Wat is Windows LAPS?

Windows Local Administrator Password Solution (Windows LAPS) is een Windows-functie die automatisch het wachtwoord van een lokaal beheerdersaccount op uw apparaten die lid zijn van Microsoft Entra of Windows Server Active Directory beheert en er een back-up van maakt. Je kunt ook Windows LAPS gebruiken om het wachtwoord van het Directory Services Restore Mode (DSRM)-account op je Windows Server Active Directory domeincontrollers te beheren en te back-uppen.

Lokale beheerdersaccounts delen vaak hetzelfde wachtwoord op veel apparaten, die kwaadwillenden kunnen misbruiken om lateraal door je omgeving te bewegen. Windows LAPS helpt je die kloof te dichten door regelmatig het lokale beheerderswachtwoord van elk apparaat te roteren, het veilig op te slaan en bevoegde beheerders het te laten ophalen om in te loggen op of een apparaat te herstellen.

Dit artikel introduceert de platforms die Windows LAPS ondersteunt, de belangrijkste scenario's en voordelen, en hoe het verschilt van het oude Microsoft LAPS-product, zodat je kunt beslissen hoe je Windows LAPS in je omgeving gebruikt.

Ondersteunde Windows LAPS-platforms

Windows LAPS is beschikbaar op de volgende besturingssysteemplatforms:

Windowsclient

Ondersteuning voor Windows 10 is beëindigd op 14 oktober 2025. Windows LAPS blijft alleen beschikbaar op Windows 10-apparaten die updates blijven ontvangen, bijvoorbeeld via het Extended Security Updates (ESU)-programma. Voor ondersteunde Windows 10-service en levenscyclusdata, zie de Windows levenscyclus-FAQ. Voor nieuwe implementaties gebruik je Windows 11 of een ondersteunde versie van Windows Server.

De instellingen voor automatisch accountbeheer in de Windows LAPS-Configuration Service Provider (CSP) vereisen Windows 11, versie 24H2 of hoger, of Windows Server 2025 of hoger.

Windows Server

Windows LAPS is beschikbaar in alle ondersteunde edities van deze platforms, met inbegrip van de edities van het langetermijnonderhoudskanaal (LTSC). Het introduceren van de Windows LAPS-functie verandert de standaard Microsoft-productlevenscyclusbeleid niet.

Windows LAPS en Microsoft Entra ID

Windows LAPS met Microsoft Entra ID en Microsoft Intune-ondersteuning is algemeen beschikbaar vanaf 23 oktober 2023. Zie Windows Local Administrator Password Solution met Microsoft Entra ID nu algemeen beschikbaar! en Windows Local Administrator Password Solution in Microsoft Entra ID voor meer informatie.

Voordelen van het gebruik van Windows LAPS

Gebruik Windows LAPS om wachtwoorden voor lokale beheerdersaccounts regelmatig te roteren en te beheren en deze voordelen te krijgen:

  • Bescherming tegen pass-the-hash- en laterale traverseringsaanvallen
  • Verbeterde beveiliging voor externe helpdeskscenario's
  • De mogelijkheid om u aan te melden en apparaten te herstellen die anders niet toegankelijk zijn
  • Een fijnmazig beveiligingsmodel (toegangscontrolelijsten en optionele wachtwoordencryptie) voor het beveiligen van wachtwoorden die in Windows Server Active Directory zijn opgeslagen
  • Ondersteuning voor het Microsoft Entra rolgebaseerde toegangscontrolemodel voor het beveiligen van wachtwoorden die zijn opgeslagen in Microsoft Entra ID

Windows LAPS informatieve video's

De volgende video's geven je meer informatie over de Windows LAPS-functie. Omdat deze video's geen tekstinhoud bevatten, gebruik je de omliggende artikelen voor de gezaghebbende Windows LAPS-richtlijnen.

Windows Technische Startpresentatie (november 2022)

Windows Tackle Tech-discussie (augustus 2023):

Belangrijke Windows LAPS-scenario's

U kunt Windows LAPS gebruiken voor verschillende primaire scenario's:

  • Een back-up maken van wachtwoorden voor lokale beheerdersaccounts naar Microsoft Entra-id (voor apparaten die lid zijn van Microsoft Entra)

  • Back-ups maken van lokale beheerdersaccountwachtwoorden naar Windows Server Active Directory (voor windows Server Active Directory-gekoppelde clients en servers)

  • Een back-up maken van DSRM-accountwachtwoorden naar Windows Server Active Directory (voor Windows Server Active Directory-domeincontrollers)

  • Maak een back-up van de wachtwoorden van lokale beheerdersaccounts naar Windows Server Active Directory door legacy Microsoft LAPS-emulatiemodus te gebruiken, waarbij native Windows LAPS je bestaande legacy- Microsoft LAPS-groepsbeleidinstellingen respecteert tijdens migratie

In elk scenario kunt u verschillende beleidsinstellingen toepassen.

