组策略首选项（GPP）不适合管理本地管理员密码，因其将AES-256加密的密码明文存于所有域用户可读的SYSVOLGroups.xml中，密钥公开，易被解密；微软已在KB2962486（MS14-025）中定性为高危并弃用该功能，推荐改用内建的Windows LAPS方案。
不建议用组策略首选项（gpp）管理本地 administrator 密码——这个功能在 2014 年已被微软明确标记为高危，存在严重安全缺陷。
为什么组策略首选项不适合管理本地管理员密码
Windows Server 2008 引入的组策略首选项（GPP）曾支持通过 Groups.xml 或 Services.xml 等文件批量设置本地 Administrator 密码。但这类密码以可逆加密方式（AES-256）存储在 SYSVOL 共享中，而所有域用户默认有读取权限。攻击者只要能访问 \DCSYSVOLdomainPolicies{GUID}MachinePreferencesGroupsGroups.xml，就能解密出明文密码。
微软已在 KB2962486（MS14-025）中正式披露该漏洞，并强烈建议禁用该功能。自 Windows Server 2012 R2 起，组策略管理控制台默认隐藏“本地用户和组”首选项配置项；Windows 10/11 及新版 Server 中该能力已实质弃用。
替代方案：必须改用 Windows LAPS
Windows 本地管理员密码解决方案（Windows LAPS）是微软官方推荐、内置于 Windows Server 2019/2022/2025 的现代替代方案，它彻底规避了 GPP 的设计缺陷：
在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。
- 密码由客户端本地生成，仅以加密或 ACL 保护形式存入 Active Directory 或 Microsoft Entra ID，永不落地明文脚本或 XML 文件
- 支持自动轮换（如每 30 天）、长度/复杂度策略、DSRM 密码管理、细粒度权限控制（谁可查看哪台设备的密码）
- 无需第三方安装包，服务组件（
laps.dll、lapscsp.dll）随系统原生提供 - 兼容混合环境（AD + Entra ID），支持 Intune 统一配置
如果仍需临时启用本地 Administrator 账户（非改密码）
仅启用账户本身（不设密码）属于低风险操作，可通过标准组策略实现：
- 路径：计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 安全选项
- 启用策略：账户：管理员账户状态 → 已启用
- 同步后需配合 LAPS 或手动重置密码，不可依赖 GPP 自动填入
强化本地 Administrator 的配套措施
即使使用 LAPS，也应同步收紧本地 Administrator 的使用范围：
- 在 GPO 中将 本地 Administrator 加入以下拒绝登录权限：
– 拒绝通过网络访问该计算机
– 拒绝通过远程桌面服务登录
– 拒绝以批处理作业身份登录 - 确保该账户不被加入任何高权限组（如本地 Administrators 组成员不应再拥有域管理员权限）
- 启用审核策略，记录对该账户的登录与密码重置事件
