Локальный администратор Windows: LAPS или запрет

Закройте локального администратора Windows так, чтобы пароль образа не стоял на всех станциях. Два рабочих варианта: Windows LAPS (Local Administrator Password Solution) крутит уникальный пароль и кладёт его в Active Directory или Microsoft Entra ID — либо встроенную учётку отключаете, если локальный вход с правами администратора не нужен. Пункт «включите LAPS» в hardening не заменяет покрытие и список, кто пароль читает: hardening Windows. Разовая выборка компьютеров без атрибута — в аудите домена, здесь — решение и ежемесячная проверка: аудит Active Directory.

Статья опирается на логику направления «Управление доступом» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. Обзор Windows LAPS: learn.microsoft.com. CIS Control 5 требует уникальных паролей на активах, в том числе локальных администраторов: cisecurity.org/controls. Это не российский закон. Перед применением команд проверьте на тестовой машине и оформите карточку изменения.

LAPS или запрет

Ситуация	Что выбрать
Станции и серверы в домене, помощь на месте иногда нужна	Встроенный Windows LAPS, пароль в AD. Пакет legacy Microsoft LAPS на новых ОС не ставьте: он снят с поддержки
Устройство только в Entra ID	Тот же Windows LAPS, выгрузка в Entra, не в AD одновременно
Рабочая группа, нет каталога	LAPS в AD некуда писать. Отключите локального администратора для людей; если учётка нужна — уникальный секрет в хранилище, не в образе
Пользователю локальный админ не нужен	Запрет сильнее LAPS: нет пароля — нечего украсть. LAPS оставьте на серверах и на парке, где helpdesk заходит локально

Повседневная почта администратора — под обычной учёткой, не под локальным Administrator: привилегированный доступ. Длина и классы паролей — парольная политика.

Включить в домене

Пошагово по документации Microsoft: обзор сценария AD — get started with Windows LAPS and AD. Схема — один раз на лес. Риск: откатить расширение схемы «назад» простой командой нельзя; запускайте в своём лесу, с правами на схему, не на чужом контроллере.

Update-LapsADSchema
Set-LapsADComputerSelfPermission -Identity "OU=Workstations,DC=example,DC=com"

Ожидаемый вывод второй команды — имя OU и distinguishedName. Подставьте свой OU, не пример. Политика: BackupDirectory = 2 (писать в AD). Имя встроенного администратора по RID, не по строке «Administrator» в другой локали. Шифрование пароля в AD требует функциональный уровень домена 2016 или выше; иначе пароль в каталоге будет в открытом виде за ACL — это хуже, заложите апгрейд в план.

Кто читает пароль — отдельная группа helpdesk, не «все админы домена по привычке»:

Set-LapsADReadPasswordPermission -Identity "OU=Workstations,DC=example,DC=com" -AllowedPrincipals @("EXAMPLE\LapsReaders")
Find-LapsADExtendedRights -Identity "OU=Workstations,DC=example,DC=com"

В ExtendedRightHolders должны быть SYSTEM, администраторы домена и ваша узкая группа. Лишние опекуны OU с расширенным правом читают конфиденциальные атрибуты LAPS — уберите. Пароль конкретной машины запрашивайте только на заявку и не вставляйте в чат; после работ смените срок, чтобы узел ротировал секрет. Как запросить значение — в той же странице Microsoft, здесь его не печатаем.

Покрытие раз в месяц

Get-ADComputer -Filter * -Properties msLAPS-PasswordExpirationTime, ms-Mcs-AdmPwdExpirationTime |
  Where-Object { -not $_.'msLAPS-PasswordExpirationTime' -and -not $_.'ms-Mcs-AdmPwdExpirationTime' } |
  Select-Object Name

Список — кандидаты без Windows LAPS и без legacy-атрибута. Исключите контроллеры и объекты, где локальный администратор сознательно запрещён. На выборке станций:

Get-LocalGroupMember -Group "Administrators"

Ожидаемо: нет повседневных пользователей, нет общей учётки образа. Windows 10 без расширенных обновлений уже вне поддержки Microsoft (октябрь 2025); новый парк — Windows 11 или поддерживаемый Server, иначе LAPS как встроенная функция на них не целевая.

Диагностика

Симптом	Причина и что делать
Политика есть, список без срока полный	Нет self-permission на OU или BackupDirectory не 2. Проверьте OU и событие 10018 на узле
Helpdesk не может прочитать пароль	Нет LapsReaders или нет права расшифровки. Не выдавайте Domain Admins «чтобы заработало»
На новых Windows не ставится MSI LAPS	Так и задумано. Переходите на встроенный Windows LAPS
Рабочая группа в том же отчёте, что домен	Им нужен запрет или хранилище, не атрибут AD

Где это в модели зрелости

Материал относится к направлению «Управление доступом» (хаб: доступ, карта: карта зрелости). Hardening называет меру. Без покрытия и списка читателей пароля мера бумажная. Это не jump-хост и не матрица «роль — право» прикладной системы.

Как проверить

Есть решение письменно: LAPS / запрет / исключение с датой, по типам устройств.
Ежемесячный отчёт: узлы без срока пароля, минус исключения.
Find-LapsADExtendedRights по рабочему OU без лишних опекунов.
Пароли LAPS не лежат в почте и в общем чате.
Статья hardening и этот процесс — разные документы: там «включить», здесь покрытие.