Begrijp beperkingen voor apparaatkoppelingsstatus

Of een apparaat lid is van Microsoft Entra ID of Windows Server Active Directory bepaalt hoe u Windows LAPS kunt gebruiken.

  • Apparaten die alleen lid zijn van Microsoft Entra-id kunnen alleen back-ups maken van wachtwoorden naar Microsoft Entra-id.
  • Apparaten die alleen lid zijn van Windows Server Active Directory kunnen alleen back-ups maken van wachtwoorden naar Windows Server Active Directory.
  • Apparaten die hybride-verbonden zijn (gekoppeld aan zowel Microsoft Entra ID als Windows Server Active Directory) kunnen hun wachtwoorden opslaan in een back-up in Microsoft Entra ID of Windows Server Active Directory.

U kunt geen back-ups maken van wachtwoorden naar zowel Microsoft Entra ID als Windows Server Active Directory.

Windows LAPS biedt geen ondersteuning voor clients die lid zijn van Microsoft Entra op de werkplek.

Windows LAPS-beleid instellen

Als u beleid voor uw Windows LAPS-implementatie wilt instellen en beheren, hebt u meerdere opties:

Windows LAPS beheren en bewaken

Je hebt verschillende opties om Windows LAPS te beheren en te monitoren.

Opties voor Windows zijn onder andere:

Wanneer je wachtwoorden back-uppt naar Microsoft Entra ID, krijg je monitoring- en rapportageoplossingen op basis van Microsoft Entra ID.

Afschaffing van het verouderde Microsoft LAPS-product

Important

Het verouderde Microsoft LAPS-product is afgeschaft vanaf Windows 11 23H2 en hoger. Nieuwere OS-versies blokkeren de installatie van het legacy Microsoft LAPS Microsoft Installer (MSI)-pakket. Microsoft neemt geen codewijzigingen meer in overweging voor het verouderde Microsoft LAPS-product.

Gebruik Windows LAPS om lokale beheerdersaccountwachtwoorden te beheren. Windows LAPS is beschikbaar op Windows Server 2019 en hoger en op ondersteunde Windows 10- en Windows 11-clients.

Microsoft zal het legacy Microsoft LAPS-product blijven ondersteunen op de oudere versies van Windows (eerder dan Windows 11 23H2) die het eerder ondersteunden. Die ondersteuning eindigt aan het normale einde van de ondersteuning voor die OS-versies.

Windows LAPS versus oudere Microsoft LAPS

Windows LAPS neemt veel ontwerpconcepten over van verouderde Microsoft LAPS. Als je bekend bent met legacy Microsoft LAPS, herken je veel Windows LAPS-functies. Een belangrijk verschil is dat Windows LAPS een volledig afzonderlijke implementatie is die systeemeigen is voor Windows. Windows LAPS voegt ook veel functies toe die niet beschikbaar zijn in verouderde Microsoft LAPS. U kunt Windows LAPS gebruiken om een back-up te maken van wachtwoorden naar Microsoft Entra ID, wachtwoorden te versleutelen in Windows Server Active Directory en uw wachtwoordgeschiedenis op te slaan.

Voor Windows LAPS hoeft u geen verouderde Microsoft LAPS te installeren. U kunt alle Windows LAPS-functies volledig uitrollen en gebruiken zonder oudere Microsoft LAPS te installeren of gebruik te maken van. Om te helpen bij het migreren van een bestaande legacy Microsoft LAPS-implementatie, biedt Windows LAPS legacy Microsoft LAPS-emulatiemodus. Onthoud dat het legacy Microsoft LAPS-product verouderd is op nieuwere Microsoft OS-versies. Zie Afschaffing van het verouderde Microsoft LAPS-product voor meer informatie.

Van legacy Microsoft LAPS naar native Windows LAPS

Omdat het legacy Microsoft LAPS-product verouderd is en nieuwere Windows-versies de installer blokkeren, is native Windows LAPS de ondersteunde manier om lokale beheerderswachtwoorden te beheren. Native Windows LAPS vereist geen aparte download of installatie. Het is ingebouwd in ondersteunde versies van Windows en Windows Server, dus je hoeft geen legacy Microsoft LAPS te installeren om het te adopteren.

