何謂 Windows LAPS？

Windows 本機管理員密碼解決方案 （Windows LAPS） 是一項 Windows 功能，可自動管理和備份已加入 Microsoft Entra 或已加入 Windows Server Active Directory 的裝置上本機系統管理員帳戶的密碼。 你也可以使用 Windows LAPS 來管理並備份Windows Server Active Directory網域控制器上的目錄服務還原模式（DSRM）帳號密碼。

本地管理員帳戶經常在許多裝置上共用相同的密碼，攻擊者可藉此在您的環境中橫向移動。 Windows LAPS 透過定期更換每台裝置的本地管理員密碼，安全儲存，並讓授權管理員取得密碼登入或恢復裝置，幫助你縮小這個差距。

本文介紹 Windows LAPS 支援的平台、主要情境與優勢，以及它與傳統 Microsoft LAPS 產品的差異，讓你能決定如何在環境中使用 Windows LAPS。

Windows LAPS 支援的平台

Windows LAPS 可在下列 OS 平臺上使用：

Windows 用戶端

Windows 10 已於 2025 年 10 月 14 日終止支援。 Windows LAPS 僅在持續接收更新的 Windows 10 裝置上可用，例如透過擴展安全更新（ESU）計畫。 有關支援的 Windows 10 服務及生命週期日期，請參閱 Windows 生命週期常見問題集。 新部署時，請使用 Windows 11 或支援的 Windows Server 版本。

Windows LAPS 配置服務提供者（CSP）中的自動帳號管理設定需要 Windows 11、24H2 或更新版本，或是 Windows Server 2025 或更新版本。

Windows 伺服器

Windows LAPS 在所有支援的這些平台版本中皆可使用，包括長期服務通道（LTSC）版本。 引入 Windows LAPS 功能並不會修改標準的 Microsoft 產品生命週期政策。

Windows LAPS 和 Microsoft Entra ID

具有 Microsoft Entra ID 和 Microsoft Intune 支援的 Windows LAPS 已於 2023 年 10 月 23 日正式推出。 如需詳細資訊，請參閱 Windows 本機系統管理員密碼解決方案 （Microsoft Entra ID） 現已正式推出！ 和 Microsoft Entra ID 中的 Windows 本機系統管理員密碼解決方案。

使用 Windows LAPS 的好處

使用 Windows LAPS 定期輪替與管理區域系統管理員帳戶密碼，並取得下列好處：

  • 防範雜湊傳遞和橫向遍歷攻擊
  • 改善遠端客服情境的安全性
  • 可登入和復原無法存取的裝置
  • 用於保護儲存在 Windows Server Active Directory 中之密碼的細緻安全模型（存取控制清單及選用的密碼加密）
  • 支援 Microsoft Entra 角色基礎存取控制模型，以保護儲存在 Microsoft Entra ID 中的密碼

Windows LAPS 介紹影片

以下影片將提供更多關於 Windows LAPS 功能的資訊。 由於這些影片不含文字內容，請參考周邊文章以獲得權威的 Windows LAPS 指引。

Windows 技術起飛簡報 (2022 年 11 月)：

Windows 應對科技討論 (2023 年 8 月)：

主要 Windows LAPS 案例

您可以針對多種主要案例使用 Windows LAPS：

  • 將本機系統管理員帳戶密碼備份至 Microsoft Entra ID (適用於已加入 Microsoft Entra 的裝置)

  • 將區域系統管理員帳戶密碼備份至 Windows Server Active Directory (適用於已加入 Windows Server Active Directory 的用戶端與服務)

  • 將 DSRM 帳戶密碼備份至 Windows Server Active Directory (適用於 Windows Server Active Directory 網域控制站)

  • 透過 LEGACY Microsoft LAPS 模擬模式備份本地管理員帳號密碼到 Windows Server Active Directory，該模式中原生 Windows LAPS 在遷移時會尊重你現有的舊有 Microsoft LAPS 群組政策設定

您可以在每個案例中套用不同的原則設定。

理解裝置加入狀態限制

是否將裝置加入 Microsoft Entra ID 或 Windows Server Active Directory 決定了您如何使用 Windows LAPS。

  • 只有加入 Microsoft Entra ID 的裝置能將密碼備份到 Microsoft Entra ID。
  • 僅加入 Windows Server Active Directory 的裝置只可將密碼備份至 Windows Server Active Directory。
  • 混合式聯結的裝置 （同時加入 Microsoft Entra ID 和 Windows Server Active Directory） 可以將其密碼備份至 Microsoft Entra ID 或 Windows Server Active Directory。

您無法將密碼同時備份到 Microsoft Entra ID 和 Windows Server Active Directory。

Windows LAPS 不支援加入 Microsoft Entra 工作場所的用戶端。

設定 Windows LAPS 原則

若要設定和管理 Windows LAPS 部署的原則，您有多種選項：

管理與監視 Windows LAPS

你有多種方式可以管理和監控 Windows LAPS。

適用於 Windows 的選項包括：

當你備份 Microsoft Entra ID 的密碼時，你會得到基於 Microsoft Entra ID 的監控與報告解決方案。

不建議使用舊版 Microsoft LAPS 產品

Important

舊版 Microsoft LAPS 產品已從 Windows 11 23H2 及更新版本開始棄用。 較新的作業系統版本會阻擋舊有的 Microsoft LAPS Microsoft 安裝程式（MSI）套件的安裝。 Microsoft 不再考慮對舊有的 Microsoft LAPS 產品進行程式碼變更。

使用 Windows LAPS 來管理本地管理員帳號密碼。 Windows LAPS 可在 Windows Server 2019 和更新版本，以及支援的 Windows 10 和 Windows 11 用戶端上使用。

