Vad är Windows LAPS?

Windows Local Administrator Password Solution (Windows LAPS) är en Windows-funktion som automatiskt hanterar och säkerhetskopierar lösenordet för ett lokalt administratörskonto på dina Microsoft Entra-anslutna eller Windows Server služba Active Directory-anslutna enheter. Du kan också använda Windows LAPS för att hantera och säkerhetskopiera lösenordet till Directory Services Restore Mode (DSRM)-kontot på dina Windows Server služba Active Directory domänkontroller.

Lokala administratörskonton delar ofta samma lösenord över många enheter, vilket illvilliga aktörer kan utnyttja för att flytta sig lateralt i din miljö. Windows LAPS hjälper dig att minska det gapet genom att regelbundet rotera varje enhets lokala administratörslösenord, lagra det säkert och låta auktoriserade administratörer hämta det för att logga in på eller återställa en enhet.

Den här artikeln introducerar de plattformar som Windows LAPS stödjer, dess viktigaste scenarier och fördelar, samt hur den skiljer sig från den äldre Microsoft LAPS-produkten, så att du kan bestämma hur du ska använda Windows LAPS i din miljö.

Plattformar som stöds av Windows LAPS

Windows LAPS är tillgängligt på följande operativsystemplattformar:

Windows-klient

Supporten för Windows 10 upphörde 14 oktober 2025. Windows LAPS är fortfarande tillgängligt endast på Windows 10-enheter som fortsätter att få uppdateringar, till exempel genom programmet Extended Security Updates (ESU). För stödd Windows 10-service och livscykeldatum, se Windows livscykel-FAQ. För nya distributioner, använd Windows 11 eller en stödd version av Windows Server.

Inställningarna för automatisk kontohantering i Windows LAPS konfigurationstjänstleverantör (CSP) kräver Windows 11, version 24H2 eller senare, eller Windows Server 2025 eller senare.

Windows Server

Windows LAPS finns tillgängligt i alla stödda versioner av dessa plattformar, inklusive LTSC-versioner (Longterm Servicing Channel). Att införa Windows LAPS-funktionen ändrar inte de standardiserade Microsoft-produktlivscykelpolicyerna.

Windows LAPS och Microsoft Entra ID

Windows LAPS med Microsoft Entra-ID och Microsoft Intune-support är allmänt tillgängligt från och med den 23 oktober 2023. Mer information finns i Windows Local Administrator Password Solution with Microsoft Entra ID now generally available! och Windows Local Administrator Password Solution in Microsoft Entra ID.

Fördelar med att använda Windows LAPS

Använd Windows LAPS för att regelbundet rotera och hantera lösenord för lokala administratörskonton och få följande fördelar:

  • Skydd mot pass-the-hash- och laterala traverseringsattacker
  • Förbättrad säkerhet för fjärrhjälpsscenarier
  • Möjlighet att logga in på och återställa enheter som annars inte är tillgängliga
  • En finjusterad säkerhetsmodell (åtkomstkontrolllistor och valfri lösenordskryptering) för att säkra lösenord lagrade i Windows Server služba Active Directory
  • Stöd för Microsoft Entra rollbaserade åtkomstkontrollmodell för att säkra lösenord lagrade i Microsoft Entra ID

Informationsvideor om Windows LAPS

Följande videor ger dig mer information om Windows LAPS-funktionen. Eftersom dessa videor inte innehåller textinnehåll, använd de omgivande artiklarna för den auktoritativa Windows LAPS-guiden.

Presentation av Windows Technical Takeoff (november 2022):

Windows Tackling Tech-diskussion (augusti 2023):

Viktiga Windows LAPS-scenarier

Du kan använda Windows LAPS för flera primära scenarier:

  • Säkerhetskopiera lösenord för lokala administratörskonton till Microsoft Entra ID (för Microsoft Entra-anslutna enheter)

  • Säkerhetskopiera lösenord för det lokala administratörskontot till Windows Server služba Active Directory (för Windows Server služba Active Directory-anslutna klienter och servrar)

  • Säkerhetskopiera DSRM-kontolösenord till Windows Server služba Active Directory (för Windows Server služba Active Directory-domänkontrollanter)

  • Säkerhetskopiera lösenord för lokala administratörskonton till Windows Server služba Active Directory genom att använda legacy Microsoft LAPS-emuleringsläge, där den inbyggda Windows LAPS respekterar dina befintliga äldre Microsoft LAPS Group Policy-inställningar under migreringen

I varje scenario kan du använda olika principinställningar.

