Что такое Windows LAPS?

Решение Windows для паролей локального администратора (Windows LAPS) — это функция Windows, которая автоматически управляет паролем учетной записи локального администратора и создает его резервную копию на ваших устройствах, присоединенных к Microsoft Entra или к Windows Server Active Directory. Вы также можете использовать Windows LAPS для управления и резервного копирования пароля аккаунта Directory Services Restore Mode (DSRM) на контроллерах Windows Server Active Directory домена.

Учетные записи локального администратора часто используют один и тот же пароль на многих устройствах, и злоумышленники могут использовать их для горизонтального переноса по вашей среде. Windows LAPS помогает сократить этот разрыв, регулярно меняя локальный пароль администратора каждого устройства, храня его надёжно и позволяя авторизованным администраторам получать его для входа или восстановления устройства.

В этой статье представлены платформы, которые поддерживает Windows LAPS, его ключевые сценарии и преимущества, а также чем он отличается от устаревшего продукта Microsoft LAPS, чтобы вы могли решить, как использовать Windows LAPS в своей среде.

Поддерживаемые платформы Windows LAPS

Windows LAPS доступен на следующих платформах ОС:

Клиент Windows

Поддержка Windows 10 закончилась 14 октября 2025 г. Windows LAPS доступна только на устройствах Windows 10, которые продолжают получать обновления, например, через программу расширенных обновлений безопасности (ESU). Для поддерживаемых датов обслуживания Windows 10 и датах жизненного цикла см. FAQ по жизненному циклу Windows. Для новых развертываний используйте Windows 11 или поддерживаемую версию Windows Server.

Настройки автоматического управления учетными записями в провайдере конфигурационных сервисов Windows LAPS (CSP) требуют Windows 11, версии 24H2 или новее, или Windows Server 2025 и выше.

Windows Server

Windows LAPS доступен во всех поддерживаемых редакциях этих платформ, включая редакции канала долгосрочного обслуживания (LTSC). Введение функции Windows LAPS не изменяет стандартные политики жизненного цикла продукта Microsoft.

Средства администрирования паролей Windows (LAPS) и идентификатор Microsoft Entra

Windows LAPS с идентификатором Microsoft Entra ID и поддержкой Microsoft Intune общедоступен по состоянию на 23 октября 2023 года. Дополнительные сведения см. в статье Windows Local Administrator Password Solution в Microsoft Entra ID теперь общедоступно! и Windows Local Administrator Password Solution в Microsoft Entra ID.

Преимущества использования Windows LAPS

Используйте Windows LAPS для регулярной смены паролей учетной записи локального администратора и управления ими и получения следующих преимуществ:

  • Защита от атак передачи хэша и бокового перемещения
  • Улучшенная безопасность для сценариев удаленной службы технической поддержки
  • Возможность входа в систему и восстановления устройств, которые в противном случае недоступны
  • Детальная модель безопасности (списки контроля доступа и необязательное шифрование паролей) для защиты паролей, хранящихся в Windows Server Active Directory
  • Поддержка ролевой модели контроля доступа Microsoft Entra для защиты паролей, хранящихся в Microsoft Entra ID

Информационные видео по Windows LAPS

Следующие видео дают дополнительную информацию о функции Windows LAPS. Поскольку эти видео не содержат текстового контента, используйте соответствующие статьи для авторитетных рекомендаций по Windows LAPS.

Презентация Windows по техническому запуску (ноябрь 2022 г.):

Обсуждение Windows о решении технологических вопросов (август 2023 г.):

Ключевые сценарии LAPS для Windows

Windows LAPS можно использовать для нескольких основных сценариев:

  • Резервное копирование паролей учетных записей локального администратора в идентификатор Microsoft Entra ( для устройств, присоединенных к Microsoft Entra)

  • Резервное копирование паролей учетных записей локального администратора в Windows Server Active Directory (для клиентов и серверов, присоединенных к Windows Server Active Directory)

  • Резервное копирование паролей учетной записи DSRM в Windows Server Active Directory (для контроллеров домена Windows Server Active Directory)

  • Выполняйте резервное копирование паролей локальных учетных записей администратора в Active Directory Windows Server с помощью режима эмуляции legacy Microsoft LAPS, при котором встроенный Windows LAPS учитывает существующие устаревшие параметры групповой политики Microsoft LAPS во время миграции

В каждом сценарии можно применять различные параметры политики.

