Dans beaucoup de PME, tous les postes partagent le même mot de passe administrateur local, défini lors de la création du « master » il y a des années. Pour un attaquant, c’est une aubaine : un seul poste compromis, et ce mot de passe lui ouvre tous les autres. Windows LAPS (Local Administrator Password Solution) règle ce problème gratuitement : chaque machine reçoit un mot de passe unique, aléatoire, changé automatiquement et sauvegardé dans Active Directory ou Microsoft Entra ID. Voici comment le déployer pas à pas.
L’essentiel en 30 secondes
- Windows LAPS est intégré à Windows 10, 11 et Windows Server 2019 à 2025 à jour : rien à installer sur les postes.
- Chaque machine reçoit un mot de passe administrateur local unique, renouvelé automatiquement.
- Le mot de passe est stocké, chiffré, dans Active Directory ou dans Microsoft Entra ID.
- Le déploiement se fait par stratégie de groupe ou Intune en moins d’une heure pour un petit parc.
- C’est l’une des mesures les plus efficaces contre la propagation latérale d’un rançongiciel.
Pourquoi c’est indispensable
Les attaquants qui prennent le contrôle d’un poste récupèrent les empreintes des mots de passe stockées localement. Si le compte administrateur local a le même mot de passe partout, cette empreinte suffit pour se connecter aux autres postes et serveurs (technique dite « pass-the-hash »), jusqu’à atteindre un serveur où un administrateur du domaine s’est connecté. Avec LAPS, l’empreinte volée ne fonctionne que sur la machine d’origine. Nous détaillons ces chemins d’attaque dans Active Directory sous attaque.
Windows LAPS ou l’ancien LAPS ?
L’ancien « Microsoft LAPS », qui nécessitait l’installation d’un composant MSI et d’une extension de schéma spécifique, est obsolète. Windows LAPS, intégré nativement depuis la mise à jour d’avril 2023, apporte le chiffrement du mot de passe dans Active Directory, l’historique des mots de passe, la sauvegarde dans Entra ID, la gestion du compte de restauration des services d’annuaire (DSRM) des contrôleurs de domaine et, sur Windows 11 24H2 et Windows Server 2025, la gestion automatique du compte et les phrases de passe. Si l’ancien LAPS est encore en place, prévoyez une migration : les deux peuvent cohabiter le temps de la transition, à condition de ne pas gérer le même compte.
Prérequis
| Élément | Exigence |
|---|---|
| Postes et serveurs | Windows 10/11, Windows Server 2019, 2022 ou 2025 avec les mises à jour cumulatives récentes |
| Active Directory | Extension de schéma Windows LAPS ; niveau fonctionnel 2016 pour le chiffrement du mot de passe |
| Entra ID (option) | Appareils joints à Entra ID ou hybrides, LAPS activé dans les paramètres des appareils |
| Droits | Administrateur du schéma (une fois), administrateur du domaine pour les permissions |
Déploiement avec Active Directory
Étape 1 : étendre le schéma
Depuis un contrôleur de domaine à jour, dans une console PowerShell lancée en administrateur du schéma :
Import-Module LAPS
Update-LapsADSchemaÉtape 2 : autoriser les ordinateurs à mettre à jour leur mot de passe
Chaque ordinateur doit pouvoir écrire son propre mot de passe dans son objet. Appliquez la permission sur l’unité d’organisation qui contient les postes :
Set-LapsADComputerSelfPermission -Identity "OU=Postes,DC=entreprise,DC=local"Étape 3 : définir qui peut lire les mots de passe
Par défaut, seuls les administrateurs du domaine peuvent les lire. Déléguez la lecture à un groupe dédié au support plutôt que d’élargir les droits d’administration :
Set-LapsADReadPasswordPermission -Identity "OU=Postes,DC=entreprise,DC=local" -AllowedPrincipals "ENTREPRISE\Support-LAPS"Étape 4 : créer la stratégie de groupe
Dans la console de gestion des stratégies de groupe, créez une GPO liée à l’unité d’organisation des postes, puis ouvrez Configuration ordinateur > Modèles d’administration > Système > LAPS :
- Configurer le répertoire de sauvegarde des mots de passe : Active Directory.
- Paramètres du mot de passe : complexité maximale, 15 caractères minimum, durée de vie de 30 jours.
- Activer le chiffrement des mots de passe : activé, avec le groupe autorisé à déchiffrer.
- Nom du compte administrateur à gérer : à renseigner si vous utilisez un compte autre que l’administrateur intégré.
- Actions post-authentification : réinitialiser le mot de passe et déconnecter la session quelques heures après une utilisation du compte.
Étape 5 : appliquer et vérifier
Sur un poste pilote, forcez l’application puis vérifiez le résultat :
gpupdate /force
Invoke-LapsPolicyProcessing
Get-LapsADPassword -Identity PC-COMPTA01 -AsPlainTextLe journal Applications et services > Microsoft > Windows > LAPS > Operational indique les succès (événement 10020 notamment) et les erreurs de mise à jour.
Déploiement avec Microsoft Entra ID et Intune
Pour des postes joints à Entra ID, activez LAPS dans Entra ID > Appareils > Paramètres des appareils, puis créez une stratégie Sécurité des points de terminaison > Protection de compte > LAPS dans Intune, avec Entra ID comme répertoire de sauvegarde. Le mot de passe est ensuite consultable depuis la fiche de l’appareil, et chaque consultation est journalisée.
Les bonnes pratiques
- Désactivez les autres comptes administrateurs locaux créés au fil du temps : LAPS ne protège que le compte qu’il gère.
- Limitez les lecteurs du mot de passe à un groupe restreint, et surveillez les consultations.
- Utilisez les actions post-authentification : un mot de passe utilisé est un mot de passe à changer.
- Ne donnez jamais le mot de passe LAPS à un utilisateur pour qu’il installe un logiciel : préférez une élévation encadrée.
- Combinez avec la revue des comptes à privilèges : voir détecter les comptes à privilèges excessifs.
Questions fréquentes
Windows LAPS est-il gratuit ?
Oui. Il est inclus dans Windows et ne nécessite aucune licence supplémentaire pour la sauvegarde dans Active Directory. La gestion via Intune suppose en revanche une licence Intune.
Que se passe-t-il si un poste n’a plus de contact avec le domaine ?
Le mot de passe en vigueur reste valable jusqu’au prochain contact. Le poste ne change pas son mot de passe tant qu’il ne peut pas sauvegarder le nouveau, ce qui évite de perdre l’accès.
Peut-on gérer les serveurs avec LAPS ?
Oui, ainsi que les comptes DSRM des contrôleurs de domaine, ce qui supprime un autre mot de passe souvent identique et jamais changé.
Combien de temps prend le déploiement ?
Pour un parc de quelques dizaines de postes, une demi-journée suffit, test pilote compris.
Sources
- Microsoft Learn, vue d’ensemble de Windows LAPS.
- Microsoft Learn, scénario Windows LAPS avec Active Directory.
- ANSSI, recommandations pour l’administration sécurisée des systèmes d’information.
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Nous déployons Windows LAPS et sécurisons Active Directory dans le cadre de notre infogérance. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
