或管理員組授予必要讀取權限，並啓用查詢審計。
- 先試點，再分批覆蓋伺服器和終端；網網域控制站制站 DSRM 密碼單獨規劃。
遙距還是現場處理？日誌、設定和少量對象通常可先遙距評估；涉及物理伺服器、儲存、機房供電、批次切換或復原演練時，應安排受控現場維護時段。浙江、上海、江蘇可根據項目情況上門，其他地區可遙距協助。
5. 驗證、復原與常見誤區
- 不同電腦生成不同密碼，過期後能自動輪換。
- 未授權帳戶無法讀取，授權帳戶可按工單查詢。
- 重置、策略失敗和密碼備份事件能在日誌中追蹤。
常見錯誤做法
- 部署 LAPS 後仍保留共用的第二個管理員帳戶。
- 把密碼讀取權限授予過大的組。
- 沒有處理離線終端、長期關機設備和復原場景。
官方資料參考
常見問題
Windows LAPS 是否需要聯網？
域內使用可備份到本機 AD，不需要終端存取互聯網。
能否管理自定義本機管理員帳戶？
可以，但需按支援方式設定帳戶並驗證賬戶存在和策略應用程式。