Co to jest system Windows LAPS?

Windows Local Administrator Password Solution (Windows LAPS) to funkcja systemu Windows, która automatycznie zarządza hasłem lokalnego konta administratora i tworzy jego kopię zapasową na urządzeniach dołączonych do usługi Microsoft Entra lub usługi Active Directory w systemie Windows Server. Możesz także użyć Windows LAPS do zarządzania i tworzenia kopii zapasowych hasła do konta Directory Services Restore Mode (DSRM) na kontrolerach domeny Windows Server Active Directory.

Konta lokalnych administratorów często dzielą to samo hasło na wielu urządzeniach, co mogą wykorzystać nieuczciwi aktorzy do poruszania się lateralnie po środowisku. Windows LAPS pomaga zmniejszyć tę lukę, regularnie rotując hasła administratora lokalnego dla każdego urządzenia, przechowując je bezpiecznie i pozwalając autoryzowanym administratorom na pobranie go w celu zalogowania się lub odzyskania urządzenia.

W tym artykule przedstawiono platformy, które obsługuje Windows LAPS, jego kluczowe scenariusze i zalety oraz czym różni się od starszego produktu Microsoft LAPS, abyś mógł zdecydować, jak używać Windows LAPS w swoim środowisku.

Platformy obsługiwane przez system Windows LAPS

System Windows LAPS jest dostępny na następujących platformach systemu operacyjnego:

Klient systemu Windows

System Windows 10 osiągnął koniec wsparcia technicznego 14 października 2025 r. Windows LAPS pozostaje dostępny tylko na urządzeniach z systemem Windows 10, które nadal otrzymują aktualizacje, na przykład poprzez program Extended Security Updates (ESU). Aby poznać obsługiwane daty serwisowania Windows 10 i cyklu życia, zobacz FAQ dotyczące cyklu życia Windows. Do nowych wdrożeń użyj Windows 11 lub wspieranej wersji Windows Server.

Ustawienia automatycznego zarządzania kontami w dostawcy usług konfiguracyjnych Windows LAPS (CSP) wymagają Windows 11, wersji 24H2 lub nowzej, albo Windows Server 2025 lub nowszych.

Serwer z systemem Windows

Windows LAPS jest dostępny we wszystkich obsługiwanych edycjach tych platform, w tym w edycjach z kanałem długoterminowym serwisowania (LTSC). Wprowadzenie funkcji Windows LAPS nie zmienia standardowych polityk życia produktu Microsoft.

Windows LAPS i Microsoft Entra ID

System Windows LAPS z obsługą Microsoft Entra ID i Microsoft Intune jest już ogólnie dostępny od 23 października 2023 r. Aby uzyskać więcej informacji, zobacz Rozwiązanie hasła administratora lokalnego systemu Windows z usługą Microsoft Entra ID jest już ogólnie dostępne! oraz Rozwiązanie hasła administratora lokalnego systemu Windows w usłudze Microsoft Entra ID.

Zalety korzystania z usługi Windows LAPS

Użyj systemu Windows LAPS, aby regularnie wymieniać hasła konta administratora lokalnego i zarządzać nimi i uzyskiwać następujące korzyści:

  • Ochrona przed atakami typu pass-the-hash i lateralnymi ruchami w sieci
  • Ulepszone zabezpieczenia dla scenariuszy zdalnego helpdesku
  • Możliwość logowania się do i odzyskiwania urządzeń, które w przeciwnym razie są niedostępne
  • Szczegółowy model bezpieczeństwa (listy kontroli dostępu i opcjonalne szyfrowanie haseł) do zabezpieczania haseł przechowywanych w Windows Server Active Directory
  • Wsparcie dla modelu kontroli dostępu opartego na rolach Microsoft Entra do zabezpieczania haseł przechowywanych w Microsoft Entra ID

Filmy informacyjne Windows LAPS

Poniższe filmy dostarczają więcej informacji o funkcji Windows LAPS. Ponieważ te filmy nie zawierają treści tekstowych, skorzystaj z otaczających artykułów jako autorytatywnych wskazówek dotyczących Windows LAPS.

Prezentacja startowa systemu Windows Technical (listopad 2022 r.):

Dyskusja techniczna na temat systemu Windows (sierpień 2023 r.):

Kluczowe scenariusze systemu Windows LAPS

System Windows LAPS można używać w kilku podstawowych scenariuszach:

  • Tworzenie kopii zapasowej haseł konta administratora lokalnego do Microsoft Entra ID (dla urządzeń dołączonych do Microsoft Entra)

  • Tworzenie kopii zapasowych haseł konta administratora lokalnego w usłudze Active Directory systemu Windows Server (dla klientów i serwerów przyłączonych do usługi Active Directory systemu Windows Server)

  • Tworzenie kopii zapasowych haseł kont dsRM w usłudze Active Directory systemu Windows Server (dla kontrolerów domeny usługi Active Directory systemu Windows Server)

  • Twórz kopie zapasowe haseł lokalnych kont administratora do usługi Active Directory w systemie Windows Server przy użyciu trybu emulacji starszego rozwiązania Microsoft LAPS, w którym natywna funkcja Windows LAPS uwzględnia istniejące ustawienia zasad grupy starszego rozwiązania Microsoft LAPS podczas migracji

W każdym scenariuszu można zastosować różne ustawienia zasad.

