Windows LAPS, etki alanına katılmış Windows cihazlarında yerel yönetici hesabı parolasını cihaz bazında yönetmek, düzenli olarak döndürmek ve yetkili yöneticiler için güvenli biçimde Active Directory üzerinde saklamak amacıyla kullanılan Microsoft çözümüdür. Bu rehberde on-premises Active Directory ortamı için şema hazırlığı, OU izinleri, Group Policy yapılandırması, PowerShell doğrulaması ve temel troubleshooting adımlarını uygulayacağız.
Amaç ve Kapsam
Bu senaryonun amacı, aynı yerel yönetici parolasının birden fazla cihazda kullanılmasını önlemek ve parola görüntüleme yetkisini merkezi olarak sınırlandırmaktır. Rehber özellikle Windows Server Active Directory üzerinde Windows LAPS dağıtımına odaklanır.
Ön Koşullar
- Windows LAPS destekleyen güncel Windows istemci veya Windows Server sürümleri
- Active Directory Domain Services ortamı
- Group Policy Management erişimi
- Şema güncellemesi ve OU izinlerini yapılandırabilecek yetki
- Windows LAPS PowerShell modülünün kullanılabildiği yönetim sistemi
Not: Üretim ortamında doğrudan tüm cihazlara geçmek yerine önce sınırlı bir pilot OU üzerinde doğrulama yapmak daha güvenlidir.
Windows LAPS ve Legacy LAPS Arasındaki Fark
Windows LAPS, Microsoft’un güncel LAPS uygulamasıdır ve modern Windows sürümlerinde işletim sistemiyle bütünleşik olarak çalışır. Eski Microsoft LAPS ürünü ise ayrı MSI kurulumu ve legacy şema öznitelikleri kullanır. Yeni kurulumlarda mümkün olduğunca Windows LAPS tercih edilmelidir.
1. Active Directory Şemasını Hazırlama
Windows LAPS’i Active Directory üzerinde kullanmadan önce gerekli LAPS şema özniteliklerini ekleyin. Bu işlem forest genelinde bir kez yapılır.
Update-LapsADSchema -VerboseKomut tamamlandıktan sonra Windows LAPS için gerekli şema öznitelikleri Active Directory’ye eklenir.
2. Yönetilen Cihazlara OU Üzerinde Yazma Yetkisi Verme
Bilgisayar hesaplarının kendi LAPS verilerini bulunduğu OU üzerinde güncelleyebilmesi gerekir. Örnek:
Set-LapsADComputerSelfPermission -Identity "OU=Workstations,DC=domain,DC=local"Buradaki distinguished name değerini kendi OU yapınıza göre değiştirin.
3. Parola Okuma Yetkisini Sınırlandırma
LAPS parolalarını okuyabilecek kullanıcı veya grupları mümkün olduğunca dar tutun. Ayrı bir yetki grubu kullanmak, geniş ayrıcalıklı gruplara bağımlılığı azaltır.
Set-LapsADReadPasswordPermission -Identity "OU=Workstations,DC=domain,DC=local" -AllowedPrincipals "CONTOSOLAPS-Password-Readers"Yetkilendirme sonrasında hangi principal’ların extended rights sahibi olduğunu ayrıca kontrol etmek iyi bir güvenlik adımıdır.
4. Windows LAPS Group Policy Yapılandırması
Yeni veya mevcut bir GPO üzerinden şu yolu açın:
Computer Configuration > Administrative Templates > System > LAPSTemel yapılandırmada en azından aşağıdaki ayarları değerlendirin:
- Configure password backup directory: Active Directory
- Password Settings: parola uzunluğu, karmaşıklığı ve yaş politikası
- Name of administrator account to manage: varsayılan hesap dışında özel bir yerel yönetici hesabı kullanılıyorsa tanımlayın
- Enable password encryption: Active Directory senaryonuz destekliyorsa etkinleştirin
- ADPasswordEncryptionPrincipal: şifrelenmiş parolayı çözebilecek principal’ı açıkça belirleyin
GPO’yu önce pilot OU’ya bağlayın. Politikanın doğru uygulandığını gördükten sonra kapsamı genişletin.
5. İstemci Tarafında Politikayı Uygulama
Test cihazında Group Policy’yi yenileyin:
gpupdate /forceWindows LAPS işlemeyi beklemek yerine gerektiğinde politika işleme sürecini PowerShell üzerinden de tetikleyebilirsiniz:
Invoke-LapsPolicyProcessing6. LAPS Parolasını PowerShell ile Doğrulama
Yetkili bir yönetim oturumundan belirli bir bilgisayar için LAPS verisini sorgulayın:
Get-LapsADPassword -Identity "PC01" -AsPlainText-AsPlainText parametresini yalnızca gerçekten gerektiğinde ve yetkili yönetim oturumlarında kullanın.
