Windows LAPS – hasła lokalnych administratorów w firmie

Dlaczego wspólne hasło administratora to poważne ryzyko

Lokalne konto administratora jest potrzebne – serwisant korzysta z niego, gdy komputer traci połączenie z domeną, a dział IT przy instalacji sterowników czy diagnozie. Problem zaczyna się wtedy, gdy na każdym komputerze w firmie hasło jest identyczne. Tak bywa, gdy stacje są przygotowywane z jednego obrazu systemu albo gdy hasło ustawiono kiedyś przez skrypt lub stare Preferencje zasad grupy.

Skutki są przewidywalne:

• Ruch boczny (lateral movement) – atakujący, który przejmie jeden laptop, np. przez phishing, wyciąga skrót hasła administratora i loguje się nim na kolejne maszyny techniką pass-the-hash.
• Brak rozliczalności – hasło zna każdy, kto kiedykolwiek pracował w IT, w tym byli pracownicy i zewnętrzni serwisanci.
• Hasło nigdy nie wygasa – nikt nie chce go zmieniać, bo wymagałoby to obejścia wszystkich komputerów.

Właśnie ten scenariusz widzimy najczęściej podczas przeglądów bezpieczeństwa w małych firmach. Wspólne hasło lokalnego administratora to też jeden z pierwszych punktów, które warto zamknąć podczas hardeningu stacji roboczych Windows.

Czym jest Windows LAPS i czym różni się od starego LAPS

Windows LAPS (Local Administrator Password Solution) to mechanizm wbudowany w system Windows, który dla każdego komputera generuje unikalne, losowe hasło lokalnego administratora, regularnie je zmienia i zapisuje w bezpiecznym miejscu – w Active Directory albo w Microsoft Entra ID. Uprawnieni administratorzy mogą odczytać hasło konkretnej maszyny wtedy, gdy jest potrzebne.

Warto odróżnić dwie wersje:

• Legacy Microsoft LAPS – osobny instalator MSI z rozszerzeniem po stronie klienta. Jest wycofywany, a w Windows 11 24H2 i Windows Server 2025 jego działanie jest blokowane, jeśli na komputerze jest już Windows LAPS.
• Windows LAPS – natywna funkcja dostępna od aktualizacji z kwietnia 2023 r. w Windows 10, Windows 11 oraz Windows Server 2019, 2022 i 2025. Nie wymaga instalowania agenta, obsługuje Entra ID, szyfrowanie haseł w AD, historię haseł oraz kopię hasła DSRM na kontrolerach domeny.

Jeśli w firmie nadal działa stary LAPS, zaplanuj migrację – obie wersje nie powinny zarządzać tym samym kontem jednocześnie.

Wdrożenie Windows LAPS z Active Directory krok po kroku

Scenariusz dla firm z lokalnym kontrolerem domeny. Polecenia PowerShell uruchamiasz na kontrolerze domeny lub stacji z narzędziami RSAT, z konta z uprawnieniami Schema Admins i Domain Admins.

1. Rozszerz schemat AD poleceniem Update-LapsADSchema. Dodaje to atrybuty, w których przechowywane są hasła i daty ich wygaśnięcia.
2. Nadaj komputerom prawo do zapisu własnego hasła: Set-LapsADComputerSelfPermission -Identity 'OU=Komputery,DC=firma,DC=local' – dla każdej jednostki organizacyjnej z komputerami.
3. Ogranicz, kto może odczytać hasła – domyślnie tylko Domain Admins. Jeśli helpdesk ma mieć dostęp, użyj Set-LapsADReadPasswordPermission dla dedykowanej grupy, a nie dla wszystkich administratorów.
4. Utwórz obiekt GPO w ścieżce Konfiguracja komputera › Szablony administracyjne › System › LAPS. Ustaw: katalog kopii zapasowej na Active Directory, złożoność hasła (wielkie i małe litery, cyfry, znaki specjalne), długość co najmniej 15–20 znaków oraz wiek hasła, np. 30 dni.
5. Włącz szyfrowanie haseł (wymaga poziomu funkcjonalnego domeny 2016) i wskaż grupę uprawnioną do ich odszyfrowania.
6. Skonfiguruj akcje po użyciu hasła – opcja Post-authentication actions pozwala po upływie okresu karencji (np. 8 godzin) automatycznie zresetować hasło i wylogować sesję. Hasło użyte przez serwisanta przestaje być ważne.
7. Przetestuj na jednej OU, a następnie odczytaj hasło: Get-LapsADPassword -Identity PC-KSIEGOWOSC01 -AsPlainText lub w zakładce LAPS we właściwościach komputera w konsoli Użytkownicy i komputery usługi Active Directory.