Zrozumienie ograniczeń stanu połączenia urządzenia

To, czy urządzenie jest połączone z usługą Microsoft Entra ID lub Windows Server Active Directory, decyduje o sposobie używania Windows LAPS.

  • Urządzenia dołączone tylko do Microsoft Entra ID mogą tworzyć kopie zapasowe haseł tylko do Microsoft Entra ID.
  • Urządzenia dołączone tylko do usługi Active Directory systemu Windows Server mogą tworzyć kopie zapasowe haseł tylko w usłudze Active Directory systemu Windows Server.
  • Urządzenia dołączone hybrydowo (przyłączone do usługi Microsoft Entra ID i Active Directory systemu Windows Server) mogą tworzyć kopie zapasowe haseł do identyfikatora Entra firmy Microsoft lub usługi Active Directory systemu Windows Server.

Nie można utworzyć kopii zapasowej haseł zarówno w usłudze Microsoft Entra ID, jak i w usłudze Active Directory systemu Windows Server.

System Windows LAPS nie obsługuje klientów połączonych z Microsoft Entra w miejscu pracy.

Ustawianie zasad systemu Windows LAPS

Aby skonfigurować zasady wdrożenia systemu Windows LAPS i zarządzać nimi, masz wiele opcji:

Zarządzanie systemem Windows LAPS i monitorowanie go

Masz kilka opcji zarządzania i monitorowania Windows LAPS.

Opcje dla systemu Windows obejmują:

Gdy robisz kopię zapasową haseł do Microsoft Entra ID, otrzymujesz rozwiązania do monitorowania i raportowania oparte na Microsoft Entra ID.

Wycofanie starszego produktu Microsoft LAPS

Important

Starszy produkt Microsoft LAPS jest przestarzały w systemie Windows 11 23H2 lub nowszym. Nowsze wersje systemu blokują instalację starszego pakietu Microsoft LAPS Microsoft Installer (MSI). Microsoft nie uwzględnia już zmian kodu dla starszego produktu Microsoft LAPS.

Użyj Windows LAPS do zarządzania lokalnymi hasłami do kont administratora. System Windows LAPS jest dostępny w systemach Windows Server 2019 i nowszych oraz na obsługiwanych klientach z systemami Windows 10 i Windows 11.

Microsoft będzie nadal wspierał starszy produkt Microsoft LAPS na starszych wersjach Windows (wcześniejszych niż Windows 11 23H2), które wcześniej go obsługiwały. To wsparcie kończy się na normalnym końcu wsparcia dla tych wersji systemu.

System Windows LAPS a starsza wersja rozwiązania Microsoft LAPS

System Windows LAPS dziedziczy wiele pojęć projektowych ze starszej wersji rozwiązania Microsoft LAPS. Jeśli znasz starszy Microsoft LAPS, rozpoznajesz wiele funkcji Windows LAPS. Kluczową różnicą jest to, że system Windows LAPS to całkowicie oddzielna implementacja natywna dla systemu Windows. System Windows LAPS dodaje również wiele funkcji, które nie są dostępne w starszej wersji rozwiązania Microsoft LAPS. Za pomocą systemu Windows LAPS można tworzyć kopie zapasowe haseł w usłudze Microsoft Entra ID, szyfrować hasła w usłudze Active Directory systemu Windows Server i przechowywać historię haseł.

System Windows LAPS nie wymaga zainstalowania starszej wersji rozwiązania Microsoft LAPS. Możesz w pełni wdrożyć wszystkie funkcje systemu Windows LAPS i korzystać z nich bez instalowania lub odwoływania się do starszej wersji rozwiązania Microsoft LAPS. Aby pomóc w migracji istniejącego, starszego wdrożenia Microsoft LAPS, Windows LAPS oferuje tryb emulacji Microsoft LAPS w starszej wersji. Pamiętaj, że starszy produkt Microsoft LAPS jest wycofany z nowych wersji systemu Microsoft. Aby uzyskać więcej informacji, zobacz Wycofanie starszego produktu Microsoft LAPS.

Od starszego Microsoft LAPS po natywne Windows LAPS

Ponieważ starszy produkt Microsoft LAPS jest przestarzały, a nowsze wersje Windows blokują jego instalator, natywny Windows LAPS jest obsługiwanym sposobem zarządzania lokalnymi hasłami administratora. Natywny Windows LAPS nie wymaga osobnego pobierania ani instalacji. Jest wbudowany w wspierane wersje Windows i Windows Server, więc nie musisz instalować starszego Microsoft LAPS, aby go zaadoptować.

