Windows LAPS 最新版无需单独安装客户端，通过系统内置功能和AD架构扩展启用，核心步骤为架构准备、权限委派、策略设定，需确保域功能级别≥2016、域控制器装有2023年4月后更新、客户端系统兼容，并严格按最小权限委派密码读取权。
windows laps 最新版（原生集成版）已无需单独安装客户端，直接通过系统内置功能和ad架构扩展即可启用。配置核心围绕架构准备、权限委派、策略设定三步展开，关键在于确保域环境满足最低要求并严格控制密码读取权限。
确认环境兼容性与前置条件
部署前必须验证以下几点，缺一不可：
- 域功能级别 ≥ Windows Server 2016（不支持 2012 R2 或更低版本）
- 所有域控制器已安装 2023年4月或之后的安全更新（LAPS 功能自该补丁起内置于系统）
- 客户端为 Windows 10 20H2+、Windows 11 21H2+ 或 Windows Server 2019/2022+；Win11 23H2 及更新版本完全免客户端安装
- 目标计算机对象需已存在于 AD 中，且本地管理员账户（如 Administrator）已启用（LAPS 不创建账号，只管理指定账号的密码）
执行AD架构扩展
在架构主机（Schema Master）上以 Schema Admins 组成员身份运行 PowerShell：
- Import-Module LAPS
- Update-LapsADSchema -Verbose
成功后，使用 ADSI Edit 连接 Schema 命名上下文，确认新增两个属性：msLAPS-Password 和 msLAPS-PasswordExpirationTime（注意：新版属性名已从旧版 ms-Mcs-AdmPwd 更改为 msLAPS- 前缀）。
配置细粒度访问权限
避免将密码读取权直接赋予 Domain Admins，按最小权限原则委派：
- 为 OU 内计算机对象授权“自更新”权限（允许它们写入自己的密码属性）：
Set-LapsADComputerSelfPermission -Identity "OU=Workstations,DC=contoso,DC=com" - 为 Helpdesk 等支持组授予读取权限：
$group = Get-ADGroup "Helpdesk"
Set-LapsADReadPasswordPermission -Identity $group.DistinguishedName -AllowedPrincipals $group - 验证权限是否生效：
(Get-Acl "AD:\CN=PC01,OU=Workstations,DC=contoso,DC=com").Access | Where-Object {$_.ActiveDirectoryRights -match "ReadProperty" -and $_.IdentityReference -eq "CONTOSO\Helpdesk"}
通过组策略启用并定制策略
新建 GPO 并链接到目标 OU，在 Computer Configuration → Policies → Administrative Templates → System → Local Administrator Password Solution 下配置：
- Enable Local Administrator Password Solution：设为 Enabled
- Target administrator account name：填入要管理的本地账号名（如 Administrator，区分大小写）
- Password settings：可自定义长度（推荐16）、字符类型（含大小写字母、数字、符号）、轮换周期（默认30天，高风险环境建议7–14天）
- Store password in Azure AD（可选）：若启用 Microsoft Entra ID 集成，勾选此项实现云侧备份与 RBAC 管理
策略应用后，客户端将在下次组策略刷新（默认90分钟）或重启后开始生成并上报首个密码。
