Windows LAPS Geçişi: Yerel Yönetici Parolalarını Yönetmek

İmajla dağıtılmış bilgisayarlarda yerel Administrator parolası genelde her makinede aynıdır. Saldırgan tek bir cihazdan aldığı parola özetiyle bütün filoda dolaşır. Windows LAPS, her cihazın yerel yönetici parolasını cihaza özgü üretir, düzenli döndürür ve Active Directory’de ya da Microsoft Entra ID’de korumalı biçimde saklar. Aşağıda eski Microsoft LAPS’tan geçiş ya da sıfırdan kurulum için depo seçimini, şema ve izin adımlarını, GPO/Intune ayarlarını ve geçişte en çok düşülen tuzakları anlatıyoruz.

Ortak yerel yönetici parolasının riski

Yerel hesapların kimlik doğrulaması etki alanı denetleyicisine gitmez; parola özeti makinenin SAM veritabanında durur. Bir iş istasyonunda yönetici yetkisi kazanan saldırgan bu özeti okur. Aynı parola başka makinelerde de kullanılıyorsa özeti kırmaya bile gerek yoktur: pass-the-hash ile diğer makinelerde oturum açmak için yeterlidir. Tek bir kimlik avı e-postasıyla başlayan olay böylece bütün iş istasyonlarına ve aynı parolayı paylaşan sunuculara yayılır. Parola aynıysa sınır yoktur.

LAPS’ın çözdüğü sorun budur: her cihaz kendi parolasını üretir, belirlenen sürede değiştirir ve yalnız yetkili grupların okuyabileceği bir yere yazar. Active Directory tier modeli içinde Tier 2 ile Tier 1 arasındaki yatay hareketi kesen temel kontrollerden biridir.

Legacy LAPS ile Windows LAPS farkı

Eski Microsoft LAPS, ayrı bir MSI ile kurulan bir Group Policy istemci uzantısıdır (CSE). Windows LAPS ise Nisan 2023 güncellemeleriyle Windows 10, Windows 11, Windows Server 2019 ve 2022’ye eklenmiş, Windows Server 2025’te yerleşik gelen bir özelliktir. Desteklenen sürümlerin güncel listesini Microsoft dokümantasyonundan doğrulayın.

Özellik	Legacy Microsoft LAPS	Windows LAPS
Kurulum	Ayrı MSI ve CSE	İşletim sisteminde yerleşik
Depo	Yalnız AD	AD veya Entra ID
AD’de saklama	Düz metin, gizli öznitelik	Şifreli (DFL 2016+) veya düz metin
Parola geçmişi	Yok	Var (şifreleme açıkken)
DSRM parolası	Yönetilmez	Yönetilir (AD, şifreli)
Kullanım sonrası eylem	Yok	Parolayı döndür, oturumu kapat, yeniden başlat
Yönetim araçları	AdmPwd.PS modülü	LAPS PowerShell modülü, Intune

Legacy LAPS parolayı ms-Mcs-AdmPwd özniteliğinde düz metin tutar. Özniteliğin “confidential” işaretli olması okumayı “All Extended Rights” hakkı olanlarla sınırlar; ama sahada bu hakkın OU’larda geniş gruplara dağıtılmış olduğunu sık görüyoruz. Windows LAPS’ın şifreli modunda parola msLAPS-EncryptedPassword özniteliğinde tutulur; okumak için hem öznitelik izni hem de şifre çözme yetkisi olan grupta bulunmak gerekir.

Parola deposu: AD mi, Entra ID mi

Bir cihaz parolasını tek bir depoya yedekler; seçim BackupDirectory ayarıyla yapılır (AD veya Entra ID). Karar, cihazın kimlik durumuna ve parolaya kimin, hangi koşulda ihtiyaç duyacağına göre verilir.

• Yalnız Entra ID’ye katılmış cihazlar: Depo Entra ID’dir. Parolalar Entra yönetim merkezinden veya Intune’dan, ilgili izne sahip rollerce okunur.
• Hibrit katılmış cihazlar: İki seçenek de mümkün. Şirket içi destek ekibi ve sunucular için AD; çoğunlukla uzaktan çalışan ve Intune ile yönetilen dizüstüler için Entra ID tercih edilebilir. Aynı cihazda iki depo birlikte kullanılamaz.
• Sunucular ve etki alanı denetleyicileri: AD önerilir. DSRM parolası yalnız AD’ye ve yalnız şifreleme açıkken yedeklenir.

Entra ID deposu için önce Entra yönetim merkezinde Devices > Device settings altındaki Microsoft Entra LAPS ayarını açın. Kapalıysa cihazın yedekleme denemesi başarısız olur; olay günlüğünde hata görürsünüz ama portalda parola görünmez. İlk bakılacak yer burasıdır.

Şema güncellemesi ve izinler (PowerShell)

AD deposu için şema bir kez genişletilir, sonra her hedef OU için izin verilir. Komutlar Windows LAPS ile gelen LAPS PowerShell modülündedir. Şema güncellemesi Schema Admins üyeliği ister.

