Windows LAPS : réussir la migration depuis l'ancien LAPS et sécuriser l'accès aux mots de passe

De Microsoft LAPS à Windows LAPS

L'ancien Microsoft LAPS reposait sur une extension côté client installée via un MSI et sur l'attribut ms-Mcs-AdmPwd, stocké en clair (protégé uniquement par les ACL). Windows LAPS est intégré à Windows 10, Windows 11 et Windows Server 2019 et 2022 depuis les mises à jour d'avril 2023, et nativement à Windows Server 2025. Il utilise de nouveaux attributs (msLAPS-Password, msLAPS-EncryptedPassword…) et se pilote par GPO ou par Intune. Microsoft considère l'ancien LAPS comme obsolète ; un mode d'émulation permet une transition progressive, mais l'objectif doit rester une migration complète.

Active Directory ou Entra ID ?

Chaque appareil sauvegarde son mot de passe dans un seul annuaire. Les machines jointes à un domaine l'enregistrent dans Active Directory. Les appareils joints à Entra ID, ou joints en mode hybride, peuvent l'enregistrer dans Entra ID, à condition d'activer la fonctionnalité dans les paramètres des appareils. La lecture passe alors par le portail ou Microsoft Graph, avec des permissions dédiées. Pour un parc hybride, choisissez un annuaire de référence par population d'appareils et documentez-le.

Chiffrement et droits de lecture

Dans AD, Windows LAPS peut chiffrer le mot de passe, à condition que le niveau fonctionnel du domaine soit au minimum Windows Server 2016. Le paramètre ADPasswordEncryptionPrincipal désigne le groupe autorisé à déchiffrer (par défaut, les Admins du domaine). Le chiffrement active aussi l'historique des mots de passe. Surtout, il ajoute une deuxième barrière : un compte qui dispose du droit de lecture sur l'attribut mais n'est pas dans le groupe autorisé ne peut pas exploiter la valeur.

Update-LapsADSchema
Set-LapsADComputerSelfPermission -Identity "OU=Postes,DC=contoso,DC=local"
Set-LapsADReadPasswordPermission -Identity "OU=Postes,DC=contoso,DC=local" -AllowedPrincipals "CONTOSO\LAPS-Lecteurs-Postes"
Find-LapsADExtendedRights -Identity "OU=Postes,DC=contoso,DC=local"

La dernière commande est essentielle en audit : elle révèle les comptes et groupes disposant de droits étendus sur l'OU, souvent hérités d'anciennes délégations.

Sauvegarde du compte DSRM des contrôleurs de domaine

Nouveauté majeure, Windows LAPS peut gérer le mot de passe DSRM (mode de restauration des services d'annuaire) des contrôleurs de domaine. Ce mot de passe, souvent défini à la promotion et jamais changé, donne un accès local puissant au DC. La sauvegarde DSRM exige que le chiffrement soit activé. C'est une mesure à fort rendement pour un effort limité.

Actions post-authentification

Après l'utilisation du mot de passe géré, Windows LAPS peut, à l'issue d'un délai de grâce configurable, réinitialiser le mot de passe, puis éventuellement fermer la session ou redémarrer la machine. Ainsi, un mot de passe consulté par un technicien ne reste pas valable indéfiniment.

Ce qu'un audit vérifie

• la proportion de machines couvertes par une stratégie LAPS active et récente ;
• la coexistence éventuelle avec l'ancien LAPS et les attributs ms-Mcs-AdmPwd résiduels ;
• les titulaires de droits étendus sur les OU contenant des ordinateurs ;
• l'activation du chiffrement et la sauvegarde DSRM sur les contrôleurs de domaine.