Общие сведения об ограничениях состояния соединения устройств

На то, как можно использовать Windows LAPS, влияет то, присоединено ли устройство к Microsoft Entra ID или Windows Server Active Directory.

  • Устройства, присоединенные только к Microsoft Entra ID, могут создавать резервные копии паролей только в Microsoft Entra ID.
  • Устройства, присоединенные только к Windows Server Active Directory, могут создавать резервные копии паролей только в Windows Server Active Directory.
  • Устройства, присоединенные к гибридному соединению (присоединенные к идентификатору Microsoft Entra и Windows Server Active Directory), могут создавать резервные копии паролей в идентификатор Microsoft Entra или в Windows Server Active Directory.

Не удается создать резервную копию паролей как в идентификаторе Microsoft Entra, так и в Windows Server Active Directory.

Windows LAPS не поддерживает клиенты Microsoft Entra, присоединенные к рабочему месту.

Настройка политики Windows LAPS

Чтобы настроить политику для развертывания Windows LAPS и управлять ими, у вас есть несколько вариантов:

Управление и мониторинг Windows LAPS

У вас есть несколько вариантов управления и мониторинга Windows LAPS.

Варианты для Windows:

При резервном копировании паролей на Microsoft Entra ID вы получаете решения для мониторинга и отчетности на базе Microsoft Entra ID.

Отмена устаревшего продукта Microsoft LAPS

Important

Устаревший продукт Microsoft LAPS не рекомендуется использовать в Windows 11 23H2 и более поздних версий. Новые версии ОС блокируют установку устаревшего пакета Microsoft LAPS Microsoft Installer (MSI). Microsoft больше не рассматривает изменения кода для устаревшего продукта Microsoft LAPS.

Используйте Windows LAPS для управления паролями от локальных аккаунтов администратора. Windows LAPS доступен в Windows Server 2019 и более поздних версиях, а также на поддерживаемых клиентах Windows 10 и Windows 11.

Microsoft продолжит поддерживать устаревший продукт Microsoft LAPS на старых версиях Windows (раньше, чем Windows 11 23H2), которые ранее его поддерживали. Эта поддержка заканчивается на обычном этапе поддержки этих версий ОС.

Windows LAPS и устаревшая версия Microsoft LAPS

Windows LAPS наследует множество концепций проектирования от устаревшей версии Microsoft LAPS. Если вы знакомы с устаревшей Microsoft LAPS, то знаете многие функции Windows LAPS. Ключевое отличие заключается в том, что Windows LAPS является полностью отдельной реализацией, которая является собственной для Windows. Windows LAPS также добавляет множество функций, которые недоступны в устаревшей версии Microsoft LAPS. Вы можете использовать Windows LAPS для резервного копирования паролей в идентификатор Microsoft Entra, шифрования паролей в Windows Server Active Directory и хранения журнала паролей.

Windows LAPS не требует установки устаревшей версии Microsoft LAPS. Вы можете полностью развернуть и использовать все функции Windows LAPS без установки или обращения к устаревшей версии Microsoft LAPS. Чтобы помочь в миграции существующего старого развертывания Microsoft LAPS, Windows LAPS предлагает устаревший режим эмуляции Microsoft LAPS. Помните, что устаревший продукт Microsoft LAPS устарел в новых версиях Microsoft OS. Дополнительные сведения см. в статье об отмене устаревшего продукта Microsoft LAPS.

От устаревшей Microsoft LAPS до нативной Windows LAPS

Поскольку устаревший продукт Microsoft LAPS снят с поддержки, а новые версии Windows блокируют установку его установщика, поддерживаемым способом управления паролями локального администратора является встроенная в Windows функция LAPS. Нативная Windows LAPS не требует отдельной загрузки или установки. Он встроен в поддерживаемые версии Windows и Windows Server, так что для его внедрения не нужно устанавливать устаревший Microsoft LAPS.

