Configurer Windows LAPS avec Microsoft Intune pour une sécurité renforcée

Tout d'abord, vous devez activer LAPS au niveau du locataire dans Microsoft Entra ID. Il s'agit d'un paramètre global qui affecte tous les appareils de votre organisation.

Connectez-vous au centre d'administration Microsoft Entra à https://portal.azure.com en utilisant un compte avec des permissions d'administrateur d'appareils cloud ou d'administrateur global.

Accédez à Identité > Appareils > Aperçu > Paramètres des appareils.

Localisez le paramètre Activer la solution de mot de passe administrateur local (LAPS) et réglez-le sur Oui.

Cliquez sur Enregistrer pour appliquer les modifications.

Vérification : Le paramètre devrait s'afficher comme "Oui" après l'enregistrement. Ce changement prend effet immédiatement mais les appareils ne commenceront à utiliser LAPS qu'une fois les politiques appliquées.

Windows LAPS nécessite que le compte administrateur intégré soit activé, ce qui est souvent désactivé par défaut sur les installations modernes de Windows. Nous allons créer un profil de configuration Intune pour l'activer.

Connectez-vous au centre d'administration Microsoft Intune à https://intune.microsoft.com.

Accédez à Appareils > Profils de configuration > Créer un profil.

Configurez les paramètres du profil :

• Plateforme : Windows 10 et versions ultérieures
• Type de profil : Catalogue de paramètres

Dans l'onglet Informations de base, entrez un nom comme "Activer l'administrateur intégré pour LAPS" et ajoutez une description.

Dans l'onglet Paramètres de configuration, cliquez sur Ajouter des paramètres et recherchez "Options de sécurité des politiques locales".

Sélectionnez Comptes : statut du compte administrateur et définissez-le sur Activé.

Dans l'onglet Affectations, assignez ce profil à vos groupes d'appareils cibles. Commencez par un groupe pilote pour les tests.

Examinez vos paramètres et cliquez sur Créer.

Vérification : Après l'application de la politique, vérifiez l'appareil en exécutant net user administrator dans l'Invite de commandes. Le compte devrait apparaître comme "Actif : Oui".

Nous allons maintenant créer la politique principale LAPS qui définit la complexité des mots de passe, le calendrier de rotation et l'emplacement de sauvegarde.

Dans le centre d'administration Intune, allez à Sécurité des points de terminaison > Protection des comptes > Créer une politique.

Sélectionnez les options suivantes :

• Plateforme : Windows 10 et versions ultérieures
• Profil : Solution de mot de passe administrateur local (Windows LAPS)

Dans l'onglet Informations de base, entrez un nom comme "Politique Windows LAPS" et fournissez une description claire.

Configurez les Paramètres de configuration avec ces valeurs recommandées :

Dans l'onglet Affectations, ajoutez vos groupes d'appareils cibles. Commencez par votre groupe pilote avant de passer à la production.

Examinez tous les paramètres et cliquez sur Créer.

Vérification : La politique apparaîtra dans votre liste de politiques de protection des comptes avec un statut "Attribué" une fois créée avec succès.

Après avoir déployé les politiques, vous devez vérifier que LAPS fonctionne correctement sur vos appareils cibles.

Sur un appareil Windows cible, ouvrez PowerShell en tant qu'administrateur et exécutez ces commandes de vérification :

# Vérifier les paramètres du registre LAPS
Get-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\LAPS"

# Vérifier l'état du service LAPS
Get-Service -Name "LAPS" -ErrorAction SilentlyContinue

# Vérifier les journaux d'événements LAPS
Get-WinEvent -LogName "Application" | Where-Object {$_.ProviderName -eq "Microsoft-Windows-LAPS"} | Select-Object -First 10

# Forcer la synchronisation de l'appareil avec Intune
Get-ScheduledTask | Where-Object {$_.TaskName -eq "PushLaunch"} | Start-ScheduledTask

# Vérifier l'état d'enregistrement de l'appareil
dsregcmd /status

Vous devriez voir les entrées de registre LAPS remplies avec vos paramètres de politique, et les journaux d'événements devraient montrer une activité LAPS.

Pour vérifier que le compte administrateur est activé :

net user administrator

La sortie devrait montrer "Compte actif : Oui".

Vérification : LAPS fonctionne correctement lorsque vous voyez des entrées de registre remplies, des événements LAPS actifs dans le journal, et que le compte administrateur apparaît comme activé.

Seuls les utilisateurs autorisés devraient pouvoir récupérer les mots de passe LAPS. Configurons les autorisations appropriées dans Microsoft Entra ID.

Dans le centre d'administration Microsoft Entra, accédez à Identité > Rôles et administrateurs.

Recherchez et sélectionnez le rôle Administrateur d'appareils Cloud, ou créez un rôle personnalisé avec des autorisations LAPS spécifiques.

Cliquez sur Ajouter des affectations et sélectionnez les utilisateurs ou groupes qui devraient avoir accès pour récupérer les mots de passe LAPS.

Pour un contrôle plus granulaire, vous pouvez créer un rôle personnalisé avec ces autorisations spécifiques :

{
  "microsoft.directory/devices/localCredentials/read": true,
  "microsoft.directory/devices/read": true
}

Pour tester la récupération de mot de passe, les utilisateurs autorisés peuvent :

1. Aller au centre d'administration Microsoft Entra
2. Accéder à Identité > Appareils > Tous les appareils
3. Sélectionner un appareil avec LAPS activé
4. Cliquez sur Mot de passe administrateur local pour voir le mot de passe actuel

Vérification : Testez que les utilisateurs autorisés peuvent récupérer les mots de passe via le centre d'administration Entra, tandis que les utilisateurs non autorisés reçoivent des erreurs d'accès refusé.

Une surveillance adéquate garantit que votre déploiement LAPS fonctionne correctement et aide à identifier rapidement les problèmes.

Dans le centre d'administration Intune, surveillez le statut de déploiement des stratégies :

1. Allez à Sécurité des points de terminaison > Protection des comptes
2. Sélectionnez votre stratégie LAPS
3. Cliquez sur Statut de l'appareil pour voir les résultats du déploiement

Problèmes courants et leurs solutions :

Utilisez ces commandes PowerShell pour un dépannage avancé :

# Vérifier l'enregistrement détaillé de l'appareil
dsregcmd /status | Select-String -Pattern "AzureAdJoined|DomainJoined|WorkplaceJoined"

# Vérifier l'extension de gestion Intune
Get-Process -Name "Microsoft.Management.Services.IntuneWindowsAgent" -ErrorAction SilentlyContinue

# Vérifier la configuration LAPS dans le registre
Get-ChildItem -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\LAPS" -Recurse

# Forcer la rotation immédiate du mot de passe (pour les tests)
Invoke-Command -ScriptBlock {Reset-ComputerMachinePassword}

Vérification : Votre déploiement LAPS est réussi lorsque les appareils affichent le statut "Réussi" dans Intune, les mots de passe sont tournés selon votre calendrier, et les utilisateurs autorisés peuvent récupérer les mots de passe lorsque nécessaire.