Förstå begränsningar för enhetsanslutningsstatus

Om en enhet är ansluten till Microsoft Entra ID eller Windows Server služba Active Directory avgör hur du kan använda Windows LAPS.

  • Enheter som endast är anslutna till Microsoft Entra-ID kan endast säkerhetskopiera lösenord till Microsoft Entra-ID.
  • Enheter som endast är anslutna till Windows Server služba Active Directory kan endast säkerhetskopiera lösenord till Windows Server služba Active Directory.
  • Enheter som är hybridanslutningar (anslutna till både Microsoft Entra-ID och Windows Server služba Active Directory) kan säkerhetskopiera sina lösenord antingen till Microsoft Entra-ID eller till Windows Server služba Active Directory.

Du kan inte säkerhetskopiera lösenord till både Microsoft Entra-ID och Windows Server služba Active Directory.

Windows LAPS stöder inte Microsoft Entra-klienter som är anslutna till arbetsplatsen.

Ange Windows LAPS-policy

Om du vill konfigurera och hantera principer för din Windows LAPS-distribution har du flera alternativ:

Hantera och övervaka Windows LAPS

Du har flera alternativ för att hantera och övervaka Windows LAPS.

Alternativ för Windows är:

När du säkerhetskopierar lösenord till Microsoft Entra ID får du Microsoft Entra ID-baserade övervaknings- och rapporteringslösningar.

Utfasning av den äldre Microsoft LAPS-produkten

Important

Den äldre Microsoft LAPS-produkten är inaktuell från och med Windows 11 23H2 och senare. Nyare OS-versioner blockerar installationen av det äldre Microsoft LAPS Microsoft Installer (MSI)-paketet. Microsoft tar inte längre hänsyn till kodändringar för den äldre Microsoft LAPS-produkten.

Använd Windows LAPS för att hantera lösenord för lokala administratörskonton. Windows LAPS är tillgängligt på Windows Server 2019 och senare och på Windows 10- och Windows 11-klienter som stöds.

Microsoft kommer att fortsätta stödja den äldre Microsoft LAPS-produkten på de äldre versionerna av Windows (tidigare än Windows 11 23H2) som tidigare stödde den. Det stödet upphör vid den normala änden av stödet för dessa OS-versioner.

Windows LAPS jämfört med äldre Microsoft LAPS

Windows LAPS ärver många designkoncept från äldre Microsoft LAPS. Om du är bekant med äldre Microsoft LAPS känner du igen många av Windows LAPS-funktionerna. En viktig skillnad är att Windows LAPS är en helt separat implementering som är inbyggd i Windows. Windows LAPS lägger också till många funktioner som inte är tillgängliga i äldre Microsoft LAPS. Du kan använda Windows LAPS för att säkerhetskopiera lösenord till Microsoft Entra-ID, kryptera lösenord i Windows Server služba Active Directory och lagra din lösenordshistorik.

Windows LAPS kräver inte att du installerar äldre Microsoft LAPS. Du kan distribuera och använda alla Windows LAPS-funktioner helt utan att installera eller referera till äldre Microsoft LAPS. För att hjälpa till att migrera en befintlig äldre Microsoft LAPS-installation erbjuder Windows LAPS äldre Microsoft LAPS-emuleringsläge. Kom ihåg att den äldre Microsoft LAPS-produkten är föråldrad på nyare Microsoft OS-versioner. Mer information finns i Utfasning av den äldre Microsoft LAPS-produkten.

Från äldre Microsoft LAPS till inbyggt Windows LAPS

Eftersom den äldre Microsoft LAPS-produkten är föråldrad och nyare Windows-versioner blockerar dess installationsprogram, är det inbyggda Windows LAPS det stödda sättet att hantera lokala administratörslösenord. Native Windows LAPS kräver ingen separat nedladdning eller installation. Det är inbyggt i stödda versioner av Windows och Windows Server, så du behöver inte installera äldre Microsoft LAPS för att ta över det.

