« Changer périodiquement le même mot de passe local sur tous les serveurs suffit. »
Un secret partagé facilite le mouvement latéral. L’objectif est un mot de passe unique, géré, expiré et lisible par un périmètre restreint.
01Observe les cibles LAPS
column -s, -t "$lab/source/laps/local-admin-targets.csv"
column -s, -t "$lab/source/laps/laps-readiness.csv"Les cibles sont des serveurs membres ou d’administration. Le contrôleur de domaine n’est pas traité comme une cible de mot de passe administrateur local.
02Vérifie les prérequis
Le statut READY exige : schéma déclaré prêt, droit d’écriture de l’ordinateur, groupe lecteur dédié, durée et longueur définies, chiffrement et rotation après usage.
Une fixture indiquant un lecteur large, une durée nulle ou un schéma absent est bloquée.
03Ne confonds pas préparation et mutation
Le PowerShell vérifie la disponibilité de Get-LapsADPassword, mais ne lit ni n’affiche le mot de passe. Il ne lance aucune extension automatique du schéma.
.\module4-windows-ad-hardening.ps1 -Action Plan `
-PilotOU 'OU=ServersPilot,OU=SORIA-Lab,DC=soria,DC=lab'Plan ne modifie rien.
04Limite les lecteurs
Le groupe synthétique SORIA-LAPS-Readers possède un propriétaire et une revue périodique. Une appartenance large telle que tous les utilisateurs du domaine n’est pas acceptable.
05Planifie la rotation
La rotation intervient à l’expiration et après usage d’urgence. La preuve attendue sur un vrai lab est un changement d’expiration et une lecture autorisée sans copie du secret dans le dossier de preuve.
06Analyse le test négatif
awk -F, '$1=="NEG-02"' "$lab/output/negative-test-report.csv"La variante combine cible DC, prérequis absents et lecteur trop large. Elle doit être BLOCKED avec la raison laps-invalid-target-or-prerequisite.
07Annonce honnêtement la preuve
Le validateur prouve seulement la cohérence du plan. Sans exécution Windows autorisée, la décision reste WINDOWS_AD_HARDENING_WITH_ACTIONS.
Prépare le dossier LAPS
Documente cibles, compte local, lecteurs, permissions, expiration, chiffrement, rotation, test autorisé et procédure de secours. Ne copie aucun mot de passe.
✓À retenir
Windows LAPS réduit le risque seulement si ses prérequis, permissions, lecteurs et rotations sont gouvernés et vérifiés sans exposer le secret.