使用组策略对象（GPO）管理Windows LAPS是最主流稳定方式，需满足域功能级别≥2008 R2、DC安装最新更新、客户端系统版本达标、导入AdmPwd.PS模块四前提；配置启用开关、账户名、轮换周期、密码长度与复杂性、AES-256加密，并精确授权计算机自写及IT组读取权限，最后通过gpupdate、Get-AdmPwdPassword和事件日志验证。
直接用组策略对象（gpo）管理 windows laps 是最主流、最稳定的落地方式，尤其适用于纯 active directory 环境。它不依赖 intune 或第三方工具，策略下发清晰，权限控制精细，适合大多数中大型企业。
前提条件必须到位
不是配个 GPO 就能生效，以下四点缺一不可：
- 域功能级别至少为 Windows Server 2008 R2（推荐 2012 R2 或更高）
- 所有域控制器已安装最新累积更新（2023年4月起原生支持 LAPS，旧版需手动扩展 AD 架构）
- 目标计算机运行 Windows 10 22H2 / Windows 11 22H2 及以上，或 Windows Server 2019/2022/2025
- 已在域控制器上导入 AdmPwd.PS PowerShell 模块（用于后续密码检索和权限配置）
GPO 创建与核心策略配置
在“组策略管理控制台”（GPMC）中新建 GPO，并链接到目标 OU（如“Workstations”或“Servers”）。关键设置在：计算机配置 → 管理模板 → 系统 → Local Administrator Password Solution
- 启用本地管理员密码解决方案：设为“已启用”，这是开关项
- 管理员账户名称：填入要管理的本地账户名（如 Administrator），留空则默认管理 RID=500 的内置管理员
- 密码轮换周期（天）：建议设为 30–60 天，值越小安全越高，但会增加 AD 属性写入频率
- 密码长度：最小 14 位（微软推荐），最大 64 位
- 密码复杂性：勾选“要求包含大写字母、小写字母、数字和符号”，禁用简单模式
- 加密密码存储：启用 AES-256 加密（需提前在 AD 中为计算机对象授予 msLAPS-Password 属性的“写入”权限）
权限分配是成败关键
即使策略生效，没权限也查不到密码。必须通过 AdmPwd.PS 或 ADSI Edit 显式授权：
- 运行 Set-AdmPwdComputerSelfPermission -OrgUnit "OU=Workstations,DC=contoso,DC=com"，赋予 OU 内所有计算机对象自我写入密码属性的权限
- 为 IT 支持组（如 “LAPS-Readers”）分配对目标 OU 中计算机对象的 msLAPS-Password 和 msLAPS-PasswordExpirationTime 属性的“读取”权限
- 避免给普通域管理员默认权限——LAPS 的价值正在于权限隔离
验证与日常运维要点
策略部署后不要只看“已应用”，要实测闭环：
- 在成员机执行 gpupdate /force，重启或等待下次刷新周期
- 运行 Get-AdmPwdPassword -ComputerName PC01 检查是否成功生成并可读取密码
- 观察事件查看器 → 应用程序日志中 AdmPwd 源的事件 ID 1、2、3，确认无错误（如 ID 7032 表示权限不足）
- 定期审计：用 Find-AdmPwdExtendedRights 检查哪些用户/组拥有密码读取权，防止权限蔓延
