Windows LAPS 是一项原生 Windows 功能，用于自动管理并备份加入 Microsoft Entra 或 Active Directory 的设备上本地管理员及 DSRM 账户密码，支持 Windows 10/11、Server 2019/2022/2025 等平台，自 2023 年 4 月更新起内置，无需单独安装 MSI 客户端。
windows laps 已深度集成进现代 windows 系统，不再需要单独下载安装包或部署旧版 msi 客户端。只要域环境满足基础条件，就能通过原生功能快速启用本地管理员密码的自动化管理。
确认环境兼容性
部署前必须验证三项关键前提：
- 域功能级别 ≥ Windows Server 2016（推荐使用 2019 或更高）
- 所有域控制器已安装 2023 年 4 月或之后的安全更新（LAPS 原生支持从此版本起内置）
- 客户端为 Windows 10 20H2+、Windows 11（23H2 起默认启用）、Windows Server 2019/2022+
旧版 LAPS（MSI 包）在 Win11 23H2 及更新系统上已被系统阻止安装，务必转向原生方案。
扩展 Active Directory 架构
这是一次性操作，在架构主机（Schema Master）上以管理员身份运行 PowerShell：
-
导入模块并执行扩展：
Import-Module LAPS; Update-LapsADSchema -Verbose -
验证新增属性：使用 ADSI Edit 连接到 Schema 命名上下文，确认存在
msLAPS-Password和msLAPS-PasswordExpirationTime两个属性（注意不是旧版的ms-Mcs-AdmPwd） -
检查 rangeUpper：确保
msLAPS-Password的rangeUpper值为 256，以支持 AES-256 加密后的密码存储
配置权限委派
安全的核心在于“谁能看到密码”，需按最小权限原则精细控制：
-
赋予计算机自助更新权：让 OU 内设备能自行写入新密码，例如：
Set-LapsADComputerSelfPermission -Identity "OU=Workstations,DC=contoso,DC=com" -
授予管理员读取权：仅允许指定组（如 Helpdesk）读取密码，避免全员可见：
$group = Get-ADGroup "Helpdesk"; Set-LapsADReadPasswordPermission -Identity $group.DistinguishedName -AllowedPrincipals $group -
验证权限生效：用
(Get-Acl "AD:\CN=PC01,OU=Workstations,DC=contoso,DC=com").Access检查 ACL 列表中是否包含目标组
应用组策略启用自动轮换
创建并链接 GPO 到目标 OU，配置以下关键策略（路径：计算机配置 → 管理模板 → LAPS）：
- 启用 LAPS 功能：开启“启用本地管理员密码解决方案”
-
设定密码策略：
- 密码长度：建议设为 16（默认 14），含大小写字母、数字、符号
- 轮换周期：生产环境推荐 7–14 天（默认 30 天）
- 历史记录：启用“保留最近 3 个密码”，防止重复使用
-
指定目标账户：填入要管理的本地管理员账户名（如
Administrator或自定义账户），该账户需已在客户端预先存在（可禁用但不能删除）
策略下发后，客户端将在一小时内触发首次密码生成，并按周期自动更新。
