LAPS

Local Administrator Password Solution définit automatiquement un mot de passe aléatoire et unique pour le compte administrateur local intégré de chaque ordinateur joint au domaine, le renouvelle selon une périodicité définie et le stocke dans un attribut protégé de l'objet ordinateur dans Active Directory (ou dans Microsoft Entra ID). Windows LAPS, intégré à Windows depuis les mises à jour d'avril 2023, remplace l'ancien « legacy LAPS » autonome et ajoute le chiffrement et l'historique des mots de passe, la gestion du mot de passe DSRM des contrôleurs de domaine et le renouvellement automatique après utilisation.

C'est important, car un mot de passe d'administrateur local partagé est l'un des moyens les plus rapides de se déplacer latéralement : on compromet un poste de travail, puis on réutilise le même hash partout par pass-the-hash. LAPS casse cette réutilisation. La sécurité de LAPS dépend alors de qui peut lire l'attribut du mot de passe : auditez donc les permissions « All extended rights » et de lecture sur les UO d'ordinateurs, activez le chiffrement pour que seul un groupe autorisé puisse déchiffrer le mot de passe, et journalisez les consultations de mots de passe pour repérer les accès inhabituels.

Voir Déployer Windows LAPS.