Windows LAPS, acronimo di Windows Local Administrator Password Solution, è la funzionalità nativa Microsoft che genera, archivia e ruota automaticamente la password di un account amministratore locale su client e server Windows. La password può essere salvata in Windows Server Active Directory oppure in Microsoft Entra ID, in funzione dello stato di join del dispositivo e del modello di gestione adottato.
L'obiettivo non è soltanto eliminare password locali statiche. Assegnando una credenziale diversa a ogni endpoint e ruotandola secondo policy, Windows LAPS riduce il valore di una password compromessa e ostacola Pass-the-Hash, lateral movement e riutilizzo delle credenziali tra sistemi. Il controllo è particolarmente rilevante negli ambienti in cui gli oggetti computer in Active Directory sono numerosi, distribuiti su più OU o amministrati da team differenti.
La versione moderna è integrata nei sistemi Windows supportati e non richiede il vecchio pacchetto MSI, la DLL AdmPwd o la Client Side Extension di Microsoft LAPS Legacy. Negli ambienti ancora basati sulla soluzione precedente serve quindi una migrazione pianificata, non una semplice sovrapposizione delle due tecnologie.
Verifica del dominio
Lo stato di Windows LAPS, delle deleghe e delle GPO rientra nel servizio Nexsys di Assessment & Hardening Active Directory.
Cos'è Windows LAPS e quale rischio elimina
Un account amministratore locale è spesso indispensabile per attività di recovery, assistenza tecnica o gestione di un dispositivo non raggiungibile dal dominio. Il rischio nasce quando la stessa password viene impostata manualmente su molte postazioni e resta invariata per mesi o anni. La compromissione di un singolo computer può allora fornire all'attaccante una credenziale valida anche sugli altri sistemi.
Windows LAPS interrompe questo modello perché:
- genera una password casuale e univoca per ogni dispositivo gestito;
- applica lunghezza, complessità e durata definite dalla policy;
- salva la password nel directory service scelto e la rende disponibile solo ai soggetti autorizzati;
- ruota automaticamente la password alla scadenza o su richiesta;
- può attivare la rotazione dopo l'uso della credenziale amministrativa;
- registra gli eventi operativi e consente di verificare recuperi e aggiornamenti.
LAPS non sostituisce il tiering amministrativo, la protezione delle credenziali, Microsoft Defender o il monitoraggio degli endpoint. È un controllo specifico che chiude uno dei percorsi più comuni di propagazione delle credenziali locali. Per inquadrarlo nella postura complessiva del dominio è utile considerare anche le vulnerabilità Active Directory più frequenti.
Windows LAPS e Microsoft LAPS Legacy: differenze
Microsoft LAPS Legacy è la soluzione distribuita in precedenza tramite MSI. Windows LAPS è invece un'implementazione distinta, nativa nel sistema operativo e dotata di funzioni che la versione Legacy non offre.
| Area | Windows LAPS | Microsoft LAPS Legacy |
|---|---|---|
| Distribuzione | Funzionalità integrata in Windows | MSI + Client Side Extension |
| Repository | Active Directory o Microsoft Entra ID | Solo Active Directory |
| Attributi AD | msLAPS-* | ms-Mcs-AdmPwd e ms-Mcs-AdmPwdExpirationTime |
| Cifratura in AD | Supportata con DFL 2016 o superiore | Password protetta tramite ACL, non cifrata |
| Password history | Supportata con password cifrate in AD | Non disponibile |
| Password DSRM | Gestibile sui Domain Controller supportati | Non gestita |
| Rotazione post-uso | Supportata tramite PostAuthenticationActions | Non disponibile |
| Account automatico | Supportato sui sistemi operativi più recenti | Non disponibile |
| Stato | Soluzione Microsoft corrente | Deprecata sui sistemi moderni |
Le funzioni più recenti sono approfondite nell'articolo dedicato alle novità di Windows LAPS in Windows Server 2025.
Dove salvare le password: Active Directory o Microsoft Entra ID
La scelta del repository dipende dallo stato del dispositivo. Windows LAPS può usare una sola destinazione per volta: non è possibile salvare contemporaneamente la stessa password in Active Directory e in Microsoft Entra ID.
| Stato del dispositivo | Repository disponibile | Gestione tipica |
|---|---|---|
| Domain joined | Windows Server Active Directory | GPO; in alternativa strumenti compatibili con lo scenario |
| Microsoft Entra joined | Microsoft Entra ID | Microsoft Intune è il metodo raccomandato |
| Hybrid joined | Active Directory oppure Entra ID | Scegliere un solo repository in base al modello operativo |
| Workplace joined | Non supportato | Il solo workplace join non soddisfa i requisiti di Windows LAPS |
Negli ambienti ibridi la scelta deve essere architetturale. Salvare in Active Directory mantiene deleghe e recupero nel perimetro on-premises; salvare in Entra ID consente gestione cloud, RBAC e recupero dai portali Microsoft. Le password inviate a Entra ID vengono protette dal servizio e non dipendono dalla sincronizzazione di Entra Connect.