Zanim rozszerzysz politykę na całą domenę, sprawdź, kto faktycznie ma uprawnienia do odczytu atrybutów LAPS – pomoże w tym audyt uprawnień w Active Directory. Jeśli schemat, GPO i delegacje uprawnień wolisz zlecić, zrobimy to w ramach wdrożeń serwerów i usług katalogowych.

Windows LAPS z Microsoft Entra ID i Intune

Firmy pracujące w chmurze, bez lokalnej domeny, mogą przechowywać hasła w Entra ID. Konfiguracja jest prostsza, bo nie wymaga rozszerzania schematu:

1. W centrum administracyjnym Microsoft Entra przejdź do Urządzenia › Ustawienia urządzenia i włącz opcję Enable Microsoft Entra Local Administrator Password Solution (LAPS).
2. W Intune otwórz Zabezpieczenia punktu końcowego › Ochrona konta i utwórz zasadę Local admin password solution (Windows LAPS). Jako katalog kopii zapasowej wybierz Microsoft Entra ID.
3. Ustaw parametry hasła: długość, złożoność, okres ważności (w Entra minimum to 7 dni) oraz akcje po uwierzytelnieniu.
4. Przypisz zasadę do grupy testowej urządzeń, a po weryfikacji – do wszystkich komputerów firmowych.
5. Hasło odczytasz w portalu Intune lub Entra na karcie urządzenia, w sekcji Local admin password. Każdy odczyt jest rejestrowany w dziennikach inspekcji.

W Windows 11 24H2 i Windows Server 2025 LAPS potrafi też sam utworzyć i zarządzać kontem administratora (automatic account management), generować hasła w formie łatwiejszych do przepisania fraz oraz wykrywać przywrócenie maszyny wirtualnej z migawki i wymusić nowe hasło.

Dobre praktyki i najczęstsze błędy

• Wyłącz wbudowane konto Administrator albo zarządzaj nim przez LAPS – nie zostawiaj kont lokalnych z ręcznie ustawionymi hasłami obok konta objętego LAPS.
• Nie dawaj dostępu do haseł wszystkim – odczyt powinna mieć wąska grupa, najlepiej z kontami administracyjnymi oddzielonymi od kont codziennych.
• Monitoruj odczyty haseł – zdarzenia w dzienniku Microsoft-Windows-LAPS/Operational oraz logi inspekcji Entra pokażą, kto i kiedy pobrał hasło.
• Pamiętaj o laptopach poza biurem – przy kopii w AD komputer musi mieć łączność z kontrolerem domeny (np. przez VPN), aby zaktualizować hasło. Przy dużej liczbie pracowników zdalnych Entra ID jest wygodniejsze.
• Usuń stare skrypty i Preferencje GPO, które ustawiały wspólne hasło – inaczej mogą nadpisywać hasło zarządzane przez LAPS.
• Nie mieszaj LAPS z kontami usług – LAPS dotyczy lokalnych administratorów; konta, na których działają aplikacje, wymagają osobnego podejścia, opisanego w artykule o bezpiecznym zarządzaniu kontami serwisowymi.

Po wdrożeniu warto co kwartał sprawdzić raport: ile komputerów ma aktualne hasło LAPS, a ile nie zgłosiło się od dłuższego czasu. Takie maszyny to zwykle sprzęt zapomniany w szafie albo wymagający ponownej konfiguracji.