Déployer Windows LAPS

Vérifier la disponibilité de Windows LAPS

Commencez par confirmer que le module PowerShell LAPS est disponible sur la machine d’administration et que les postes pilotes sont dans un niveau de correctif compatible. Identifiez aussi si l’ancien Microsoft LAPS est encore déployé : ses stratégies utilisent une autre racine et une migration doit être planifiée plutôt que superposée au hasard.

Get-Command -Module LAPS | Sort-Object Name

Get-ComputerInfo | Select-Object WindowsProductName,WindowsVersion,OsBuildNumber

Étendre le schéma Active Directory

L’extension du schéma est une opération unique à l’échelle de la forêt pour le stockage Windows LAPS dans AD DS. Exécutez d’abord WhatIf si vous souhaitez confirmer le contexte, puis lancez la mise à jour avec Verbose depuis un poste ou serveur disposant du module LAPS et des droits nécessaires.

Update-LapsADSchema -WhatIf

Update-LapsADSchema -Verbose

Déléguer l’écriture aux ordinateurs de l’OU pilote

Les objets ordinateur doivent pouvoir écrire leurs propres attributs LAPS. Accordez ce droit uniquement sur l’OU cible. Utilisez le Distinguished Name réel de l’OU afin d’éviter d’appliquer la délégation au mauvais conteneur.

Set-LapsADComputerSelfPermission -Identity "OU=Pilote-LAPS,OU=Postes,DC=contoso,DC=local" -WhatIf

Set-LapsADComputerSelfPermission -Identity "OU=Pilote-LAPS,OU=Postes,DC=contoso,DC=local"

Déléguer lecture et rotation à des groupes dédiés

Créez ou utilisez des groupes dédiés au support. Séparez si possible le droit de lecture du mot de passe et le droit de forcer son expiration. Cela évite d’accorder des droits LAPS à un groupe administratif trop large et simplifie l’audit.

Set-LapsADReadPasswordPermission -Identity "OU=Pilote-LAPS,OU=Postes,DC=contoso,DC=local" -AllowedPrincipals "CONTOSOGG-LAPS-Readers"

Set-LapsADResetPasswordPermission -Identity "OU=Pilote-LAPS,OU=Postes,DC=contoso,DC=local" -AllowedPrincipals "CONTOSOGG-LAPS-Operators"

Créer et lier la GPO LAPS pilote

Dans GPMC, créez une GPO dédiée et liez-la uniquement à l’OU pilote. Configurez Computer Configuration > Policies > Administrative Templates > System > LAPS. Pour un stockage AD DS, choisissez BackupDirectory = Active Directory. Définissez l’âge et la complexité en fonction de votre politique, et activez le chiffrement AD du mot de passe lorsque les prérequis de niveau fonctionnel sont respectés.

Note : Si vous gérez un compte local personnalisé, assurez-vous qu’il existe réellement sur les postes ; LAPS ne crée pas automatiquement un compte personnalisé sauf configuration des fonctions de gestion automatique prises en charge.

Forcer le traitement sur un poste pilote

Sur un poste pilote, actualisez la stratégie puis demandez explicitement à Windows LAPS de traiter la configuration. Contrôlez le journal opérationnel LAPS immédiatement après pour distinguer un problème de GPO, d’ACL AD, de compte local ou de complexité.

gpupdate /force

Invoke-LapsPolicyProcessing

Get-WinEvent -LogName "Microsoft-Windows-LAPS/Operational" -MaxEvents 30 | Select-Object TimeCreated,Id,LevelDisplayName,Message

Tester la récupération et la rotation

Depuis un poste d’administration avec un compte autorisé, récupérez le mot de passe du poste pilote. N’affichez la valeur en clair que dans un contexte sécurisé. Testez ensuite une rotation immédiate depuis le poste ou l’expiration côté AD, puis vérifiez qu’un nouveau secret est sauvegardé.

Get-LapsADPassword -Identity "PC-LAPS-01"

Get-LapsADPassword -Identity "PC-LAPS-01" -AsPlainText

Reset-LapsPassword

Invoke-LapsPolicyProcessing

Étendre progressivement le périmètre

Après plusieurs cycles sans erreur, étendez la GPO par vagues d’OU. Surveillez les événements LAPS, les postes sans sauvegarde récente et les demandes de support. Conservez la délégation au niveau des OU plutôt qu’une permission globale sur tout le domaine.