Prerequisiti per un'implementazione corretta
Sistemi supportati e aggiornati. Windows LAPS è disponibile sui sistemi operativi Windows supportati che includono gli aggiornamenti necessari. Prima del rollout va censito il livello di patch di client, server e Domain Controller.
Assenza di conflitti. La Client Side Extension di LAPS Legacy e Windows LAPS non devono gestire contemporaneamente lo stesso account locale.
OU e gruppi di delega definiti. Occorre stabilire quali computer riceveranno la policy, chi potrà leggere o decifrare le password e chi potrà forzarne la scadenza.
Domain Functional Level adeguato. La cifratura delle password in Active Directory e la gestione della password DSRM richiedono un livello funzionale di dominio Windows Server 2016 o superiore.
Modello di gestione unico. GPO, Intune e configurazioni locali non devono introdurre policy sovrapposte o valori incoerenti.
Pilot rappresentativo. Il rilascio iniziale deve includere workstation, server e casi di assistenza reali prima dell'estensione all'intero perimetro.
Per la distribuzione on-premises è essenziale gestire correttamente le Group Policy Windows, evitando link a OU troppo ampie, filtri non documentati o deleghe che consentano a soggetti non autorizzati di modificare la GPO.
Come implementare Windows LAPS in Active Directory
Prima di modificare schema o policy, censire i dispositivi, l'account locale da gestire, le OU coinvolte, gli eventuali deployment Legacy e i gruppi con diritti estesi sugli oggetti computer. Il pilot deve essere separato dal perimetro di produzione e deve prevedere un metodo di recovery alternativo.
L'estensione dello schema è un'operazione unica per la foresta. Va eseguita da un sistema che espone il modulo PowerShell di Windows LAPS e con privilegi adeguati alla modifica dello schema.
Se le password verranno archiviate esclusivamente in Microsoft Entra ID, l'estensione dello schema Active Directory non è necessaria.
Ogni computer gestito deve poter aggiornare i propri attributi LAPS. La delega va assegnata all'OU che contiene gli oggetti computer:
Prima di concedere l'accesso alle password, verificare chi possiede già diritti estesi sull'OU. Un soggetto con Extended Rights può leggere attributi riservati e aggirare il modello di delega previsto:
Delegare poi lettura e reset a gruppi distinti e nominativi:
Principio di minimo privilegio. La possibilità di leggere una password e quella di forzarne la scadenza sono privilegi diversi. Separarli riduce il rischio e migliora la tracciabilità operativa.
Creare una GPO dedicata e collegarla all'OU pilota. Le impostazioni si trovano in:
Computer Configuration > Policies > Administrative Templates > System > LAPS
Le impostazioni minime da definire sono:
- Configure password backup directory. Selezionare Windows Server Active Directory per il deployment on-premises.
- Password Settings. Definire durata, lunghezza e complessità coerenti con il rischio; evitare password corte anche se ruotate frequentemente.
- Enable password encryption. Abilitare la cifratura in Active Directory quando il dominio usa DFL 2016 o superiore.
- ADPasswordEncryptionPrincipal. Indicare il gruppo autorizzato a decifrare la password; in assenza di configurazione il riferimento predefinito è Domain Admins.
- PostAuthenticationActions. Configurare la rotazione dopo l'uso della credenziale amministrativa e valutare le azioni aggiuntive compatibili con l'operatività.
- AdministratorAccountName. Usarlo solo per un account personalizzato già esistente sui sistemi che non supportano la gestione automatica dell'account.
Da Windows 11 24H2 e Windows Server 2025 è disponibile la gestione automatica dell'account locale: Windows LAPS può governare l'account Administrator integrato o creare e gestire un nuovo account personalizzato. Sui sistemi precedenti l'account personalizzato deve esistere prima che LAPS possa gestirne la password.
Windows LAPS elabora periodicamente la policy. Per un test immediato è preferibile avviare il ciclo specifico:
Nel registro Applications and Services Logs > Microsoft > Windows > LAPS > Operational, l'evento 10018 conferma il backup riuscito della password in Active Directory. La diagnostica deve essere completata verificando GPO effettiva, account gestito, ACL dell'OU e raggiungibilità di un Domain Controller scrivibile.
Come configurare Windows LAPS con Entra ID e Intune
Per dispositivi Microsoft Entra joined, Intune è il meccanismo di distribuzione raccomandato. Il flusso è distinto da quello Active Directory e non richiede l'estensione dello schema on-premises.