Aby zaplanować i dokończyć przejście na urządzenia, które obecnie korzystają z legacy Microsoft LAPS, zobacz Migracja do Windows LAPS z legacy LAPS. Ten artykuł jest autorytatywnym źródłem dotyczącym wymagań migracji, dostępnych opcji migracji, jak zweryfikować, czy natywny Windows LAPS skutecznie zarządza kontami oraz jak usunąć starsze oprogramowanie Microsoft LAPS po przejściu.

Tryb emulacji starszej wersji Microsoft LAPS

Jeśli nie możesz przejść bezpośrednio do natywnego Windows LAPS, możesz uruchomić Windows LAPS w trybie emulacji Microsoft LAPS jako opcję przejściową. W tym trybie Windows LAPS respektuje istniejące, starsze ustawienia grupowej polityki Microsoft LAPS podczas kończenia migracji.

Tryb emulacji ma dwa kluczowe warunki:

  • Nie instaluj starszego rozszerzenia Microsoft LAPS Group Policy (CSE) na zarządzanym urządzeniu. Jeśli starszy CSE jest obecny, Windows LAPS ustępuje mu i wyłącza tryb emulacji, aby uniknąć konfliktów.
  • Natywne ustawienia polityki LAPS w Windows mają pierwszeństwo. Jeśli skonfigurujesz urządzenie zarówno z natywnymi ustawieniami polityki Windows LAPS, jak i starszymi ustawieniami polityki Microsoft LAPS, Windows LAPS stosuje natywne ustawienia i ignoruje emulowane ustawienia starsze.

Tryb emulacji ma ograniczenia bezpieczeństwa. Podobnie jak starszy Microsoft LAPS, przechowuje hasła w Windows Server Active Directory tylko w formie tekstu czytelnego, więc nie może korzystać z funkcji szyfrowania haseł ani historii haseł natywnych Windows LAPS. Traktuj tryb emulacji jako krok tymczasowy i planuj migrację na natywny Windows LAPS, aby skorzystać z jego funkcji bezpieczeństwa. Aby uzyskać więcej informacji, zobacz Wprowadzenie do Windows LAPS w trybie emulacji starszego rozwiązania Microsoft LAPS.

Informacje dotyczące pomocy technicznej dla Windows LAPS i starszej wersji Microsoft LAPS

Microsoft wypuścił starszy produkt Microsoft LAPS w 2016 roku na Centrum pobierania Microsoft. Windows LAPS został udostępniony w ramach aktualizacji systemu Windows wydanych 11 kwietnia 2023 r. dla platform wymienionych w sekcji Platformy obsługiwane przez funkcję Windows LAPS.

Microsoft i jego organizacja dostarczająca wsparcie oferują wspomagane wsparcie zarówno dla starszych Microsoft LAPS, jak i Windows LAPS, w tym interoperacyjność między tymi dwoma produktami. Microsoft wycofał starszy produkt Microsoft LAPS na nowszych wersjach systemu Microsoft. Aby uzyskać więcej informacji, zobacz Wycofanie starszego produktu Microsoft LAPS.

Zdecydowanie zalecamy już teraz planowanie migracji swoich systemów obsługujących Windows LAPS z starszych wersji Microsoft LAPS do funkcji Windows LAPS. System Windows LAPS oferuje wiele nowych funkcji zabezpieczeń i ulepszoną obsługę produktu.

Pytania dotyczące ograniczeń i problemów interoperacyjnych między lokalnymi narzędziami do zarządzania kontami trzecimi a Windows LAPS kierują bezpośrednio do twórcy aplikacji firm trzecich, a nie do Microsoftu.

Wymagania licencyjne Windows LAPS

Funkcja Windows LAPS jest dostępna bezpłatnie na wszystkich obsługiwanych platformach Windows.

Możesz utworzyć kopię zapasową haseł w usłudze Active Directory systemu Windows Server bez innych wymagań dotyczących licencjonowania.

Możesz utworzyć kopię zapasową haseł do identyfikatora Entra firmy Microsoft za pomocą bezpłatnej lub wyższej licencji microsoft Entra ID.

Inne funkcje Microsoft Entra ID lub Microsoft Intune mogą mieć inne wymagania licencyjne.

Prześlij opinie na temat Windows LAPS

Chcesz wysłać nam opinię? Aby przesłać pytania specyficzne dla dokumentów, skorzystaj z linków do opinii na dole tej strony.

Możesz także przesyłać opinie i inne prośby na stronie Windows LAPS Tech Community.

Jeśli twoja opinia dotyczy konkretnie funkcjonalności LAPS związanej z Microsoft Entra ID lub Intune, przesyłaj ją przez forum Microsoft Entra feedback.

Jeśli nie masz pewności, gdzie powinna zostać przesłana twoja opinia, prześlij ją przy użyciu dowolnej z tych opcji.

Treści powiązane

  • Ostatnia aktualizacja o