Чтобы спланировать и завершить переход на устройствах, которые сейчас работают с устаревшим Microsoft LAPS, см. раздел «Миграция на Windows LAPS с устаревших LAPS». Эта статья служит авторитетным источником по требованиям к миграции, доступным вариантам миграции, тому, как проверить, что нативный Windows LAPS успешно управляет вашими аккаунтами, и как удалить устаревшее программное обеспечение Microsoft LAPS после перехода.

Режим эмуляции устаревшего Microsoft LAPS

Если вы не можете сразу перейти к нативной Windows LAPS, вы можете запустить Windows LAPS в устаревшем режиме эмуляции Microsoft LAPS как переходный вариант. В этом режиме Windows LAPS учитывает ваши существующие наследственные настройки групповой политики Microsoft LAPS во время завершения миграции.

Режим эмуляции имеет два ключевых требования:

  • Не устанавливайте устаревшее клиентское расширение Microsoft LAPS Group Policy (CSE) на управляемое устройство. Если присутствует устаревший CSE, Windows LAPS уступает ему и отключает режим эмуляции, чтобы избежать конфликтов.
  • Нативные настройки политики Windows LAPS имеют приоритет. Если вы настроите устройство с натурными настройками политики Windows LAPS и устаревшими настройками политики Microsoft LAPS, Windows LAPS применяет нативные настройки и игнорирует эмулированные наследственные настройки.

Режим эмуляции имеет ограничения по безопасности. Как и наследственный Microsoft LAPS, он хранит пароли в Windows Server Active Directory только в виде чистого текста, поэтому не может использовать функции шифрования паролей или истории паролей нативного Windows LAPS. Воспринимайте режим эмуляции как временный шаг и планируйте перейти на нативную Windows LAPS, чтобы воспользоваться его функциями безопасности. Для получения дополнительной информации смотрите раздел «Начать с Windows LAPS в устаревшем режиме эмуляции Microsoft LAPS».

Заявление о поддержке Windows LAPS и устаревшей версии Microsoft LAPS

Microsoft выпустила устаревший продукт Microsoft LAPS в 2016 году в Microsoft Download Center. Windows LAPS была выпущена в составе Windows Updates 11 апреля 2023 года для платформ, перечисленных в поддерживаемых платформах Windows LAPS.

Microsoft и её организация поддержки предлагают поддерживающую поддержку как для устаревших Microsoft LAPS, так и для Windows LAPS, включая совместимость между двумя продуктами. Microsoft отказалась от устаревшего продукта Microsoft LAPS в новых версиях Microsoft OS. Дополнительные сведения см. в статье об отмене устаревшего продукта Microsoft LAPS.

Мы настоятельно рекомендуем начать планировать миграцию ваших систем с поддержкой Windows LAPS с устаревшей Microsoft LAPS на функцию Windows LAPS. Windows LAPS предлагает множество новых функций безопасности и улучшенную обслуживание продуктов.

Вопросы об ограничениях и проблемах взаимодействия между сторонними средствами управления паролями локальных учетных записей и Windows LAPS следует адресовать разработчику стороннего приложения, а не Microsoft.

Требования к лицензированию Windows LAPS

Функция Windows LAPS доступна бесплатно на всех поддерживаемых платформах Windows.

Вы можете создавать резервные копии паролей в Windows Server Active Directory без других требований к лицензированию.

Вы можете создавать резервные копии паролей в идентификатор Microsoft Entra с помощью бесплатной или более поздней лицензии Microsoft Entra ID.

Другие функции Microsoft Entra ID или Microsoft Intune могут иметь и другие лицензионные требования.

Отправьте отзывы о Windows LAPS

Хотите отправить нам отзыв? Чтобы отправить вопросы, касающиеся конкретного документа, используйте ссылки на отзывы внизу этой страницы.

Вы также можете отправлять отзывы и другие запросы на странице технического сообщества Windows LAPS.

Если ваша обратная связь касается функционала LAPS, связанной с Microsoft Entra ID или Intune, оставляйте отзывы через форум обратной связи Microsoft Entra.

Если вы не уверены, куда следует отправить отзыв, отправьте его с помощью любого из этих вариантов.

Связанные материалы

  • Last updated on