Abilitare LAPS a livello tenant. In Microsoft Entra admin center aprire Identity > Devices > Overview > Device settings e impostare Enable Local Administrator Password Solution (LAPS) su Yes.
Creare la policy Intune. In Intune admin center usare Endpoint security > Account protection e creare un profilo Local admin password solution (Windows LAPS).
Impostare il repository cloud. Configurare Backup Directory su Microsoft Entra ID e definire durata, lunghezza, complessità e azioni post-autenticazione.
Definire l'account. Gestire l'Administrator integrato oppure un account personalizzato coerente con la versione di Windows e con la modalità automatica disponibile.
Assegnare un gruppo pilota. Verificare applicazione della policy, rotazione, recupero e report prima del rollout generale.
Limitare il recupero. Usare ruoli Entra e RBAC Intune con il minimo privilegio; la lettura della password in chiaro è un'operazione sensibile e deve essere auditabile.
L'evento 10029 indica che il backup verso Microsoft Entra ID è riuscito. Negli scenari ibridi il dispositivo invia la password direttamente a Entra ID tramite la propria identità e una connessione HTTPS: Entra Connect non trasferisce gli attributi LAPS on-premises nel repository cloud.
Per sviluppare competenze operative sul deployment è disponibile il corso Microsoft Intune di Nexsys.
Come recuperare e ruotare una password Windows LAPS
Un amministratore autorizzato può recuperare la password tramite PowerShell oppure dalla scheda Windows LAPS nelle console amministrative supportate. Con PowerShell:
L'uso di -AsPlainText deve essere limitato alle attività che richiedono effettivamente la password in chiaro. Script, trascrizioni PowerShell, ticket e clipboard non devono diventare repository secondari della credenziale.
Dopo un'attività di assistenza, un sospetto incidente o un test, la password può essere ruotata immediatamente dal dispositivo:
In Active Directory è inoltre possibile anticipare la scadenza dell'oggetto computer, purché l'operatore disponga della delega necessaria:
Le password archiviate in Entra ID possono essere recuperate dai portali Microsoft Entra e Intune oppure tramite Microsoft Graph e il cmdlet Get-LapsAADPassword. I ruoli che consentono la lettura in chiaro devono essere ridotti al minimo e sottoposti a revisione periodica.
Migrazione da Microsoft LAPS Legacy a Windows LAPS
La modalità di emulazione consente a Windows LAPS di rispettare temporaneamente alcune policy Legacy, ma conserva i limiti della vecchia soluzione: repository solo Active Directory, password non cifrata e assenza delle funzioni moderne. Deve quindi essere considerata una fase transitoria, non l'architettura finale.
Inventariare GPO Legacy, attributi, OU, gruppi delegati e installazione della CSE AdmPwd sui dispositivi.
Definire repository, account gestito, gruppi di lettura e reset, cifratura e policy Windows LAPS target.
Estendere lo schema con Update-LapsADSchema e configurare le nuove deleghe sulle OU pilota.
Rimuovere la CSE Legacy dai dispositivi pilota prima di applicare la policy Windows LAPS nativa.
Applicare la nuova GPO o policy Intune e verificare la scrittura negli attributi msLAPS-* oppure in Entra ID.
Validare recupero, rotazione, logging e procedure help desk; estendere il rollout per gruppi controllati.
Ritirare GPO e strumenti Legacy quando l'intero perimetro è migrato. Gli elementi Legacy dello schema restano presenti ma non devono più governare il processo.
Configurazione non supportata
La CSE di Microsoft LAPS Legacy e Windows LAPS non devono tentare di gestire contemporaneamente lo stesso account locale. La precedenza delle policy non elimina il rischio di un rollout incoerente.
Best practice di sicurezza per Windows LAPS
Abilitare la cifratura delle password archiviate in Active Directory quando il DFL lo consente.
Usare gruppi dedicati per lettura, decifratura e reset; evitare l'uso quotidiano di Domain Admins.
Controllare con Find-LapsADExtendedRights chi può già leggere attributi riservati sulle OU.
Abilitare la rotazione post-autenticazione per limitare la validità della password dopo l'uso.
Impostare una lunghezza adeguata al rischio e non compensare password corte con la sola rotazione frequente.
Gestire la password DSRM dei Domain Controller, con cifratura e processo di recovery documentato.
Separare policy per workstation, server e Domain Controller quando requisiti e operatori sono differenti.
Usare una sola autorità di configurazione effettiva per dispositivo e rimuovere policy obsolete o conflittuali.
Monitorare eventi di elaborazione, aggiornamento e recupero; integrare i log nel sistema centrale di auditing.
Eseguire test periodici di recupero e rotazione, inclusi dispositivi remoti e sistemi fuori rete per lunghi periodi.