7. Parolayı Anında Döndürme
Bir cihazda mevcut yönetilen yerel hesap parolasını acil olarak değiştirmek gerekiyorsa Reset-LapsPassword kullanılabilir:
Reset-LapsPasswordBu komut yerel cihazdaki Windows LAPS işlemine anında parola rotasyonu yaptırır. Normal operasyon için sürekli kullanılmamalı; güvenlik olayı veya kontrollü test gibi özel durumlarda tercih edilmelidir.
Doğrulama
Dağıtımın başarılı olduğunu yalnızca GPO’nun gelmiş olmasına bakarak değerlendirmeyin. Aşağıdaki kontrolleri birlikte yapın:
- İstemcinin hedef GPO’yu aldığını doğrulayın.
- Windows LAPS olay günlüklerini kontrol edin.
- Bilgisayar hesabında LAPS verisinin oluştuğunu doğrulayın.
- Yetkili grup ile parola okunabildiğini, yetkisiz hesapla okunamadığını test edin.
- Parola rotasyonu sonrasında değerin güncellendiğini kontrol edin.
Sık Karşılaşılan Sorunlar ve Troubleshooting
Şema güncellendi ancak parola oluşmuyor
İlk olarak cihazın doğru OU’da olduğundan, ilgili GPO’nun gerçekten uygulandığından ve bilgisayar hesabının OU üzerinde gerekli self-permission yetkisine sahip olduğundan emin olun.
Get-LapsADPassword erişim hatası veriyor
Parola sorgulayan hesabın ilgili OU üzerinde okuma yetkisini kontrol edin. Şifreli parola kullanılıyorsa yalnızca okuma izni yeterli olmayabilir; parola çözme principal’ı da doğru tanımlanmış olmalıdır.
Politika geliyor fakat değişiklik hemen görünmüyor
gpupdate /force sonrasında Invoke-LapsPolicyProcessing çalıştırın ve Windows LAPS event log kayıtlarını inceleyin.
Legacy LAPS ile karışıklık yaşanıyor
Legacy Microsoft LAPS ile Windows LAPS farklı şema öznitelikleri ve yönetim bileşenleri kullanır. Migration senaryosunda hangi istemcilerin hangi LAPS modelini kullandığını netleştirmeden eski ve yeni politikaları birlikte dağıtmayın.
Güvenlik ve Best Practice
- LAPS parola okuma yetkisini ayrı ve sınırlı bir güvenlik grubuna verin.
- Yetkiyi doğrudan geniş yönetici gruplarına dağıtmak yerine least privilege yaklaşımı kullanın.
- Parola şifrelemeyi destekleyen AD senaryolarında encryption kullanın.
- LAPS olay günlüklerini ve parola okuma işlemlerini denetlenebilir hale getirin.
- İlk dağıtımı pilot OU üzerinde yapın.
- Yerel yönetici hesabının gerçekten hangi hesap olduğunu standartlaştırın.
- Şema ve OU izin değişikliklerini değişiklik yönetimi kapsamında dokümante edin.
Sonuç
Windows LAPS, yerel yönetici parolalarının cihaz bazında benzersiz hale getirilmesi ve merkezi olarak yönetilmesi için Active Directory ortamlarında temel güvenlik kontrollerinden biridir. Sağlıklı bir dağıtım için yalnızca GPO oluşturmak yeterli değildir; şema hazırlığı, OU izinları, parola okuma yetkileri, doğrulama ve olay günlükleri birlikte ele alınmalıdır.
İlgili Rehberler
- Group Policy Nedir?
- Windows LAPS Configuration Guide: Intune + GPO + Entra ID
- Windows Server 2025 Yenilikleri
- Microsoft Learn: Windows LAPS Overview
- Microsoft Learn: Windows LAPS with Active Directory
Active Directory Troubleshooting Bağlantıları
Yetkilendirme ve Güvenlik Kontrolü
Windows LAPS şema güncellemesi forest genelini etkiler; yetki ve değişiklik planı gerektirir. Örnek OU ve grup adları kendi test ortamınıza uyarlanmalıdır. AD’ye şifrelenmiş parola yedeklemede uygun domain functional level, parola çözme yetkilisi ve genişletilmiş AD hakları ayrıca doğrulanmalıdır. Get-LapsADPassword -AsPlainText çıktısını loglara, ekran görüntülerine veya genel erişimli dosyalara kaydetmeyin. İstemcinin destek durumu ve LAPS event logları doğrulanmadan üretim OU’suna yaygınlaştırmayın.
Intune/Entra ID odaklı senaryolar için Windows LAPS Intune ve Entra ID rehberi.