För att planera och slutföra flytten på enheter som för närvarande kör äldre Microsoft LAPS, se Migrera till Windows LAPS från äldre LAPS. Den artikeln är den auktoritativa källan för migreringskraven, tillgängliga migreringsalternativ, hur man verifierar att det inbyggda Windows LAPS hanterar dina konton framgångsrikt, och hur man tar bort den äldre Microsoft LAPS-mjukvaran efter övergången.

Äldre Microsoft LAPS-emuleringsläge

Om du inte kan gå direkt till det inbyggda Windows LAPS kan du köra Windows LAPS i äldre Microsoft LAPS-emuleringsläge som ett övergångsalternativ. I detta läge respekterar Windows LAPS dina befintliga äldre Microsoft LAPS Group Policy-inställningar medan du slutför migreringen.

Emuleringsläget har två kritiska förutsättningar:

  • Installera inte den äldre Microsoft LAPS Group Policy klientsidans tillägg (CSE) på den hanterade enheten. Om den äldre CSE finns med, hänvisar Windows LAPS till den och inaktiverar emuleringsläget för att undvika konflikter.
  • Inbyggda Windows LAPS-policyinställningar har företräde. Om du konfigurerar en enhet med både inbyggda Windows LAPS-policyinställningar och äldre Microsoft LAPS-policyinställningar, applicerar Windows LAPS de inbyggda inställningarna och ignorerar de emulerade äldre inställningarna.

Emuleringsläget har säkerhetsbegränsningar. Precis som äldre Microsoft LAPS lagrar den lösenord i Windows Server služba Active Directory endast i klartext, så den kan inte använda lösenordskryptering eller lösenordshistorik i inbyggda Windows LAPS. Behandla emuleringsläget som ett tillfälligt steg och planera att migrera till det inbyggda Windows LAPS för att dra nytta av dess säkerhetsfunktioner. För mer information, se Kom igång med Windows LAPS i äldre Microsoft LAPS-emuleringsläge.

Windows LAPS och äldre Microsoft LAPS stöduttalande

Microsoft släppte den äldre Microsoft LAPS-produkten 2016 på Microsoft Download Center. Windows LAPS levererades som en del av Windows Updates som släpptes den 11 april 2023 för de plattformar som listades i Windows LAPS-stödda plattformar.

Microsoft och dess supportleveransorganisation erbjuder assisterat stöd för både äldre Microsoft LAPS och Windows LAPS, inklusive interoperabilitet mellan de två produkterna. Microsoft avskaffade den äldre Microsoft LAPS-produkten på nyare Microsoft OS-versioner. Mer information finns i Utfasning av den äldre Microsoft LAPS-produkten.

Vi rekommenderar starkt att du redan nu börjar planera för att migrera dina Windows LAPS-kompatibla system från äldre Microsoft LAPS till Windows LAPS-funktionen. Windows LAPS erbjuder många nya säkerhetsfunktioner och förbättrad produktservice.

Rikta frågor om begränsningar och interoperabilitetsfrågor mellan tredjeparts lokala lösenordshanteringsverktyg och Windows LAPS till utvecklaren av tredjepartsapplikationen, inte till Microsoft.

Windows LAPS licenskrav

Funktionen Windows LAPS finns tillgänglig kostnadsfritt på alla stödda Windows-plattformar.

Du kan säkerhetskopiera lösenord till Windows Server služba Active Directory utan några andra licenskrav.

Du kan säkerhetskopiera lösenord till Microsoft Entra-ID med en kostnadsfri eller högre Licens för Microsoft Entra-ID.

Andra funktioner i Microsoft Entra ID eller Microsoft Intune kan ha andra licenskrav.

Lämna feedback om Windows LAPS

Vill du skicka feedback till oss? För att skicka dokumentspecifika frågor, använd feedbacklänkarna längst ner på denna sida.

Du kan också lämna in feedback och andra önskemål på Windows LAPS feedback Tech Community-sida.

Om din feedback är specifik för Microsoft Entra ID- eller Intune-relaterade LAPS-funktionalitet, skicka in feedback via Microsoft Entra feedbackforum.

Om du inte är säker på vart din feedback ska gå skickar du den med något av dessa alternativ.

Relaterat innehåll

  • Uppdaterades senast