Microsoft 將繼續在先前支援舊版 Windows（早於 Windows 11 23H2）上支援舊版 Microsoft LAPS 產品。 該支援將在這些作業系統版本的正常支援終止時結束。

Windows LAPS 與舊版 Microsoft LAPS 的比較

Windows LAPS 繼承了舊版 Microsoft LAPS 的許多設計概念。 如果你熟悉舊有的 Microsoft LAPS 系統，你會認出許多 Windows LAPS 的功能。 主要差異在於 Windows LAPS 是 Windows 原生的完全個別實作。 Windows LAPS 還新增了許多舊版 Microsoft LAPS 中沒有提供的功能。 您可以使用 Windows LAPS 將密碼備份至 Microsoft Entra ID、加密 Windows Server Active Directory 中的密碼，以及儲存密碼歷程記錄。

Windows LAPS 不需要您安裝舊版 Microsoft LAPS。 您可以完全部署及使用所有 Windows LAPS 功能，而不需安裝或參考舊版 Microsoft LAPS。 為了協助遷移現有的 Microsoft LAPS 部署，Windows LAPS 提供舊有的 Microsoft LAPS 模擬模式。 請記得，舊有的 Microsoft LAPS 產品在較新的 Microsoft 作業系統版本中已被棄用。 如需詳細資訊，請參閱舊 版 Microsoft LAPS 產品的淘汰。

從傳統的 Microsoft LAPS 到原生的 Windows LAPS

由於舊有的 Microsoft LAPS 產品已被棄用，且較新的 Windows 版本封鎖其安裝程式，原生 Windows LAPS 成為管理本地管理員密碼的支援方式。 原生 Windows LAPS 不需要另外的下載或安裝。 它內建在支援的 Windows 和 Windows Server 版本中，所以你不需要安裝舊版 Microsoft LAPS 就能採用它。

若要規劃並完成目前運行舊有 Microsoft LAPS 的裝置遷移，請參見「從舊有 LAPS 遷移至 Windows LAPS」。 該文章是關於遷移前置條件、可用遷移選項、如何驗證原生 Windows LAPS 是否能成功管理帳號，以及如何在轉換後移除舊有 Microsoft LAPS 軟體的權威來源。

Microsoft LAPS 舊版模擬模式

如果你無法直接切換到原生 Windows LAPS，你可以在舊有的 Microsoft LAPS 模擬模式下執行 Windows LAPS 作為過渡選項。 在此模式下，Windows LAPS 會保留您現有的 Microsoft LAPS 群組政策設定，直到您完成遷移程序。

模擬模式有兩個關鍵前提：

  • 不要在受管理裝置上安裝舊有的 Microsoft LAPS 群組政策客戶端擴充功能（CSE）。 如果系統中存在舊版 CSE，Windows LAPS 會優先採用它，並停用模擬模式以避免衝突。
  • 原生 Windows LAPS 政策設定優先。 如果你同時設定裝置採用 Windows 原生 LAPS 政策設定和舊版 Microsoft LAPS 政策設定，Windows LAPS 會套用原生設定，忽略模擬的舊有設定。

模擬模式有安全限制。 與傳統Microsoft LAPS 類似，它僅以明文形式儲存密碼Windows Server Active Directory，因此無法使用原生 Windows LAPS 的密碼加密或密碼歷史功能。 將模擬模式視為暫時步驟，並計劃遷移至原生 Windows LAPS 以利用其安全功能。 欲了解更多資訊，請參閱「以舊版 Microsoft LAPS 模擬模式開始使用 Windows LAPS」。

Windows LAPS 與舊版 Microsoft LAPS 支援聲明

Microsoft 於 2016 年在 Microsoft 下載中心 發布了舊有的 Microsoft LAPS 產品。 Windows LAPS 於 2023 年 4 月 11 日隨 Windows 更新發佈，適用於 Windows LAPS 支援平台所列的平台。

Microsoft 及其支援服務團隊為舊版 Microsoft LAPS 和 Windows LAPS 提供協助式支援，包括這兩項產品之間的互通性支援。 Microsoft 在較新的 Microsoft 作業系統版本上棄用了舊有的 Microsoft LAPS 產品。 如需詳細資訊，請參閱舊 版 Microsoft LAPS 產品的淘汰。

我們強烈建議您現在就開始規劃，將支援 Windows LAPS 的系統從舊有的 Microsoft LAPS 遷移到 Windows LAPS 功能。 Windows LAPS 提供許多新的安全性功能和改進的產品服務。

關於第三方本地帳號密碼管理工具與 Windows LAPS 之間限制與互通性疑慮的問題，直接詢問第三方應用程式的開發者，而非 Microsoft。

Windows LAPS 授權要求

Windows LAPS 功能在所有支援的 Windows 平台上皆免費提供。

您可以將密碼備份到 Windows Server Active Directory，無需其他授權需求。

您可以使用 Microsoft Entra ID 免費或更高的授權，將密碼備份至 Microsoft Entra ID。

其他 Microsoft Entra ID 或 Microsoft Intune 功能可能有其他授權要求。

提交關於 Windows LAPS 的回饋

是否要傳送意見反應給我們？ 若要提交文件相關問題，請使用本頁底部的回饋連結。

你也可以在 Windows LAPS 回饋技術社群頁面提交回饋和其他請求。

如果您的回饋針對 Microsoft Entra ID 或 Intune 相關 LAPS 功能，請透過 Microsoft Entra 回饋論壇提交回饋。

如果您不確定意見反應應該放在哪裡，請使用這些任一選項提交意見反應。

相關內容

  • 上次更新時間：