Windows服务器的本地管理员密码管理一直是企业运维中的老大难问题。很多公司为了方便，所有服务器都用同一个本地管理员密码，一旦某台机器被攻破，攻击者就能横向移动到整个内网。LAPS（Local Administrator Password Solution）就是微软官方推出的一套解决方案，它能让每台Windows服务器自动生成并定期轮换一个独一无二的本地管理员密码，同时把密码加密存储在Active Directory中，只有授权用户才能查询。说白了，LAPS就是让你不用再手动记密码、改密码，系统自己帮你搞定，而且每台机器的密码都不一样，安全性直接拉满。

为什么必须用LAPS而不是手动管理密码

在没有LAPS之前，大多数运维团队的做法是这样的：设一个统一的本地管理员密码，写在Excel表里或者某个共享文档里，谁要用谁去查。这种方式的风险非常大。第一，密码长期不变，一旦泄露就是永久性威胁。第二，共享文档本身就是攻击面，任何人拿到文档就能登录所有服务器。第三，人员离职后密码没改，后患无穷。LAPS从根本上解决了这三个问题：密码自动轮换、每台机器独立密码、权限可控可审计。微软从Windows Server 2012开始就内置了LAPS功能，不需要额外购买软件，属于原生能力。

LAPS的核心工作原理

LAPS的运作机制其实不复杂，主要涉及三个角色：客户端（Windows服务器本身）、Active Directory域控制器、以及LAPS管理工具。客户端上安装LAPS组件后，会按照策略自动生成一个随机的本地管理员密码，然后把这个密码加密后写入AD中对应计算机对象的属性字段里。密码有过期时间，到期后客户端会自动生成新密码并更新AD。管理员通过LAPS管理界面或者PowerShell，可以查询任意一台授权计算机的当前密码。整个过程不需要人工干预，密码的生成、存储、查询、轮换全部自动化。

部署LAPS之前需要满足的前置条件

在动手部署之前，你需要确认几件事。首先，你的环境必须是Active Directory域环境，LAPS依赖AD来存储密码信息，工作组模式不支持。其次，所有目标服务器需要加入域，并且能够正常与域控制器通信。第三，你需要有域管理员权限或者被委派了足够的权限来扩展AD Schema和配置GPO。第四，建议先在测试环境跑通，再推广到生产环境。很多人跳过测试直接上生产，结果GPO配置有误导致密码没生效，排查起来非常麻烦。

第一步：扩展Active Directory Schema

LAPS需要在AD中新增两个属性字段来存储密码信息，所以第一步是扩展Schema。你需要在域控制器上找到LAPS的安装包，里面有一个扩展Schema的可执行文件或者PowerShell脚本。以较新版本的LAPS为例，你需要运行以下命令来注册Schema扩展：

Import-Module AdmPwd.PS
Register-AdmPwdADSchema

这条命令执行后，AD的Schema里会多出ms-Mcs-AdmPwd和ms-Mcs-AdmPwdExpirationTime两个属性。执行成功后你可以在AD Schema管理工具里验证这两个属性是否存在。如果你的环境有多个域控制器，Schema扩展会自动复制到所有DC，不需要逐个操作。但要注意，执行这一步需要Schema Admins组的成员权限，普通域管理员是不够的。

第二步：在AD中设置计算机对象的权限

Schema扩展完了，接下来要让目标计算机有权限把密码写回AD。这一步很多人会忽略，导致LAPS装了但密码存不进去。你需要对每台要部署LAPS的计算机对象（或者OU级别）设置权限，允许"SELF"写入那两个新增的属性。操作方法是打开AD用户和计算机，找到目标OU，右键属性，切换到安全选项卡，点击高级，添加一个权限条目，主体选择"SELF"，应用到"这个对象和所有后代对象"，勾选"读取所有属性"和"写入所有属性"。如果你不想逐台设置，可以在OU级别统一配置，这样OU下所有计算机自动继承权限。

第三步：部署LAPS客户端组件

LAPS的客户端组件其实就是一个MSI安装包，在较新的Windows Server版本中可能已经内置，但建议还是从微软官方下载最新版本手动安装。安装过程很简单，双击MSI，一路下一步即可。安装完成后，你需要重启服务器让组件生效。安装后系统会自动在本地管理员账户上应用LAPS策略。你可以通过查看本地管理员账户的密码是否变成了一长串随机字符来初步验证是否生效。如果密码还是原来的，说明GPO策略还没下发或者权限没配好。

第四步：配置组策略（GPO）

这是LAPS部署中最关键的一步。你需要创建一个GPO来控制LAPS的行为，包括密码长度、复杂度、过期时间、是否启用等。打开组策略管理控制台，新建一个GPO并链接到包含目标服务器的OU。然后编辑这个GPO，路径是：计算机配置 → 策略 → 管理模板 → LAPS。在这里你可以看到几个核心设置项：