Import-Module LAPS

# 1. Şemaya Windows LAPS özniteliklerini ekle (orman başına bir kez)
Update-LapsADSchema -Verbose

# 2. Bilgisayarların kendi parolalarını yazabilmesi için izin
Set-LapsADComputerSelfPermission -Identity "OU=Istasyonlar,DC=corp,DC=local"

# 3. Parola okuma ve sıfırlama yetkisi (yalnız ilgili gruplara)
Set-LapsADReadPasswordPermission -Identity "OU=Istasyonlar,DC=corp,DC=local" `
    -AllowedPrincipals "CORP\T2-LAPS-Destek"
Set-LapsADResetPasswordPermission -Identity "OU=Istasyonlar,DC=corp,DC=local" `
    -AllowedPrincipals "CORP\T2-LAPS-Destek"

# 4. OU üzerinde genişletilmiş hakkı olanları denetle
Find-LapsADExtendedRights -Identity "OU=Istasyonlar,DC=corp,DC=local"

İzinleri tier yapısına göre ayırın: iş istasyonu OU’sunda Tier 2 destek grubu, sunucu OU’larında Tier 1 grubu okuma yetkisi taşır. Sunucu parolalarını okuyabilen bir yardım masası grubu, tier ayrımını LAPS üzerinden deler. Şifreli modda parolayı kimin çözebileceği ayrıca ADPasswordEncryptionPrincipal ayarıyla belirlenir; varsayılan değer Domain Admins grubudur, OU bazında farklı gruplar tanımlanabilir.

GPO ve Intune ile politika yapılandırması

Şirket içi yönetimde ayarlar Computer Configuration > Policies > Administrative Templates > System > LAPS altındadır. Intune’da aynı ayarlar Endpoint security > Account protection altında “Local admin password solution (Windows LAPS)” profiliyle verilir. Aynı cihaza hem GPO hem Intune politikası gelmemeli; iki kaynak çakışırsa hangi ayarın kazandığını tahmin etmeye çalışırsınız.

Ayar	Önerilen değer	Not
Configure password backup directory	Active Directory veya Entra ID	Cihaz başına tek depo
Password Settings	Uzunluk 14+, karmaşık; yaş 30 gün	Entra deposunda yaş en az 7 gün
Name of administrator account to manage	Özel hesap kullanılıyorsa adı	Boşsa yerleşik Administrator yönetilir
Enable password encryption	Etkin	DFL 2016 gerektirir
Configure size of encrypted password history	Birkaç kayıt	Yedekten dönüşte eski parola için
Post-authentication actions	Parolayı döndür ve oturumu kapat	Gecikme saat cinsinden ayarlanır
Enable password backup for DSRM accounts	DC’lerde etkin	Yalnız AD, şifreleme açıkken

Windows LAPS, yönetilecek özel bir hesabı varsayılan olarak oluşturmaz; hesabın başka bir yolla (GPO tercihleri, Intune veya betik) önceden açılmış olması gerekir. Yeni Windows sürümlerinde hesabı LAPS’ın kendisinin yönettiği otomatik hesap yönetimi seçenekleri de var; kullanmadan önce hedef işletim sistemi sürümünüzde desteklendiğini doğrulayın.

Politika uygulandıktan sonra cihazda doğrulama:

# Politikayı hemen işle ve sonucu olay günlüğünde izle
Invoke-LapsPolicyProcessing
Get-WinEvent -LogName "Microsoft-Windows-LAPS/Operational" -MaxEvents 20 |
    Select-Object TimeCreated, Id, Message

# Yetkili bir yönetim istasyonundan parolayı oku (AD deposu)
Get-LapsADPassword -Identity "PC-0142" -AsPlainText

# Entra ID deposu (Microsoft Graph oturumu gerekir)
Connect-MgGraph -Scopes "Device.Read.All","DeviceLocalCredential.Read.All"
Get-LapsAADPassword -DeviceIds "PC-0142" -IncludePasswords -AsPlainText

Sorun gidermede Get-LapsDiagnostics ayrıntılı günlük toplayıp bir arşiv dosyası üretir. Destek kaydına bu arşivi eklemek, “parola görünmüyor” şikâyetini tahminden kurtarır.

Parola okuma yetkisinin denetimi

LAPS’ın kurumsal siber güvenlik açısından değeri, parolayı kimin okuduğunu bildiğinizde tamamlanır. AD deposunda okuma işlemlerini denetlemek için OU üzerine SACL eklenir:

Set-LapsADAuditing -Identity "OU=Istasyonlar,DC=corp,DC=local" `
    -AuditedPrincipals "Everyone" -AuditType Success

Bu SACL’in olay üretmesi için etki alanı denetleyicilerinde “Audit Directory Service Access” alt kategorisi açık olmalıdır; okumalar DC güvenlik günlüğünde 4662 olayı olarak görünür ve SIEM’e aktarılmalıdır. Entra ID deposunda parola görüntülemeleri Entra denetim günlüğüne yazılır. İki tarafta da beklenen davranış aynı: her okuma bir destek kaydıyla eşleşir, okuma sonrası parola post-authentication action ile otomatik döner. Kaydı olmayan okuma, soruşturma konusudur.

