Sécurité AD

LAPS — Gestion des mots de passe locaux

Déployer LAPS pour que chaque poste ait un mot de passe administrateur local unique, stocké dans Active Directory.

← Retour aux tutoriels Windows
🔒 Pourquoi LAPS ? Sans LAPS, le même mot de passe local est souvent réutilisé partout. En cas de compromission d'un poste, l'attaquant peut se déplacer latéralement.

Installer les composants LAPS

  1. Sur un serveur d'administration, installez Windows LAPS (natif sur Windows récents).
  2. Vérifiez la présence des cmdlets PowerShell LAPS.
Get-Command *Laps*

Étendre et préparer Active Directory

Initialisez les attributs LAPS dans AD :

Update-LapsADSchema

Puis autorisez les ordinateurs à écrire leur mot de passe :

Set-LapsADComputerSelfPermission -Identity "OU=Postes,DC=labo,DC=local"

Créer la GPO LAPS

  1. Créez une GPO dédiée sur l'OU des postes.
  2. Activez la gestion du compte local admin.
  3. Définissez la longueur, complexité et durée de rotation.

Déléguer les droits de lecture

Donnez l'accès uniquement aux équipes support autorisées :

Set-LapsADReadPasswordPermission -Identity "OU=Postes,DC=labo,DC=local" -AllowedPrincipals "LABO\\Helpdesk-LAPS"
Set-LapsADResetPasswordPermission -Identity "OU=Postes,DC=labo,DC=local" -AllowedPrincipals "LABO\\Admins-Infra"

Récupérer et tester un mot de passe

Sur un poste géré, forcez la GPO puis testez :

gpupdate /force
Get-LapsADPassword -Identity "PC-001"
✔ Bon réflexe Contrôlez régulièrement qui a le droit de lire les mots de passe LAPS.