Om de overstap te plannen en af te ronden op apparaten die momenteel legacy Microsoft LAPS draaien, zie Migrate to Windows LAPS from legacy LAPS. Dat artikel is de gezaghebbende bron voor de migratievereisten, de beschikbare migratieopties, hoe je kunt valideren dat native Windows LAPS je accounts succesvol beheert, en hoe je de legacy Microsoft LAPS-software na de overgang verwijdert.

Legacy Microsoft LAPS emulatiemodus

Als je niet direct naar native Windows LAPS kunt overstappen, kun je Windows LAPS in de legacy Microsoft LAPS-emulatiemodus draaien als overgangsoptie. In deze modus houdt Windows LAPS rekening met je bestaande legacy Microsoft LAPS Group Policy-instellingen terwijl je de migratie voltooit.

De emulatiemodus heeft twee cruciale vereisten:

  • Installeer de legacy Microsoft LAPS Group Policy client-side extensie (CSE) niet op het beheerde apparaat. Als de legacy CSE aanwezig is, verwijst Windows LAPS ernaar en schakelt het emulatiemodus uit om conflicten te voorkomen.
  • Native Windows LAPS-beleidsinstellingen hebben voorrang. Als je een apparaat configureert met zowel native Windows LAPS-beleidsinstellingen als legacy Microsoft LAPS-beleidinstellingen, past Windows LAPS de native instellingen toe en negeert het de geëmuleerde legacy-instellingen.

De emulatiemodus heeft beveiligingsbeperkingen. Net als legacy Microsoft LAPS slaat het wachtwoorden in Windows Server Active Directory alleen in duidelijke tekst op, waardoor het de wachtwoordencryptie of wachtwoordgeschiedenisfuncties van native Windows LAPS niet kan gebruiken. Beschouw emulatiemodus als een tijdelijke stap en plan om te migreren naar native Windows LAPS om gebruik te maken van de beveiligingsfuncties. Voor meer informatie, zie Begin met Windows LAPS in de legacy Microsoft LAPS emulatiemodus.

Windows LAPS en legacy Microsoft LAPS ondersteuningsverklaring

Microsoft bracht het legacy Microsoft LAPS-product in 2016 uit op het Microsoft Downloadcentrum. Windows LAPS werd geleverd als onderdeel van Windows Updates, uitgebracht op 11 april 2023, voor de platforms die in Windows LAPS-ondersteunde platforms stonden.

Microsoft en zijn ondersteuningsorganisatie bieden ondersteunde ondersteuning voor zowel legacy Microsoft LAPS als Windows LAPS, inclusief interoperabiliteit tussen de twee producten. Microsoft heeft het oude Microsoft LAPS-product afgeschaft op nieuwere Microsoft-besturingssysteemversies. Zie Afschaffing van het verouderde Microsoft LAPS-product voor meer informatie.

We raden sterk aan om nu al te beginnen met het migreren van je Windows LAPS-geschikte systemen van legacy Microsoft LAPS naar de Windows LAPS-functie. Windows LAPS biedt veel nieuwe beveiligingsfuncties en verbeterde productservice.

Richt vragen over beperkingen en interoperabiliteitsproblemen tussen lokale wachtwoordbeheertools van derden en Windows LAPS aan de ontwikkelaar van de derde partij, niet aan Microsoft.

Windows LAPS-licentievereisten

De Windows LAPS-functie is gratis beschikbaar op alle ondersteunde Windows-platforms.

U kunt een back-up maken van wachtwoorden naar Windows Server Active Directory zonder andere licentievereisten.

U kunt een back-up maken van wachtwoorden naar Microsoft Entra-id met een gratis of hogere licentie voor Microsoft Entra ID.

Andere functies van Microsoft Entra ID of Microsoft Intune kunnen andere licentievereisten hebben.

Geef feedback over Windows LAPS

Wilt u ons feedback sturen? Om documentspecifieke vragen in te dienen, gebruik de feedbacklinks onderaan deze pagina.

Je kunt ook feedback en andere verzoeken indienen op de Windows LAPS feedback Tech Community-pagina.

Als je feedback specifiek is voor de Microsoft Entra ID- of Intune-gerelateerde LAPS-functionaliteit, dien dan feedback in via het Microsoft Entra feedbackforum.

Als u niet zeker weet waar uw feedback naartoe moet gaan, dient u deze in met behulp van een van deze opties.

Verwante onderwerpen

  • Last updated on