Parolanın elle döndürülmesi gerektiğinde cihazda Reset-LapsPassword çalıştırılır; AD deposunda Set-LapsADPasswordExpirationTime ile bir sonraki politika döngüsünde döndürme zorlanabilir.

Geçişte sahada sık görülen hatalar

Legacy LAPS’tan geçişte tek değişmez kural şudur: İki çözüm aynı hesabı aynı anda yönetmemelidir. İkisi aynı hesabı farklı zamanlarda değiştirirse AD’de kayıtlı parola gerçek parolayla uyuşmaz ve destek ekibi kilitli bir makinenin başında kalır. Önerilen sıra:

1. Şemayı güncelleyin, Windows LAPS izinlerini pilot OU’da verin.
2. Pilot cihazlarda Windows LAPS politikasını uygulayın; mümkünse farklı bir yerel hesabı yöneterek başlayın ya da legacy politikayı aynı anda kaldırın.
3. Parolaların yeni öznitelikte göründüğünü ve yetkili grubun okuyabildiğini doğrulayın.
4. Legacy GPO’yu, ardından eski CSE’yi kaldırın; eski ms-Mcs-AdmPwd değerlerinin okuma izinlerini daraltın.
5. Yaygınlaştırmayı OU bazında dalgalar halinde yapın.

Diğer sık hatalar:

• Bilgisayar nesnelerini taşırken izinleri yalnız eski OU’da bırakmak; cihaz yeni OU’da parolasını yazamaz.
• Okuma iznini Domain Users veya geniş destek gruplarına vermek; Find-LapsADExtendedRights çıktısını hiç incelememek.
• Yedekten geri yüklenen bir cihazda güncel parola yerine geçmişteki parolanın geçerli olduğunu unutmak; parola geçmişi tam bu durum için tutulur.
• DSRM parolasını yönetmeye başlayıp bunu AD felaket kurtarma prosedürüne yazmamak.

DSRM parolası bir forest kurtarma senaryosunda belirleyici olur; süreç fidye saldırısı sonrası AD forest kurtarma yazısında, DSRM ile geri yükleme adımları Active Directory yedekleme ve geri yükleme rehberinde anlatılıyor. LAPS’ı diğer AD kontrolleriyle birlikte değerlendirmek için Active Directory güvenlik kontrolleri yazısına bakın. Tüm ayarların resmi açıklaması Microsoft’un Windows LAPS dokümantasyonundadır. Mevcut yapının değerlendirilmesi için Active Directory güvenlik denetimi, uç nokta ve sunucu yapılandırması için sistem ve sunucu sıkılaştırma hizmetlerimizi inceleyebilirsiniz.

Sık sorulan sorular

Windows LAPS için ayrı bir yazılım kurmak gerekir mi?

Hayır. Windows LAPS, Nisan 2023 güncellemelerinden itibaren desteklenen Windows istemci ve sunucu sürümlerinde işletim sisteminin parçasıdır. AD deposu için şema güncellemesi ve OU izinleri, Entra ID deposu için Entra yönetim merkezinde LAPS ayarının açılması yeterlidir.

Windows LAPS ve legacy LAPS aynı anda çalışabilir mi?

Geçiş sürecinde aynı ortamda bulunabilirler, ama aynı yerel hesabı aynı anda yönetmemeleri gerekir. Aksi halde iki çözüm parolayı farklı zamanlarda değiştirir ve dizindeki parola gerçek parolayla uyuşmaz. Geçişte ya farklı bir hesap yönetilir ya da legacy politika kaldırılıp cihaz Windows LAPS’a devredilir.

Parola şifrelemesi için hangi etki alanı işlevsellik düzeyi gerekir?

AD’de saklanan Windows LAPS parolalarının şifrelenmesi, parola geçmişi ve DSRM parolası yedeklemesi için etki alanı işlevsellik düzeyi en az Windows Server 2016 olmalıdır. Daha düşük düzeyde Windows LAPS parolayı düz metin saklayabilir, ama bu özellikler kullanılamaz.

LAPS parolasının kim tarafından okunduğu nasıl izlenir?

AD deposunda Set-LapsADAuditing ile OU üzerine denetim kaydı eklenir ve etki alanı denetleyicilerinde Directory Service Access denetimi açılır; okumalar 4662 olayı olarak görünür. Entra ID deposunda parola görüntülemeleri Entra denetim günlüğüne yazılır. İki kaynak da SIEM’e aktarılıp destek kayıtlarıyla eşleştirilmelidir.