Как работает система безопасности LAPS на Windows серверах?

Система безопасности LAPS (Local Administrator Password Solution) на Windows серверах работает путём автоматической ротации паролей локальных администраторов. softcomputers.org

Принцип работы: клиентский компонент LAPS, встроенный в современные версии Windows, периодически (согласно настройкам GPO) меняет пароль локального администратора и записывает новый пароль и время его истечения в Active Directory (AD). softcomputers.org

Система состоит из следующих компонентов: habr.com

• Агент — расширение групповой политики, которое устанавливается на все управляемые ПК через MSI. habr.com Отвечает за генерацию пароля и сохранении его в соответствующем объекте AD. habr.com
• Модуль PowerShell — используется для настройки LAPS. habr.com
• Active Directory — хранит пароль локального администратора. habr.com

Агент вызывается при каждом обновлении групповой политики и выполняет следующие задачи: habr.com

• Проверяет, не истёк ли срок действия пароля локального администратора. habr.com
• Генерирует новый пароль, если текущий истёк или требуется его замена до истечении срока действия. habr.com
• Меняет пароль локального администратора. habr.com
• Сохраняет пароль в соответствующем атрибуте объекта AD. habr.com
• Сохраняет срок действия пароля в соответствующем атрибуте объекта AD. habr.com

Доступ: только авторизованные пользователи или группы (обычно ИТ-администраторы или служба поддержки) могут просматривать пароль через оснастку «Пользователи и компьютеры Active Directory» или PowerShell. softcomputers.org