Troubleshooting di Windows LAPS
Il punto di partenza è il log Applications and Services Logs > Microsoft > Windows > LAPS > Operational. Ogni ciclo inizia con l'evento 10003 e termina con 10004; un errore di elaborazione genera 10005. Il backup riuscito usa 10018 per Active Directory e 10029 per Microsoft Entra ID.
| Sintomo | Verifica prioritaria |
|---|---|
| Password assente in AD | Verificare BackupDirectory, applicazione GPO, permesso SELF sull'OU e disponibilità di un DC scrivibile. |
| Accesso negato in lettura | Controllare Set-LapsADReadPasswordPermission, ADPasswordEncryptionPrincipal ed Extended Rights già presenti. |
| Password non visibile in Entra | Verificare abilitazione tenant, join del dispositivo, policy Intune, connettività HTTPS e ruolo dell'operatore. |
| Account non trovato | Controllare il nome configurato; sui sistemi precedenti a Windows 11 24H2 un account personalizzato deve esistere già. |
| Policy inattesa | Esaminare precedenza tra CSP, GPO e configurazioni locali; rimuovere policy Legacy o duplicazioni. |
| Rotazione non immediata | Eseguire Invoke-LapsPolicyProcessing o Reset-LapsPassword e leggere l'intero ciclo eventi. |
| Migrazione incoerente | Verificare la presenza della CSE Legacy e impedire la gestione simultanea dello stesso account. |
La correzione non deve limitarsi al singolo endpoint. Se l'errore deriva da OU, ACL, GPO o ruoli cloud, la stessa condizione può coinvolgere un intero gruppo di dispositivi.
Implementazione Windows LAPS con Nexsys
Un deployment affidabile parte dall'inventario e termina con evidenze verificabili. Nexsys integra Windows LAPS nei progetti di hardening Active Directory e gestione endpoint, includendo:
Analisi di LAPS Legacy, GPO, OU, account locali e versioni Windows.
Progettazione del repository Active Directory o Microsoft Entra ID.
Definizione di gruppi, ACL, cifratura e procedure di recupero.
Pilot controllato e migrazione progressiva dei dispositivi.
Validazione di rotazione, log, deleghe e scenari di assistenza.
Documentazione operativa e trasferimento delle competenze al team IT.
Valuta il deployment
Richiedi un Assessment & Hardening Active Directory per verificare copertura LAPS, deleghe, GPO e percorsi di movimento laterale nel dominio.
Domande frequenti su Windows LAPS
Windows LAPS richiede l'installazione di un MSI?
No. Windows LAPS è integrato nei sistemi Windows supportati e aggiornati. Il pacchetto MSI e la DLL AdmPwd appartengono a Microsoft LAPS Legacy.
È possibile salvare la password sia in Active Directory sia in Entra ID?
No. Ogni dispositivo può usare un solo repository alla volta. La destinazione deve essere compatibile con lo stato di join del dispositivo.
Windows LAPS crea automaticamente l'account amministratore locale?
Da Windows 11 24H2 e Windows Server 2025 la modalità di gestione automatica può governare l'account integrato o creare un account personalizzato. Sui sistemi precedenti un account personalizzato deve già esistere.
Le password Windows LAPS sono cifrate?
In Microsoft Entra ID le password sono protette dal servizio. In Active Directory la cifratura è disponibile e raccomandata con Domain Functional Level Windows Server 2016 o superiore; in caso contrario resta la protezione tramite ACL.
Windows LAPS può gestire la password DSRM dei Domain Controller?
Sì, sui Domain Controller supportati e con password archiviate in Active Directory in forma cifrata. Il backup DSRM in Microsoft Entra ID non è supportato.
Come si migra da Microsoft LAPS Legacy?
La migrazione va eseguita per fasi: inventario, nuovo schema e deleghe, rimozione della CSE Legacy sul gruppo pilota, applicazione della policy Windows LAPS, validazione e progressivo ritiro delle GPO Legacy.
Windows LAPS è gratuito?
La funzionalità Windows LAPS è inclusa nei sistemi Windows supportati. Il backup in Active Directory non richiede una licenza LAPS aggiuntiva; gestione e reporting tramite Intune richiedono invece licenze coerenti con i servizi utilizzati.
Conclusioni
Windows LAPS elimina la dipendenza da password amministrative locali condivise e introduce generazione, archiviazione, delega e rotazione controllate. Il risultato dipende però dalla qualità dell'implementazione: repository corretto, cifratura, ACL, GPO o Intune, account gestito, logging e migrazione Legacy devono comporre un unico disegno.
Per consolidare le competenze su OU, deleghe, GPO e sicurezza del dominio è disponibile il corso Active Directory di Nexsys.