第一个是"Password Settings"（密码设置），里面可以配置密码长度（建议至少12位）、是否包含大小写字母数字特殊字符。第二个是"Password Complexity"（密码复杂度），建议设为"Large letters + small letters + numbers + special characters"。第三个是"Password Expiration Protection"（密码过期保护），这个功能很实用，它会在密码即将过期时阻止系统自动更改本地管理员密码，避免因为密码过期导致服务中断。第四个是"Enable local admin password management"（启用本地管理员密码管理），这个必须设为"Enabled"。

建议的GPO配置参数如下：

密码长度：14位
复杂度：大写+小写+数字+特殊字符
过期时间：30天
过期保护：启用（建议设置为1-2天的缓冲期）
密码管理：启用

配置完GPO后，在目标服务器上运行gpupdate /force强制刷新策略，然后等待一个策略刷新周期（默认90分钟），LAPS就会开始自动生成密码并写入AD。

第五步：安装LAPS管理工具并授权查询权限

LAPS装好了，密码也在自动轮换了，但你还需要一个工具来查看密码。微软提供了LAPS UI工具，是一个MMC管理单元插件，安装后可以在管理工具里打开"LAPS"控制台，直接图形化查询密码。另外，PowerShell模块AdmPwd.PS也提供了命令行查询方式。但无论用哪种方式查询，你都需要被授权。授权是通过在AD中对目标计算机对象设置"读取密码"和"重置密码"权限来实现的。同样在计算机对象的安全属性里添加权限条目，把需要查询密码的用户或组加进去，授予"读取ms-Mcs-AdmPwd"和"写入ms-Mcs-AdmPwd"权限即可。

查询密码的具体操作方法

如果你用图形界面，打开LAPS管理控制台，右键目标计算机，选择"Reset Password"或者"View Password"就能看到当前密码和过期时间。如果你用PowerShell，命令如下：

Import-Module AdmPwd.PS
Get-AdmPwdPassword -ComputerName "Server01"

这条命令会直接返回Server01的本地管理员当前密码。如果你需要强制立即轮换密码，可以用：

Reset-AdmPwdPassword -ComputerName "Server01"

执行后会立即生成新密码并更新到AD中。建议在执行远程密码重置后，稍等几分钟让策略同步，然后再尝试用新密码登录。

LAPS部署中常见的坑和解决办法

实际部署过程中，你大概率会遇到以下几个问题。第一个是密码没有自动生成，最常见的原因是计算机对象没有写入AD的权限，回去检查SELF权限是否配置正确。第二个是GPO没有生效，检查GPO是否链接到了正确的OU，目标服务器是否在这个OU里，以及gpupdate是否执行成功。第三个是查询密码时报错"Access Denied"，这说明查询用户没有被授权读取密码属性，需要在AD中补充权限。第四个是密码过期后服务中断，这是因为有些服务用本地管理员账户运行，密码变了服务就挂了，解决办法是开启"Password Expiration Protection"功能，并确保所有依赖本地管理员的服务都做了相应调整。第五个是多域环境下的问题，如果你有多个域，需要在每个域里都部署LAPS，并且确保跨域查询的权限配置正确。

LAPS的安全加固建议

部署LAPS只是第一步，要真正发挥它的安全价值，还需要做好几件事。第一，严格控制谁能查询密码，不要把权限给太多人，遵循最小权限原则。第二，开启AD审计，对ms-Mcs-AdmPwd属性的读取和写入操作进行日志记录，一旦有人异常查询可以追溯。第三，密码长度建议不低于14位，复杂度拉满，不要为了方便而降低安全标准。第四，过期时间建议设为30天，太短会增加管理负担，太长则降低安全性。第五，定期检查LAPS客户端是否正常运行，可以写一个脚本批量检测所有服务器的LAPS状态，发现异常及时处理。第六，如果你的环境中有无法加入域的服务器（比如某些特殊业务场景），LAPS无法覆盖，需要另外考虑其他方案。

LAPS和其他密码管理方案的对比

市面上除了LAPS，还有一些第三方的特权账号管理工具（PAM），比如CyberArk、BeyondTrust等。这些工具功能更全面，不仅能管本地管理员密码，还能管域管账户、服务账户、数据库账户等各种特权账号。但它们需要额外采购，部署复杂度也更高。LAPS的优势在于免费、原生、轻量，专注解决本地管理员密码这一个痛点，对于中小企业或者只需要解决这一个问题的团队来说，LAPS是性价比最高的选择。如果你的需求不止本地管理员密码，那可以考虑升级到完整的PAM方案，但LAPS作为基础层仍然值得部署。

总结：LAPS是Windows服务器安全的必选项

LAPS不是什么高深的技术，但它解决的是一个非常实际且高频的安全问题。本地管理员密码管理不好，等于给攻击者留了一扇后门。微软把这个功能做成了系统内置组件，不用花钱就能用，部署也不算复杂，只要按步骤做好Schema扩展、权限配置、GPO设置和客户端安装，就能实现密码自动轮换和集中管理。对于任何管理Windows Server域环境的团队来说，LAPS都应该是安全基线的一部分，而不是可选的加分项。现在就动手部署，别等到出了事才后悔。